Depuis l'été 2026, le nom ZeroBytes revient dans l'actualité : un ou plusieurs pirates revendiquent des intrusions contre des services de l'État français, notamment la Direction générale des Finances publiques (DGFiP), l'Éducation nationale et la plateforme « Zéro Logement Vacant ». Certains faits sont confirmés par les autorités, d'autres ne sont que des revendications non vérifiées. Cet article fait le point à partir de plusieurs sources de presse, distingue ce qui est établi de ce qui ne l'est pas, explique les risques pour les personnes concernées et tire des enseignements pour les organisations.
Précision : la situation évolue. Cet article s'appuie sur des sources publiées jusqu'à début septembre 2026. Les chiffres viennent des pirates ou de la presse, sauf mention contraire, et les personnes interpellées sont présumées innocentes tant qu'elles ne sont pas jugées.
Chronologie des piratages attribués à ZeroBytes
| Date (2026) | Fait | Statut |
|---|---|---|
| 26 juin | Intrusion à la DGFiP et extraction de données de particuliers et de professionnels. Le chiffre de 678 438 lignes est cité par un média spécialisé, tandis que le parquet évoque des données sur plus de 600 000 personnes | Incident reconnu par la DGFiP |
| 16 juillet | Premières revendications publiques attribuées à ZeroBytes contre des institutions publiques et des entreprises | Revendiqué |
| Fin juillet | Éducation nationale (détectée le 26 juillet, via un accès VPN selon un média), données cadastrales, second incident à la DGFiP (252 149 lignes citées le 29 juillet) | Revendiqué, plusieurs incidents confirmés selon la presse |
| Mi-août | La DGFiP reconnaît publiquement l'incident, après la divulgation par le pirate. Elle conteste l'existence d'un accès persistant | Confirmé |
| 18 août | Interpellation d'un suspect de 18 ans, mis en examen le 20 août et placé en détention provisoire | Confirmé par le parquet |
| 26 août | Interpellation d'un second suspect, mineur, libéré depuis | Rapporté par la presse |
| Fin août | Revendication d'une attaque contre « Zéro Logement Vacant » : 149 millions de lignes annoncées | Non confirmé officiellement |
Le groupe est aussi soupçonné ou revendique d'autres cibles, dont Intermarché, la fédération française de handball, SFR (plus de 2 millions de lignes annoncées), Bureau Vallée, France Travail et une société d'e-sport. Plusieurs de ces revendications n'ont pas été commentées publiquement par les organisations citées.
Ce qui est confirmé, revendiqué ou contesté
| Élément | Situation |
|---|---|
| Accès non autorisé et extraction de données à la DGFiP fin juin | Confirmé par la DGFiP |
| Nombre exact de personnes touchées | Chiffres variables selon les sources (plus de 600 000 personnes, 678 438 lignes) |
| « 2 millions d'enregistrements » de contribuables | Revendiqué par le pirate ; la DGFiP n'a pas validé ce chiffre |
| Accès persistant aux systèmes de la DGFiP | Contesté par la DGFiP, qui affirme l'avoir coupé fin juin |
| 149 millions de lignes sur Zéro Logement Vacant | Revendiqué ; le chiffre désigne des lignes de données, non des personnes ; non confirmé par le gouvernement |
| Interpellations et mise en examen d'un suspect | Confirmées par le parquet |
| Nombre de personnes derrière « ZeroBytes » | Incertain : certains médias parlent d'un duo, d'autres d'un individu unique |
Pour Zéro Logement Vacant, un outil utilisé par des collectivités pour repérer les logements vacants, les données évoquées concerneraient des propriétaires : noms, adresses, dates de naissance, coordonnées. Selon la presse, le Premier ministre a reconnu des vulnérabilités sans confirmer l'attaque.
Comment auraient-ils procédé ?
Les médias évoquent des méthodes qui ne relèvent pas de failles exotiques :
- usurpation d'identifiants d'un agent et d'un tiers autorisé ;
- contournement de l'authentification multifacteur, selon les revendications du pirate ;
- accès VPN exploité pour l'Éducation nationale ;
- compromission d'un outil interne dans un autre cas (SFR).
Ces éléments restent à confirmer par les enquêtes. Ils rappellent que les attaques réussies s'appuient souvent sur les identifiants, les accès de tiers et les accès distants, plus que sur des techniques sophistiquées.
Les motivations déclarées
Contacté par l'AFP sur Telegram, le pirate a déclaré ne pas avoir de « motivations précises », si ce n'est « l'argent, j'imagine », et affirmé que les organisations françaises sont « faciles à pirater ». Ce sont des déclarations d'un auteur présumé, à prendre avec prudence : elles servent aussi la communication du pirate.
Le cadre judiciaire
Selon The Record, le suspect interpellé est poursuivi notamment pour accès non autorisé organisé à des systèmes contenant des données personnelles, vol et modification de données et participation à une association de malfaiteurs, avec des peines pouvant atteindre dix ans de prison et 300 000 euros d'amende. L'accès frauduleux à un système d'information est puni par l'article 323-1 du Code pénal. Nous ne nommons pas les personnes interpellées et rappelons la présomption d'innocence.
Quels risques pour les personnes concernées ?
Même si le volume exact reste discuté, le risque principal est l'hameçonnage et l'usurpation d'identité : des données comme le nom, l'adresse, la date de naissance ou la situation fiscale rendent les arnaques beaucoup plus crédibles.
- Faux messages ou appels se présentant comme l'administration fiscale, une banque ou une collectivité, réclamant un paiement, un remboursement ou une « mise à jour » ;
- Arnaques à l'immobilier ou aux impôts locaux, en particulier pour les propriétaires ;
- Tentatives d'accès à des comptes en se faisant passer pour vous.
Vos bons réflexes
- Ne cliquez pas sur les liens d'un message qui invoque cette affaire ou une urgence fiscale ; connectez-vous en tapant vous-même l'adresse officielle.
- Ne communiquez jamais de codes reçus par SMS, de mots de passe ou de coordonnées bancaires par téléphone ou par e-mail.
- Vérifiez l'expéditeur et les en-têtes en cas de doute (voir notre guide pour analyser un e-mail de phishing et l'analyseur d'e-mails).
- Vérifiez si votre adresse a fuité avec Have I Been Pwned, et changez les mots de passe réutilisés.
- Activez l'authentification multifacteur sur vos comptes importants.
- Signalez les messages frauduleux aux plateformes officielles de signalement, et déposez plainte en cas d'usurpation ou de préjudice.
- Faites valoir vos droits : une personne dont les données sont exposées peut demander des informations à l'organisme concerné et saisir la CNIL.
Ce que les organisations peuvent en retenir
Sans préjuger des conclusions des enquêtes, les méthodes évoquées conduisent aux mêmes priorités :
- Authentification multifacteur robuste pour les accès distants et les comptes à privilèges, avec des méthodes résistantes à l'hameçonnage quand c'est possible ;
- Gestion des accès des tiers : comptes nominatifs, droits minimaux, revue régulière, désactivation rapide ;
- Surveillance des VPN et des connexions inhabituelles : horaires, pays, volumes de données extraites ;
- Limitation de l'accès aux données : principe du moindre privilège, cloisonnement, journalisation des consultations massives ;
- Détection des extractions volumineuses et alertes sur les exports ;
- Plan de réponse à incident avec décisions de notification (CNIL, autorités) prêtes à l'avance ; voir notre article sur l'ISO 27035 ;
- Communication transparente avec les personnes concernées, sans attendre que le pirate publie.
Ce que l'on ignore encore
- Le nombre réel de personnes touchées pour chaque cible, distinct du nombre de lignes de données ;
- La confirmation officielle de plusieurs revendications, dont Zéro Logement Vacant ;
- L'organisation réelle du ou des auteurs et les liens entre les affaires ;
- Le sort des données : ont-elles été vendues, publiées ou conservées ;
- Les suites judiciaires et les éventuelles autres interpellations.
En résumé
ZeroBytes désigne un ou plusieurs pirates qui revendiquent une série d'attaques contre des services publics et des entreprises françaises entre juin et août 2026. L'intrusion à la DGFiP est reconnue par l'administration, des interpellations et une mise en examen ont eu lieu, mais beaucoup de chiffres restent des revendications. Pour les particuliers, le danger immédiat est le phishing : la prudence face aux messages et aux appels est la meilleure protection. Pour les organisations, l'enseignement est classique : sécurisez les identifiants, les accès distants et les accès des tiers, et préparez vos décisions de crise avant d'en avoir besoin.
Sources consultées
Cet article s'appuie notamment sur The Record, The Register, Cyber Daily, Connexion France, franceinfo et Le JDD.