ZeroBytes contre le fisc : 2 millions de contribuables exposés, l'État impuissant ?

Les faits

Le média 20 Minutes a révélé la cyberattaque le 17 août 2026. Selon les informations recoupées, un duo de pirates — ZeroBytes — a pénétré les systèmes de la DGFiP. Ils ont emporté noms, adresses, revenus fiscaux de référence : de quoi identifier précisément chaque victime.

D'après 20 Minutes, les contribuables concernés font face à trois risques majeurs. D'abord, le hameçonnage : des courriels ou SMS usurpant l'identité du fisc pour soutirer davantage d'informations bancaires. Ensuite, des messages intempestifs — appels, spams, tentatives d'ingénierie sociale. Enfin — et c'est le plus grave — des cambriolages ciblés. Connaître l'adresse et les revenus d'une personne permet de savoir quand elle est absente et ce qu'elle possède.

20 Minutes précise que plus de deux millions de personnes sont touchées. Colossal. Bien au-delà des premières estimations. La DGFiP a confirmé l'incident, mais les détails exacts sur la nature des données dérobées restent flous. Les deux articles du média convergent sur l'essentiel : l'ampleur est inédite, et les conséquences concrètes commencent à peine.

Le contexte

ZeroBytes ? Les spécialistes en cybersécurité connaissent déjà ce nom. Selon 20 Minutes, ce duo — ou ce groupe se présentant comme tel — a déjà revendiqué d'autres attaques contre des administrations françaises. Leur mode opératoire : exploiter des failles dans des systèmes vieillissants, puis publier des échantillons de données pour prouver leur coup.

Qui sont-ils ? Mystère. Aucune revendication politique claire n'a filtré. S'agit-il de cybercriminels cherchant à monnayer les données ? D'activistes voulant dénoncer la vulnérabilité de l'État ? Les sources disponibles ne permettent pas de trancher. Une certitude : la DGFiP n'a pas su protéger un fichier contenant des informations parmi les plus sensibles que l'administration détient sur ses citoyens.

Le timing ? Pas anodin. Cette attaque survient après une série de fuites similaires : hôpitaux, collectivités locales, opérateurs de services essentiels. La France est devenue une cible de choix pour les pirates. Bercy n'a pas fait exception.

Le traitement judiciaire

Aucune interpellation, à ce stade. Le parquet de Paris a confié l'enquête à sa section de lutte contre la cybercriminalité, comme le rapporte 20 Minutes. Les investigations démarrent à peine. Les autorités tentent de remonter la piste des serveurs utilisés par ZeroBytes, mais les pirates masquent leurs traces via des VPN et des réseaux anonymes.

Pas de mise en examen pour l'instant. La présomption d'innocence, évidemment. Mais le silence des enquêteurs laisse planer un doute sur leur capacité à identifier les auteurs rapidement. Rappel : les précédentes cyberattaques contre l'administration française — comme celle contre France Travail en 2024 — n'ont toujours pas abouti à des condamnations.

Reste les contribuables. Livrés à eux-mêmes. 20 Minutes rappelle les gestes de base : changer ses mots de passe, ne pas répondre aux sollicitations suspectes, surveiller ses comptes. Mais ces conseils de bon sens ne remplacent pas une protection efficace en amont.

Ce que ça dit de la France

Au-delà du fait divers, cette affaire révèle une fragilité systémique dans la protection des données personnelles par l'administration. L'État collecte tout : impôts, santé, identité. Mais il sécurise tout ça avec des outils d'un autre siècle.

Le lien de confiance entre le citoyen et l'administration ? Volé en éclats. Comment accepter de déclarer ses revenus, son patrimoine, son adresse, quand on sait que ces données peuvent fuiter à tout moment ? Le contribuable paie des impôts parmi les plus élevés du monde développé — près de 45 % du PIB en prélèvements obligatoires. En échange ? Une promesse de protection. Qui s'effondre au premier pirate venu.

Cruelle ironie. Bercy traque le moindre euro non déclaré, mais n'a pas verrouillé ses propres portes. Les hackers n'ont pas eu besoin de forcer un coffre : ils ont exploité des accès légitimes, probablement via des identifiants volés à des agents ou des prestataires. Selon 20 Minutes, les intrusions ont eu lieu en juin et juillet 2026. Des semaines avant que l'alerte ne soit donnée.

Pendant ce temps, les données de deux millions de Français traînent sur des forums clandestins. Des adresses, des revenus, des situations familiales. De quoi cambrioler sur mesure. De quoi hameçonner avec un réalisme terrifiant — le pirate connaît le montant exact de votre impôt, après tout.

La France est-elle plus vulnérable que ses voisins ? Les sources disponibles ne permettent pas de comparer. Mais on sait que des pays comme l'Estonie ou le Danemark ont investi massivement dans la cybersécurité publique. Chez nous, les budgets stagnent, les systèmes vieillissent, les audits se font rares.

Et maintenant ? Les contribuables concernés ? Vigilance. Mais la vraie question est ailleurs : combien de temps encore l'administration va-t-elle accumuler des données sans les protéger ? Le prochain piratage ? Pas une hypothèse. Une certitude. Et le citoyen paiera encore l'addition.