Deux adolescents, dont un de moins de 16 ans, ont été interpellés dans l'affaire du piratage massif de la Direction générale des Finances publiques. Plus de 678 000 personnes ont vu leurs données fiscales consultées et extraites par le groupe de hackers « ZeroBytes » entre juin et août 2026.
Le premier suspect, âgé de 18 ans a déjà été mis en examen deux fois pour des faits similaires quand il était mineur. Le second, libéré après sa garde à vue, n'a même pas 16 ans. Si des adolescents peuvent pénétrer l'une des bases de données les plus sensibles de l'État français, c'est que le problème ne vient pas tellement de leur génie technique, mais bien des failles béantes dans la protection des accès.
La DGFiP, un coffre-fort ouvert avec des clés qui traînent
La Direction générale des Finances publiques centralise toutes les informations fiscales des Français : vos revenus, votre situation familiale, votre adresse, vos prélèvements à la source, vos biens immobiliers. C'est l'administration qui sait tout de votre vie financière. Des milliers d'agents et de prestataires ont besoin d'accéder à ces données pour traiter vos demandes, corriger vos dossiers ou répondre à vos questions.
Le problème, c'est que ces accès sont trop larges et insuffisamment protégés. Quand un compte avec des droits étendus est compromis, l'attaquant peut consulter des centaines de milliers de dossiers sans que personne ne s'en aperçoive immédiatement, et c'est exactement ce qui s'est passé ici.
Comment des ados ont pu pirater l'administration fiscale
La directrice générale de la DGFiP, Amélie Verdier, l'a reconnu elle-même : « La première attaque n'a été possible que par la combinaison de compromissions de comptes ». Autrement dit : les pirates ont récupéré les identifiants de collaborateurs internes disposant d'accès privilégiés, puis se sont connectés comme s'ils étaient des agents légitimes.
Pas besoin de forcer une porte blindée quand quelqu'un vous donne les clés... Les attaquants ont navigué tranquillement dans les bases de données, extrait ce qui les intéressait, et ce n'est que plusieurs semaines plus tard, après l'alerte de l'ANSSI et leur revendication publique, que l'administration a réalisé l'ampleur du désastre.
Pourquoi cette attaque a fonctionné
Le cœur du problème s'appelle l'IAM (Identity and Access Management, ou gestion des identités et des accès). Dans une organisation comme la DGFiP, il faut gérer des milliers de comptes avec des niveaux de droits différents. Certains agents peuvent consulter quelques dossiers, d'autres en ont des centaines de milliers sous la main pour pouvoir traiter rapidement les demandes.
Ces comptes à privilèges étendus n'étaient protégés que par un simple identifiant et mot de passe, sans authentification multifacteur (MFA). Résultat : un adolescent déterminé avec quelques compétences en phishing ou en récupération de mots de passe a pu faire ce qu'il voulait.
Depuis, des mesures ont été annoncées pour mieux sécuriser nos administrations, mais cela ne réparera pas le mal déjà fait...