ZeroBytes : une arrestation ne répare pas la fuite fiscale

Par Synthèse IA Zoé Sagan · 6 septembre 2026

Le suspect est en détention provisoire. Les données, elles, n’ont pas de cellule. L’annonce judiciaire du 4 septembre apporte une avancée dans l’enquête sur les attaques contre le fisc français. Elle ne signifie ni que tous leurs auteurs sont identifiés, ni que les informations extraites ont cessé de représenter un risque pour leurs titulaires.

Un homme de 18 ans a été interpellé le 18 août puis mis en examen le 20 août, selon le parquet de Paris, cité par le service police-justice de TF1/LCI. Il est soupçonné d’appartenir au groupe désigné sous le nom ZeroBytes et d’avoir participé aux attaques. Il demeure présumé innocent.

Un autre suspect, âgé de moins de 16 ans, a été placé en garde à vue le 26 août puis libéré en attendant l’exploitation de son matériel informatique. Le communiqué judiciaire rapporté ne dit donc pas « un adolescent de 16 ans ». La distinction est modeste à l’écran, élémentaire dans un dossier où la procédure et l’âge des personnes comptent.

L’arrestation n’est pas le début de l’histoire

Le calendrier technique remonte à l’été. Dans son communiqué du 14 août, Bercy décrit des intrusions en juin et juillet à partir d’identifiants usurpés : ceux d’un agent de la DGFiP et d’un tiers habilité. Les revendications publiques sont intervenues les 12 et 13 août.

L’administration indique avoir interrompu les accès après détection, tout en reconnaissant que les contrôles effectués n’avaient pas alors identifié les vols de données. Les investigations engagées après les revendications ont établi que des informations concernant 678 000 particuliers et professionnels avaient été consultées et extraites.

Revenu fiscal de référence, quotient familial, taux de prélèvement à la source, raison sociale ou numéro SIREN : le document nomme plusieurs catégories de données concernées. Il précise aussi que les espaces des usagers, leurs identifiants et leurs mots de passe n’avaient pas été compromis. La CNIL avait été saisie; la mobilisation des équipes informatiques et de l’ANSSI était annoncée.

Cette précision sur les comptes ne rend pas l’incident bénin. Elle situe la faille. Le citoyen peut avoir conservé son mot de passe, son accès habituel et tous ses réflexes de prudence pendant que des données le concernant ont été atteintes par un autre chemin. Lui demander seulement de surveiller son compte ne suffit pas à raconter ce qui s’est passé.

Un dossier fiscal peut devenir un argument de vente

La valeur d’une information personnelle n’est pas limitée à son utilisation dans son système d’origine. Une donnée exacte peut servir à rendre crédible un interlocuteur frauduleux. Celui qui connaît un élément de votre situation peut sembler mieux informé, donc plus légitime, que le message anonyme et approximatif dont on vous a appris à vous méfier.

Le service public Cybermalveillance.gouv.fr recense parmi les conséquences possibles des fuites l’hameçonnage ciblé, les escroqueries, l’usurpation d’identité et les tentatives d’accès à des comptes. Il s’agit de risques, pas de dommages automatiquement subis par chacun des 678 000 usagers. Les confondre ajouterait une alarme inutile à un incident déjà documenté.

À l’inverse, l’absence immédiate de fraude visible ne constitue pas un certificat d’innocuité. Une information copiée peut être conservée, rapprochée d’autres éléments ou réutilisée. C’est une propriété des données, pas une hypothèse sur les agissements précis des suspects de ce dossier. Leur responsabilité individuelle appartient à l’enquête.

Il faut résister au scénario commode du génie adolescent qui aurait humilié tout Bercy. Le scénario personnalise la défaillance, fournit un visage au problème et promet qu’une arrestation le résout. La question des habilitations, de la surveillance et de la détection reste entière, quels que soient l’âge et les compétences finalement établies des personnes poursuivies.

Les fichiers n’ont pas tous la même histoire

La page de la DGFiP actualisée le 4 septembre distingue les intrusions de l’été et un incident identifié le 17 août sur le portail des successions vacantes, contenant des données publiques. Les objets diffèrent. Additionner sans précaution des revendications, des lignes de fichiers et des personnes conduirait à fabriquer un bilan plus impressionnant que compréhensible.

Une ligne n’est pas nécessairement une personne. Plusieurs fichiers peuvent porter sur le même individu. Une revendication n’est pas une validation du volume annoncé. Dans ce dossier, 678 000 correspond à un périmètre reconnu par l’administration, pas au décompte total de toutes les annonces associées au nom ZeroBytes.

Cette rigueur n’est pas une faveur faite au fisc. Elle permet d’interroger un engagement précis : quelle donnée a été exposée, à quel moment, comment son titulaire a-t-il été informé, quelles mesures sont prises ? Un chiffre extensible ne permet de mesurer ni la responsabilité ni le progrès.

Le 25 août, notre article sur les identifiants usurpés dans les fichiers de l’État examinait déjà le problème des accès légitimes utilisés par les mauvaises personnes. L’annonce judiciaire déplace aujourd’hui le dossier vers l’identification des suspects. Elle ne remplace pas l’examen des mécanismes qui ont permis les intrusions.

Ce que l’annonce change, ce qu’elle laisse ouvert

Pour la justice, la mise en examen et les investigations sur le matériel ouvrent une phase d’attribution : distinguer les personnes, les accès, les actes et les éventuelles participations. Un pseudonyme collectif ne dispense pas de démontrer les faits imputés à chacun. La détention provisoire ne vaut pas condamnation; la remise en liberté du second suspect ne vaut pas non plus conclusion définitive sur l’enquête.

Pour les personnes concernées, l’enjeu immédiat reste la qualité de l’information reçue. Un courrier officiel doit permettre de comprendre le périmètre de l’incident sans contraindre chacun à chercher sa vie dans des fichiers circulant illicitement. Le conseil de vigilance a une utilité; il ne doit pas devenir la manière polie de transférer toute la charge de sécurité vers l’usager.

Les archives consacrées à la fuite de données chez Free et à la revendication d’un vol massif de données chinoises racontaient d’autres affaires, avec d’autres degrés de confirmation. Leur point commun est cette dissociation entre l’événement spectaculaire et ses conséquences diffuses. Le public voit passer l’attaque; la personne exposée doit ensuite vivre avec une incertitude moins photogénique.

Le 4 septembre, une nouvelle étape judiciaire a été rendue publique. C’est une information, et elle compte. Mais il restera à établir les responsabilités pénales, à expliquer les failles et à suivre les conséquences. L’État peut arrêter un suspect. Il ne peut pas faire oublier une donnée par communiqué.