Un même pseudonyme apparaît derrière plusieurs cyberattaques revendiquées ces derniers mois en France : ZeroBytes.
Le cybercriminel affirme être à l’origine de compromissions ayant notamment touché la Direction générale des Finances publiques (DGFiP), Intermarché Drive, EVA ainsi que des données liées au handball français.
FrenchBreaches a pu échanger directement avec lui sur ses motivations, son organisation, sa manière de sélectionner ses cibles, le devenir des données récupérées et les conséquences pour les personnes concernées.
Mais c’est surtout l’affaire de la DGFiP qui concentre aujourd’hui l’attention.
L’administration fiscale a officiellement reconnu le 14 août 2026 que des accès illégitimes à son système d’information avaient permis la consultation et l’extraction de données concernant environ 678 000 particuliers et professionnels.
ZeroBytes affirme de son côté que l’accès dont il disposait allait plus loin que ce que pourrait laisser penser la communication de l’administration.
Le pirate revendique notamment l’accès à un environnement comprenant 6 366 056 demandes adressées aux services fiscaux.
Il affirme également être à l’origine d’une seconde compromission, encore non confirmée par la DGFiP, portant cette fois sur des données cadastrales représentant selon lui 2 041 778 propriétaires.
« L’argent est la principale motivation »
ZeroBytes ne cherche pas à présenter ses activités comme une forme d’hacktivisme.
Lorsqu’on lui demande pourquoi il pirate des plateformes et ce qui le pousse à continuer, sa réponse est directe :
« L’argent est la principale motivation de toute personne ainsi que le désir de pouvoir. »
Le pirate rejette également l’idée d’une motivation politique derrière le choix de certaines de ses cibles, malgré la compromission revendiquée de plusieurs services français.
« Je n’ai pas de motivations politiques comme certains peuvent le penser, je cherche, je trouve et je fais. »
Son fonctionnement serait donc essentiellement opportuniste : identifier une possibilité d’accès, récupérer les informations disponibles puis chercher, lorsque cela est possible, à les monétiser.
DGFiP : l’administration confirme le vol de données de 678 000 personnes
Dans son communiqué du 14 août 2026, la DGFiP reconnaît des accès illégitimes à son système d’information intervenus en juin et juillet 2026.
Selon l’administration, les intrusions reposaient sur des usurpations d’identifiants d’un agent de la DGFiP et d’un tiers habilité.
Les accès concernés ont été interrompus après leur détection.
Les premiers contrôles n’avaient toutefois pas permis d’établir qu’un vol de données avait eu lieu. La DGFiP explique cette absence de détection initiale par la sophistication de l’attaque.
Les investigations approfondies engagées par la suite ont finalement permis d’établir que les accès avaient été utilisés pour consulter et extraire certaines données concernant environ 678 000 particuliers et professionnels.
Parmi les informations officiellement reconnues comme concernées figurent notamment :
- le revenu fiscal de référence ;
- le quotient familial ;
- le taux de prélèvement à la source ;
- pour les entreprises, la raison sociale ;
- le SIREN ;
- certaines données cadastrales ;
- les adresses de biens immobiliers ;
- les surfaces de biens immobiliers.
La DGFiP affirme en revanche que les espaces Finances publiques des particuliers et professionnels n’ont pas été compromis.
Elle précise également que leurs identifiants et mots de passe n’ont pas été compromis.
ZeroBytes répond directement à la communication de la DGFiP
C’est précisément la présentation du périmètre de l’incident que ZeroBytes conteste.
Dans une déclaration transmise à FrenchBreaches, le pirate estime que la communication de l’administration ne reflète pas suffisamment la nature de l’environnement auquel il affirme avoir accédé.
« La DGFiP affirme que les données n’appartiennent pas à impots.gouv.fr et ne sont pas liées à des comptes. Trompeur. »
Il poursuit :
« Nous avons accédé à un outil fiscal DGFiP. Les captures montrent des demandes soumises via le compte d’un contribuable, contredisant leur déclaration. »
Cette déclaration doit néanmoins être nuancée.
Les éléments transmis par ZeroBytes montrent effectivement un outil fiscal de la DGFiP contenant des informations relatives à des usagers et à leurs demandes.
Ils ne permettent pas, à eux seuls, d’établir que l’espace personnel impots.gouv.fr des contribuables a directement été compromis.
La distinction est importante : accéder illégitimement à un outil interne permettant aux agents de consulter des informations provenant des comptes des usagers n’est pas nécessairement équivalent à compromettre techniquement ces comptes eux-mêmes.
Les captures montrent des fiches fiscales particulièrement détaillées
Les captures transmises à FrenchBreaches donnent cependant une idée de la profondeur de l’accès revendiqué.
Une interface intitulée « Suivi des demandes par usager » permet notamment d’afficher une rubrique « Information usager ».
Sur l’exemple examiné, la fiche contient différentes catégories d’informations personnelles et fiscales, parmi lesquelles apparaissent :
- le numéro fiscal ;
- le nom ;
- le prénom ;
- le nom d’usage ;
- la date de naissance ;
- le lieu de naissance ;
- l’adresse d’imposition ;
- l’adresse d’envoi ;
- la situation familiale ;
- le nombre de personnes à charge ;
- le nombre de parts fiscales ;
- le revenu fiscal de référence ;
- le taux de prélèvement à la source ;
- le numéro de téléphone ;
- l’adresse e-mail ;
- différentes options de dématérialisation.
L’interface ne se limite pas à une fiche d’identité fiscale.
Elle permet également de consulter un historique des demandes adressées à l’administration.
Des messages privés entre contribuables, entreprises et services fiscaux
Une autre capture communiquée à FrenchBreaches montre le dossier d’une entreprise et son historique d’échanges avec l’administration fiscale.
Plusieurs demandes apparaissent dans l’interface, notamment autour de la TVA, de problèmes de paiement, de réclamations, de dépôts de documents ou de questions adressées à l’administration.
En ouvrant une demande, l’outil affiche son historique de traitement.
Il est possible d’y voir les différentes affectations du dossier entre agents ainsi que le message initial envoyé par l’usager.
Dans l’exemple transmis, une entreprise explique notamment avoir reçu un courrier concernant une dette de TVA, indique avoir réglé certaines sommes et pénalités et sollicite une remise gracieuse pour d’autres pénalités.
Des pièces jointes sont également visibles dans la demande.
Les éléments fournis par le pirate montrent donc un environnement permettant potentiellement de consulter non seulement des données fiscales structurées, mais aussi des échanges entre des particuliers ou professionnels et leurs services fiscaux.
ZeroBytes revendique l’accès à 6 366 056 demandes fiscales
Interrogé par FrenchBreaches sur le volume contenu dans cet environnement, ZeroBytes avance un chiffre particulièrement important :
6 366 056 demandes.
Selon lui, ce nombre correspondrait au volume de demandes présentes dans l’environnement auquel il avait accès.
Ce chiffre n’est toutefois pas confirmé par la DGFiP.
Il ne permet pas non plus d’affirmer que 6,36 millions de demandes ont été téléchargées ou même individuellement consultées par le pirate.
Il faut en effet distinguer trois notions : les informations accessibles depuis un système, celles effectivement consultées et celles réellement exfiltrées.
La DGFiP indique elle-même que ses investigations se poursuivent afin de déterminer précisément la nature et le volume des données extraites ainsi que le nombre d’usagers concernés.
Une seconde fuite revendiquée : 2 041 778 propriétaires
L’affaire pourrait prendre une dimension supplémentaire.
ZeroBytes revendique auprès de FrenchBreaches une autre compromission liée aux données cadastrales de la DGFiP.
Cette fois, le pirate affirme avoir accédé au Serveur Professionnel de Données Cadastrales (SPDC).
Il dit avoir extrait :
252 149 lignes de données.
Une même parcelle pouvant comporter plusieurs titulaires, ZeroBytes affirme que l’ensemble représenterait au total :
2 041 778 personnes.
Cette revendication doit être clairement distinguée de l’incident concernant les quelque 678 000 particuliers et professionnels reconnu dans le communiqué du 14 août.
À ce stade, la DGFiP n’a pas confirmé cette seconde compromission ni le chiffre de 2 041 778 propriétaires avancé par ZeroBytes.
Des données reliant identité et patrimoine immobilier
Les échantillons associés à cette seconde revendication comporteraient des informations permettant de rapprocher l’identité des titulaires de leurs références foncières.
Parmi les données observées figurent notamment :
- nom et prénoms ;
- sexe ;
- date et lieu de naissance ;
- nom d’usage ;
- adresse du titulaire ;
- identifiant foncier / MAJIC ;
- département ;
- commune ;
- section cadastrale ;
- numéro de parcelle ;
- droits associés au bien ;
- autres titulaires éventuellement associés à la même parcelle.
La sensibilité d’une telle base repose notamment sur le croisement des informations.
Elle permettrait potentiellement de relier une identité, une date de naissance et une adresse à des références de biens immobiliers.
Pour un acteur malveillant, ces données pourraient faciliter des campagnes de phishing très personnalisées, des tentatives d’usurpation d’identité ou des escroqueries utilisant de véritables informations foncières afin de renforcer leur crédibilité.
Jusqu’à 20 millions de personnes consultables, affirme ZeroBytes
Le pirate assure que son extraction de 252 149 lignes ne représenterait qu’une fraction de ce qu’il aurait été techniquement possible de récupérer.
ZeroBytes estime que le système auquel il dit avoir accédé permettrait potentiellement de rechercher les informations d’environ :
20 millions de personnes.
Ce chiffre ne correspond toutefois ni à 20 millions de victimes confirmées ni à 20 millions de personnes dont les données auraient été extraites.
Il s’agit exclusivement d’une estimation avancée par ZeroBytes sur le volume qu’il considère avoir été potentiellement accessible.
FrenchBreaches ne dispose pas, à ce stade, d’éléments permettant de confirmer indépendamment cette estimation.
Le pirate affirme avoir contourné une authentification multifacteur
ZeroBytes fournit également sa version du mécanisme ayant conduit à l’accès au SPDC.
Selon son récit, après une authentification, il serait parvenu à contourner un mécanisme d’authentification multifacteur (MFA) et à maintenir son accès suffisamment longtemps pour automatiser une partie de la récupération des informations.
Il affirme avoir finalement interrompu l’extraction en raison de sa lenteur.
Une récupération beaucoup plus importante aurait, selon ses propres estimations, nécessité plusieurs mois.
Ces affirmations concernant le contournement du MFA, la méthode d’accès et sa durée ne sont pas confirmées indépendamment.
Elles constituent à ce stade le récit technique fourni par l’auteur de la revendication.
Intermarché Drive, EVA et le handball français parmi les autres cibles revendiquées
La DGFiP est aujourd’hui la revendication la plus documentée associée à ZeroBytes, mais elle n’est pas la seule.
Le pirate affirme également être derrière des compromissions ayant concerné Intermarché Drive, EVA et des données liées au handball français.
Ces différentes cibles montrent surtout l’absence de secteur privilégié dans son activité.
Administration fiscale, commerce, loisirs ou sport : ZeroBytes assure ne pas sélectionner ses victimes en fonction d’une industrie particulière.
La même logique s’applique aux informations qu’il recherche.
« Je n’ai pas de préférence particulière, je pense que tout se vend alors je récupère ce que je peux. »
Les éléments fournis pour cette interview ne permettent toutefois pas d’établir avec le même niveau de précision que pour la DGFiP l’ensemble des catégories et volumes de données effectivement extraits dans chacune de ces autres affaires.
FrenchBreaches distingue donc les revendications du pirate des éléments pouvant être établis ou confirmés indépendamment.
« L’erreur humaine, les failles, la stupidité, le manque de sérieux »
ZeroBytes explique qu’il n’existe pas, selon lui, de recette unique permettant de compromettre une organisation.
Les chemins d’accès varieraient fortement selon les cibles.
« Un peu de tout, l’erreur humaine, les failles, la stupidité, le manque de sérieux et de prudence et tant d’autres. Des fois ce n’est pas leur faute et ils ne peuvent rien y faire donc cela dépend des cibles. »
Certaines organisations seraient néanmoins beaucoup moins préparées que d’autres.
« Ça dépend encore une fois des cibles mais certains ne prennent vraiment pas conscience du danger et ne se protègent pas assez, voire pas du tout. »
Le pirate ne fournit pas davantage de détails opérationnels sur les méthodes utilisées pour compromettre chacune des plateformes revendiquées.
« Ça ne me choque plus »
Lorsqu’on lui demande sa réaction face à la quantité d’informations auxquelles il peut parfois accéder, ZeroBytes affirme s’être habitué à l’ampleur de certaines compromissions.
« Ça ne me choque plus, néanmoins je suis content de l’ampleur que ça a pris, il faut que les gens se réveillent et voient à quel point la France est un sketch. »
Une déclaration particulièrement dure alors que les informations compromises peuvent appartenir à des centaines de milliers de personnes n’ayant aucun contrôle direct sur la sécurité informatique des organismes auxquels elles les ont confiées.
ZeroBytes affirme travailler en binôme
Derrière le pseudonyme ZeroBytes ne se trouverait pas nécessairement un pirate complètement isolé.
Il affirme travailler avec une seconde personne.
« On est une équipe de 2 personnes, on se répartit les tâches et on se coordonne bien, ce qui nous permet d’exécuter à la perfection nos attaques. »
Le fonctionnement décrit est donc celui d’un binôme se répartissant les différentes étapes des opérations.
Aucune information permettant d’identifier le second membre n’a été communiquée.
ZeroBytes communique publiquement notamment via son compte X @ZeroBytesG.
« Je vends généralement »
La finalité de ces opérations est essentiellement financière.
ZeroBytes explique que les informations récupérées sont généralement destinées à être revendues.
« Je vends généralement, les clients déterminent la valeur eux-mêmes et me proposent un prix que je confirme avec eux ensuite. »
Interrogé sur la place de cette activité dans ses revenus, il explique qu’elle constitue partiellement une source de revenus.
Ses acheteurs rechercheraient avant tout des bases de données.
« Ils recherchent surtout des bases de données pour les utiliser ensuite à des fins que j’ignore. »
Cette absence revendiquée de connaissance de l’utilisation finale n’élimine évidemment pas les risques pour les personnes dont les informations sont commercialisées.
Des données fiscales, personnelles ou foncières peuvent notamment être utilisées pour construire des tentatives de fraude et d’ingénierie sociale beaucoup plus crédibles.
« Ce que les gens font après n’est pas mon souci »
Interrogé sur les conséquences potentielles pour les victimes une fois leurs données revendues, ZeroBytes se montre particulièrement détaché.
« Je ne suis qu’un revendeur, ce que les gens font après n’est pas mon souci. Les entreprises auraient dû se protéger correctement. »
Le pirate reconnaît néanmoins éprouver une certaine compassion.
« Bien évidemment, j’éprouve aussi une quelconque compassion et des remords, tout le monde vit avec et c’est également mon cas. »
Deux positions qui résument la contradiction de son discours : reconnaître l’existence de conséquences humaines tout en considérant que la responsabilité repose principalement sur les organisations compromises.
Des informations idéales pour construire des arnaques crédibles
L’affaire DGFiP montre précisément pourquoi ce type de données peut devenir dangereux après une compromission.
Un fraudeur disposant simultanément d’informations sur l’identité, la situation fiscale, les coordonnées ou le patrimoine immobilier d’une personne peut construire une sollicitation beaucoup plus convaincante qu’un simple e-mail envoyé au hasard.
Le risque est encore renforcé si l’attaquant dispose d’éléments relatifs à de véritables échanges avec l’administration.
Une victime pourrait ainsi recevoir un message contenant suffisamment d’informations exactes pour croire qu’elle échange réellement avec son service des impôts.
Les entreprises peuvent également devenir la cible de scénarios utilisant de véritables informations relatives à leurs démarches fiscales ou administratives.
Les données pourraient notamment alimenter :
- des campagnes de phishing ciblé ;
- de faux e-mails attribués à l’administration fiscale ;
- des tentatives d’usurpation d’identité ;
- des fraudes reposant sur de véritables informations fiscales ;
- des scénarios d’ingénierie sociale visant des professionnels ;
- le croisement avec d’autres bases de données compromises.
Des risques qui peuvent dépasser les seules fraudes en ligne
La nature des informations concernées par l’affaire DGFiP peut faire peser des risques allant au-delà du phishing et de l’usurpation d’identité. Les données évoquées permettent notamment de rapprocher une identité de coordonnées personnelles, d’informations fiscales et, dans certains cas, d’éléments relatifs au patrimoine immobilier, comme l’adresse et les caractéristiques de biens.
Les données cadastrales revendiquées permettraient en outre de relier une personne, sa date de naissance et son adresse à des références foncières précises.
Entre de mauvaises mains, le croisement de telles informations pourrait servir à préparer des escroqueries particulièrement crédibles, à cibler des personnes en fonction de leur situation financière ou patrimoniale et, dans des scénarios plus graves, contribuer au repérage de domiciles en vue de vols ou de cambriolages.
Ce dernier risque doit toutefois être présenté comme un scénario potentiel et non comme une conséquence constatée de cette fuite : les éléments disponibles ne permettent pas d’établir que des cambriolages ont effectivement été commis à partir de ces données. La diffusion ou la revente de ces informations peut également prolonger le risque dans le temps, notamment lorsqu’elles sont recoupées avec d’autres bases de données compromises.
La DGFiP a saisi la CNIL et travaille avec l’ANSSI
Face à l’intrusion qu’elle a confirmée, l’administration indique avoir mis en œuvre des mesures de sécurité complémentaires, notamment par des coupures préventives d’accès à certains systèmes d’information sensibles.
La CNIL a été saisie après l’identification du vol de données.
Les équipes de la DGFiP travaillent également avec les services spécialisés des ministères économiques et financiers et l’ANSSI.
L’administration prévoit de contacter individuellement les particuliers et professionnels identifiés comme concernés afin de leur préciser les informations susceptibles d’avoir été consultées ou extraites et, lorsque cela est nécessaire, les mesures de vigilance à adopter.
Une plainte doit également être déposée.
Entre faits confirmés et revendications, un périmètre encore difficile à mesurer
L’affaire ZeroBytes réunit désormais plusieurs niveaux d’information qu’il est indispensable de ne pas confondre.
Un premier élément est officiellement établi : la DGFiP reconnaît des accès illégitimes à son système d’information et l’extraction de données concernant environ 678 000 particuliers et professionnels.
Le reste du périmètre avancé par le pirate demeure, à des degrés différents, à confirmer.
ZeroBytes affirme avoir eu accès à un environnement contenant 6 366 056 demandes fiscales.
Les captures transmises à FrenchBreaches montrent effectivement des interfaces permettant de consulter des informations détaillées sur des usagers ainsi que des historiques de demandes et le contenu de certains échanges avec les services fiscaux.
Mais ces captures ne permettent pas de démontrer que les 6,36 millions de demandes ont toutes été consultées ou extraites.
Le pirate revendique parallèlement une seconde compromission du Serveur Professionnel de Données Cadastrales, avec 252 149 lignes extraites représentant selon lui 2 041 778 propriétaires.
Il estime enfin qu’environ 20 millions de personnes auraient potentiellement été consultables depuis ce système.
Ces trois derniers chiffres proviennent de ZeroBytes et ne constituent pas des bilans confirmés par l’administration.
Une affaire qui dépasse désormais la seule question des 678 000 victimes
Les investigations de la DGFiP devront désormais permettre de préciser ce qui a réellement été accessible, consulté et surtout exfiltré.
Le communiqué officiel établit déjà que l’attaque n’était pas anodine : des informations fiscales et cadastrales ont effectivement été extraites et environ 678 000 particuliers et professionnels sont concernés à ce stade.
Les éléments transmis par ZeroBytes soulèvent cependant une autre question : jusqu’où l’attaquant a-t-il réellement pu naviguer dans les outils internes de l’administration ?
Les captures montrant des fiches fiscales et des échanges entre usagers et services des impôts donnent un aperçu concret de la profondeur de l’accès revendiqué.
La seconde affaire cadastrale pourrait encore élargir considérablement le périmètre si elle venait à être confirmée.
Entre les 678 000 personnes reconnues par la DGFiP, les 6 366 056 demandes auxquelles ZeroBytes affirme avoir eu accès et les 2 041 778 propriétaires revendiqués dans une seconde extraction, l’enjeu consiste désormais à séparer précisément ce qui était accessible de ce qui a réellement été volé.
Pour les personnes concernées, cette distinction technique est essentielle pour mesurer l’incident.
Pour ZeroBytes, elle semble beaucoup moins importante.
Son modèle tient en quelques mots :
« Je cherche, je trouve et je fais. »
Note légale et éditoriale
Cet article est publié exclusivement à des fins d’information, de sensibilisation et de documentation. Nous ne cautionnons, n’encourageons ni ne facilitons aucune intrusion informatique, accès frauduleux à un système, extraction, acquisition, diffusion ou utilisation illicite de données personnelles. L’accès ou le maintien frauduleux dans un système informatique, ainsi que certaines opérations portant sur des données obtenues illicitement, sont susceptibles de constituer des infractions pénales.
Les pseudonymes, revendications, captures et informations mentionnés le sont uniquement afin de documenter des faits d’intérêt public et ne constituent ni une approbation des actes décrits, ni une incitation à les reproduire.
Aucune donnée personnelle issue des fichiers revendiqués n’est volontairement reproduite dans le but de permettre son exploitation. Les affirmations provenant des auteurs des revendications sont présentées comme telles et ne doivent pas être considérées comme établies lorsqu’elles n’ont pas fait l’objet d’une confirmation indépendante.