Cyberattaque du fisc : un membre présumé de ZeroBytes écroué, mais le risque est loin d’être terminé

L’enquête avance.

Mais l’arrestation d’un suspect ne signifie pas que le problème soit réglé.

Le parquet de Paris a confirmé la mise en examen d’un homme de 18 ans soupçonné d’avoir participé à plusieurs cyberattaques revendiquées par le groupe ZeroBytes.

Le jeune homme avait été interpellé le 18 août en région parisienne.

Il a été déféré puis mis en examen le 20 août avant d’être placé en détention provisoire.

Un second suspect, âgé de moins de 16 ans, a également été interpellé quelques jours plus tard. Il a été remis en liberté après sa garde à vue afin que les enquêteurs puissent poursuivre l’analyse de son matériel.

L’enquête continue sous la direction d’un juge d’instruction. D’autres personnes pourraient donc encore être recherchées.

La cyberattaque du fisc reste surtout l’un des incidents numériques les plus sensibles de l’été 2026.

Cyberattaque du fisc : que reproche la justice au suspect ?

Les accusations sont lourdes.

Le parquet évoque notamment des accès frauduleux à des systèmes informatiques contenant des données personnelles, l’extraction et la détention de données ainsi qu’une participation présumée à une association de malfaiteurs.

Le suspect est également poursuivi pour avoir refusé de fournir ou de mettre en œuvre une clé permettant le déchiffrement d’un moyen de cryptologie.

Les faits reprochés peuvent être punis de dix ans d’emprisonnement et 300 000 euros d’amende, selon les éléments communiqués par le parquet.

Il faut toutefois rappeler un principe essentiel.

Une mise en examen n’est pas une condamnation.

Le jeune homme reste présumé innocent tant qu’une juridiction ne s’est pas prononcée définitivement sur sa responsabilité.

Selon les informations disponibles, il était déjà connu de la justice dans deux autres dossiers liés à des attaques informatiques commises alors qu’il était mineur.

Les enquêteurs cherchent maintenant à déterminer son rôle exact dans ZeroBytes et à identifier les autres personnes susceptibles d’avoir participé aux différentes opérations.

678 000 particuliers et professionnels concernés

Le chiffre officiel reste spectaculaire.

La DGFiP estime que 678 000 particuliers et professionnels ont été concernés par les accès frauduleux réalisés en juin et juillet.

La Direction générale des Finances publiques avait d’abord détecté des intrusions et coupé les comptes utilisés.

Mais elle n’avait pas immédiatement identifié l’extraction des données.

Les investigations approfondies menées après les revendications publiées en août ont permis de mesurer l’ampleur de l’incident.

La DGFiP explique officiellement que les pirates se sont appuyés sur l’usurpation des identifiants d’un agent de l’administration et d’un tiers habilité.

Ce point est particulièrement important pour les entreprises.

La porte d’entrée n’a pas nécessairement été une vulnérabilité spectaculaire dans les serveurs du fisc.

Des accès légitimes ont été détournés.

Autrement dit, un système peut être techniquement solide tout en devenant vulnérable lorsqu’un compte autorisé tombe entre de mauvaises mains.

Lire le communiqué officiel de la DGFiP sur la cyberattaque

Cyberattaque du fisc : quelles données ont réellement été volées ?

C’est probablement la question qui intéresse le plus les personnes concernées.

Les données potentiellement accessibles comprennent notamment l’identifiant fiscal, l’état civil et différentes coordonnées.

Adresse postale, numéro de téléphone et adresse électronique peuvent faire partie des informations consultées.

Les pirates ont également pu accéder à des éléments beaucoup plus précis sur la situation fiscale.

La DGFiP cite notamment la composition du foyer, le nombre de parts fiscales, le revenu fiscal de référence et le taux de prélèvement à la source.

La liste des messages échangés avec l’administration fiscale via la messagerie d’impots.gouv.fr a également pu être consultée.

Pour les entreprises, certaines informations comme la raison sociale ou le numéro SIREN étaient accessibles.

Des données cadastrales relatives aux adresses et aux surfaces de biens immobiliers ont aussi été consultées.

Cette combinaison donne aux fraudeurs beaucoup plus qu’une simple liste d’adresses e-mail.

Elle permet de construire des messages extrêmement crédibles.

Les mots de passe des contribuables n’ont pas été compromis

Il existe toutefois une information rassurante.

Les espaces personnels Finances publiques des particuliers et des professionnels n’ont pas été directement compromis, selon la DGFiP.

Les identifiants et mots de passe des usagers n’ont pas non plus été volés dans cette attaque.

Cela ne signifie pourtant pas qu’il n’existe aucun risque.

La DGFiP a notamment réinitialisé la validation de la double authentification valable six mois sur le même navigateur pour l’ensemble des particuliers.

Cette mesure préventive montre le niveau de prudence adopté après l’incident.

Surtout, un cybercriminel n’a pas besoin de disposer du mot de passe du compte fiscal pour tenter une fraude.

Connaître le nom, l’adresse, le revenu fiscal, le téléphone et la situation familiale d’une personne permet déjà de préparer un scénario très convaincant.

Le principal danger est désormais le phishing ciblé

La cyberattaque du fisc risque donc d’avoir des conséquences bien après la fermeture des accès frauduleux.

Les données volées peuvent être conservées pendant des mois ou plusieurs années.

Elles peuvent être revendues.

Elles peuvent également être croisées avec les informations provenant d’autres fuites.

Un fraudeur peut alors contacter une victime en connaissant suffisamment de détails pour inspirer confiance.

Le message peut prétendre concerner un remboursement d’impôt.

Un appel téléphonique peut évoquer une anomalie sur un prélèvement.

Une personne peut même se présenter comme un conseiller bancaire ou un agent administratif.

La DGFiP prévient précisément que les données compromises peuvent favoriser des campagnes d’hameçonnage, des fraudes par manipulation ou des tentatives de faux conseiller bancaire.

Cybermalveillance.gouv.fr fait le même constat : plus les cybercriminels accumulent de données réelles, plus leurs arnaques peuvent devenir personnalisées et crédibles.

Les entreprises sont directement concernées

Le risque ne se limite pas aux particuliers.

Imaginons qu’un fraudeur dispose du nom d’une entreprise, de son SIREN, de certaines données fiscales et des coordonnées de son dirigeant.

Il possède déjà suffisamment d’éléments pour rendre un message crédible.

Une fausse demande de régularisation fiscale peut sembler authentique.

Un appel prétendument passé par l’administration peut être beaucoup plus convaincant.

Ces informations peuvent également enrichir une fraude au président.

Le pirate connaît le nom du dirigeant.

Il connaît parfois l’adresse de la société.

Il peut identifier les responsables financiers grâce à LinkedIn.

Il ne reste plus qu’à construire un scénario.

C’est précisément pour cette raison que la sécurité ne doit pas se limiter à empêcher l’intrusion technique.

Elle doit aussi préparer les salariés à reconnaître une fraude utilisant des informations parfaitement exactes.

ZeroBytes ne s’en serait pas pris uniquement au fisc

Le dossier dépasse largement la DGFiP.

Selon le parquet de Paris, plusieurs autres organismes et entreprises figurent parmi les victimes d’attaques revendiquées par ZeroBytes.

Des services de l’Éducation nationale sont cités.

France Travail figure également dans la liste.

On retrouve encore la Fédération française de handball, Intermarché, SFR, Bureau Vallée ou Pulsy, un groupement régional lié à la santé numérique dans le Grand Est.

Cela ne signifie pas nécessairement que toutes les attaques ont utilisé exactement le même procédé ni que toutes les revendications attribuées au groupe sont confirmées dans leur intégralité.

Les investigations devront préciser chaque dossier.

Mais la diversité des cibles est déjà instructive.

Administration, télécommunications, commerce, emploi, sport et santé : aucun secteur ne paraît hors de portée.

Cyberattaque du fisc : une attaque révélatrice des nouvelles méthodes

Pendant longtemps, le mot cyberattaque faisait surtout penser au ransomware.

Un pirate pénétrait dans un système, chiffrait les données puis réclamait une rançon.

Ce modèle existe toujours.

Mais le vol de données prend une place croissante.

L’objectif consiste parfois simplement à entrer, copier puis ressortir.

Cette méthode peut être plus discrète.

Une entreprise peut continuer à fonctionner normalement alors que plusieurs gigaoctets d’informations ont déjà été exfiltrés.

C’est d’ailleurs l’une des difficultés rencontrées dans le cas de la DGFiP.

L’administration avait repéré des accès frauduleux.

Elle avait coupé les comptes concernés.

Elle n’avait cependant pas identifié immédiatement que des informations avaient déjà été copiées.

Pour les directions informatiques, la leçon est importante.

Repérer une connexion suspecte ne suffit pas.

Il faut également déterminer ce qui s’est passé pendant toute la période où le compte a été utilisé.

L’identité numérique devient le nouveau périmètre de sécurité

Les entreprises ont longtemps concentré leurs investissements sur le réseau.

Pare-feu.

Antivirus.

Serveurs.

VPN.

Ces outils restent indispensables.

Mais la multiplication des services cloud et des accès distants déplace progressivement le problème.

L’identité d’un utilisateur devient elle-même une frontière de sécurité.

Si un pirate récupère les identifiants d’un salarié disposant d’un accès autorisé, il peut parfois agir presque comme un utilisateur légitime.

Les outils de sécurité peuvent alors rencontrer davantage de difficultés pour distinguer l’attaque d’une activité normale.

L’ANSSI recommande notamment l’usage de l’authentification à double facteur lorsque cela est possible, ainsi que des mots de passe différents pour chaque service.

Business Times avait déjà consacré un article à la difficulté croissante pour les entreprises de disposer des bonnes compétences pour gérer ces risques.

À lire sur Business Times : Les profils cyber, un enjeu majeur pour les entreprises

Un compte sensible ne devrait jamais reposer sur un simple mot de passe

L’affaire ZeroBytes permet de revenir sur une règle simple.

Lorsqu’un accès donne accès à des données fiscales, financières ou personnelles importantes, un simple couple identifiant-mot de passe devient insuffisant.

La double authentification réduit considérablement le risque.

Elle n’est pas infaillible.

Les attaques de phishing peuvent aussi chercher à détourner des codes temporaires ou des sessions déjà ouvertes.

Mais elle ajoute une barrière supplémentaire.

Les droits d’accès doivent également être limités.

Un salarié ne devrait avoir accès qu’aux informations nécessaires à son travail.

Cette logique réduit les dégâts potentiels lorsqu’un compte est compromis.

Autre principe : les connexions inhabituelles doivent déclencher des alertes.

Horaire étrange, volume inhabituel de téléchargements ou nouvelle localisation peuvent être autant de signaux.

La cybersécurité moderne consiste autant à détecter des comportements anormaux qu’à bloquer des logiciels malveillants.

Les dirigeants doivent aussi préparer l’après-attaque

Même une entreprise très bien protégée peut être piratée.

Le véritable test arrive alors dans les premières heures.

Qui coupe les accès ?

Qui contacte le prestataire informatique ?

Qui prévient la direction ?

Qui informe les clients ?

Qui communique avec la CNIL ?

Ces questions doivent être réglées avant l’incident.

Le RGPD impose à une organisation de documenter les violations de données personnelles.

Lorsqu’une violation présente un risque pour les personnes concernées, elle doit être notifiée à la CNIL dans les meilleurs délais et, si possible, dans les 72 heures.

En cas de risque élevé, les personnes touchées doivent également être informées.

Consulter les règles de la CNIL en cas de violation de données

Pour une PME, improviser ces démarches après une attaque peut faire perdre un temps précieux.

Le coût d’une cyberattaque dépasse largement l’informatique

Une fuite de données entraîne évidemment des dépenses techniques.

Il faut enquêter.

Nettoyer les systèmes.

Changer les accès.

Faire intervenir des spécialistes.

Mais le coût indirect peut devenir beaucoup plus important.

Clients inquiets.

Réputation dégradée.

Salariés mobilisés.

Activité ralentie.

Risques judiciaires.

Sanctions réglementaires.

Fraudes commises à partir des données volées.

Business Times avait déjà montré avec l’arrêt d’une installation énergétique britannique qu’une cyberattaque peut désormais avoir des conséquences physiques et opérationnelles bien au-delà du service informatique.

À lire sur Business Times : une cyberattaque arrête une centrale britannique pendant quatre jours

Pour un dirigeant, la cybersécurité doit donc devenir un sujet de continuité d’activité.

La facturation électronique renforce encore l’enjeu

La cyberattaque du fisc intervient à un moment particulièrement sensible.

Depuis le 1er septembre 2026, la généralisation de la facturation électronique entre entreprises a commencé.

Toutes les entreprises doivent désormais être capables de recevoir des factures électroniques.

Les grandes entreprises et les ETI commencent parallèlement à les émettre selon le nouveau dispositif.

Le ministère de l’Économie a justement renforcé les exigences imposées aux plateformes agréées.

Elles doivent fournir un suivi de leur cybersécurité.

Les incidents doivent être signalés rapidement.

Des tests d’intrusion doivent également être généralisés.

Le gouvernement a même indiqué qu’une plateforme pourrait voir ses opérations suspendues si elle ne démontre pas un niveau de sécurité suffisant.

La confiance dans les outils numériques de l’État et des entreprises devient donc un enjeu économique majeur.

L’arrestation d’un suspect ne fait pas disparaître les données

C’est probablement le point le plus important de toute cette affaire.

Un pirate peut être arrêté.

Un serveur peut être sécurisé.

Un mot de passe peut être modifié.

Mais une donnée déjà copiée ne peut pas être récupérée comme un objet volé.

Elle peut exister sur plusieurs ordinateurs.

Elle peut avoir été partagée.

Elle peut avoir été revendue.

Les victimes devront donc rester vigilantes bien après la fin de l’enquête judiciaire.

La DGFiP recommande de se méfier de tout message inattendu et de ne jamais transmettre de mot de passe, de code ou de coordonnées bancaires à la suite d’une sollicitation.

L’administration rappelle également qu’elle ne demande jamais de données confidentielles par courriel, SMS ou téléphone.

Consulter les recommandations officielles de la DGFiP pour les personnes concernées

Cyberattaque du fisc : la leçon pour les entreprises

La mise en examen d’un membre présumé de ZeroBytes marque une avancée importante pour les enquêteurs.

Elle ne doit toutefois pas faire oublier le fond du dossier.

Des identifiants autorisés ont été détournés.

Des informations concernant 678 000 particuliers et professionnels ont pu être consultées ou extraites.

Plusieurs grandes organisations sont citées parmi les autres victimes d’attaques revendiquées par le groupe.

Et les données déjà volées peuvent continuer à alimenter des fraudes bien après la fermeture de la faille.

Pour les entreprises, la cyberattaque du fisc constitue donc un rappel très concret.

Le risque ne vient pas toujours d’un logiciel sophistiqué capable de casser une infrastructure depuis l’extérieur.

Il peut commencer par un seul compte compromis.

La protection des identités, la double authentification, la surveillance des accès et la formation des salariés deviennent donc aussi importantes que la sécurité des serveurs.

Enfin, chaque organisation doit savoir ce qu’elle fera le jour où une fuite surviendra.

Car en matière de cybersécurité, empêcher toutes les attaques reste impossible.

Être capable de les détecter rapidement et d’en limiter les conséquences devient donc tout aussi essentiel.