LAGEAT PERROTEAU / Hans Lucas via AFP
Devant un Centre des Finances publiques, dans le 9e arrondissement à Paris, le 18 octobre 2024. (photo d’illustration)
Le piratage du fisc, survenu fin juin et fin juillet, a entraîné le vol de données d’au moins 678 000 particuliers et professionnels, selon la direction générale des finances publiques (DGFiP). Il n’a été porté à la connaissance du grand public que mi-août, lorsqu’un groupe de pirates informatiques baptisé Zerobytes, et se présentant comme un duo, l’a revendiqué.
À 18 ans, l’un des membres de Zerobytes a été mis en examen et placé en détention provisoire à Paris, a-t-on appris vendredi. Un deuxième suspect, âgé de moins de 16 ans, a également été interpellé et placé en garde à vue, mais libéré ensuite, a précisé le parquet, après des informations de franceinfo et du Monde. Les enquêteurs vont désormais exploiter son matériel informatique. Ci-dessous, point par point, Le HuffPost expose les derniers éléments de cette affaire.
· Qui est le mis en examen ?
Il s’agit d’un homme de 18 ans, résidant en Île-de-France, qui a été arrêté dès le 18 août et mis en examen deux jours plus tard. Pirate chevronné, il est connu de la police. Et de la justice : il avait été mis en examen déjà deux fois, dans deux dossiers d’attaques informatiques commises en 2023 et 2024, alors qu’il était encore mineur. Il était sous contrôle judiciaire depuis.
Le forum sur lequel il revendiquait ses attaques était fonctionnel vendredi après-midi. Son compte X, sur lequel il narguait les autorités, était lui par contre fermé.
Autour de Zerobytes, « les investigations se poursuivent désormais sous la conduite d’un juge d’instruction pour identifier et interpeller les autres personnes mises en cause », a précisé le parquet.
· Que risque-t-il ?
Dans ce dossier du fisc, il encourt une peine de 10 ans d’emprisonnement et de 300 000 euros d’amende pour une série de cyberinfractions, ainsi que pour association de malfaiteurs.
· Quelles étaient ses motivations ?
Mi-août, Zerobytes avait affirmé à l’AFP avoir vendu les données volées au fisc, pour une somme se chiffrant « en milliers d’euros », une affirmation invérifiable. Interrogé sur ses objectifs, le duo assurait ne pas avoir de « motivations précises », si ce n’est « l’argent, j’imagine ».
· Quelles informations a-t-il volées ?
Parmi les informations fiscales des particuliers dérobées figurent les noms et prénoms, le revenu fiscal de référence, le quotient familial ou encore le taux de prélèvement à la source.
Les données concernant les professionnels sont « moins sensibles », selon la DGFiP. Un échantillon consulté par l’AFP contenait principalement des informations sur des petites et moyennes entreprises, dont celles d’une filiale d’un grand équipementier automobile français.
La précision de ces fichiers nourrit les craintes d’escroqueries ciblées. Dans l’économie cybercriminelle, le pirate qui s’introduit dans un système n’est généralement pas celui qui exploitera ensuite les informations : les bases volées sont souvent revendues à des spécialistes de la fraude.
· Quel est son passif en matière de piratage ?
Parmi les victimes de Zerobytes, figurent les services de l’Éducation nationale (Académie de Créteil, Agence pour l’enseignement français à l’étranger), France Travail, la Fédération française de handball, le distributeur Intermarché ou encore le groupe de télécoms SFR, selon le parquet de Paris.
· Comment avait réagi le gouvernement ?
Le gouvernement s’est saisi du dossier, Sébastien Lecornu demandant un audit à l’agence nationale de la sécurité des systèmes d’information (Anssi) et le ministre des Comptes publics David Amiel présentant ses excuses aux contribuables touchés.
Sans attendre, la justice avait ouvert en toute discrétion une enquête, a-t-on appris auprès du parquet vendredi. Dès la « réception des premières plaintes », le 31 juillet, et donc avant la revendication de l’attaque, l’affaire, sensible, a été confiée à l’Office anti-cybercriminalité (Ofac).
Le fisc a par ailleurs annoncé contacter individuellement les 678 000 usagers concernés pour les mettre en garde contre de possibles escroqueries ciblées.