Piratage du fisc : un hackeur de 16 ans mis en examen, ses outils menacent aussi les détenteurs de crypto
Seize ans, et déjà deux mises en examen. Le Monde rapporte que l’adolescent surnommé « Casquette » a été mis en examen mercredi 28 octobre dans l’enquête sur le piratage de la DGFiP. Corneille pensait à Rodrigue. La justice vise désormais un garçon des Bouches-du-Rhône, soupçonné d’avoir aidé à siphonner les données de 678 000 contribuables.
Pour les détenteurs de crypto, l’affaire déborde largement du fisc. Le duo visé par les juges vendait un infostealer qui aspire mots de passe et wallets sur les ordinateurs infectés. Les fichiers volés à Bercy offrent en prime les noms, adresses et revenus de centaines de milliers de Français. Nous avions détaillé ce risque dès l’annonce du piratage de la DGFiP.
Points clés
- Un mineur de 16 ans, alias « Casquette », rejoint ChatNoir sur le banc des mis en examen.
- Les enquêteurs voient dans ce tandem les deux têtes du groupe ZeroBytes.
- Leur ancienne bande, Epsilon, écoulait un voleur d’identifiants auprès d’autres pirates.
- Les accès des agents du fisc ont justement été dérobés par ce type de logiciel.
Piratage du fisc : la garde à vue de Casquette
L’Office anti-cybercriminalité (OFAC) l’a placé en garde à vue le mardi 27 octobre, sur commission rogatoire des juges d’instruction. Le lendemain, les juges l’ont mis en examen pour extraction frauduleuse de données d’un système de l’État en bande organisée. S’y ajoutent l’accès et le maintien frauduleux dans ce même système.
Il avait 15 ans au moment des faits.
Le parquet de Paris avait requis un contrôle judiciaire, et c’est ce que les magistrats ont retenu. Son avocat Me Réda Ghilaci évoque auprès du Monde une mise en examen « particulièrement fragile ». Il compte la contester dans les prochains jours.
Casquette n’est pas un inconnu des services. Il avait déjà passé une garde à vue fin août à la brigade cyber de la préfecture de police de Paris. Le 4 septembre, il était mis en examen dans une autre procédure visant le groupe Epsilon.
Son complice présumé ChatNoir (18 ans) est en détention provisoire depuis l’été dans le dossier du fisc. Il était déjà sous contrôle judiciaire pour le piratage de Free de 2024 quand les intrusions à Bercy ont commencé.
Un infostealer derrière le piratage du fisc et des wallets
Sous la bannière Epsilon, le tandem revendait un infostealer à d’autres cybercriminels. Les juges lui prêtent aussi les piratages de Shadow et de LDLC entre 2023 et 2024. Plusieurs comptes X de rédactions sont passés entre ses mains, dont celui de BFMTV.
Le principe est d’une simplicité brutale. Une fois sur la machine, le programme copie les mots de passe mémorisés par le navigateur et les transmet à son opérateur. Sur un poste qui sert aussi à gérer des cryptos, la récolte inclut les extensions de wallet, les sessions d’exchanges ouvertes et parfois une seed phrase oubliée dans un fichier texte.
C’est par cette porte que Bercy est tombé. Le rapport de l’Anssi publié le 29 septembre estime que plusieurs dizaines d’identifiants d’agents ont été « probablement aspirés par des infostealers ». Le fisc n’administrait pas ces ordinateurs. Deux portails n’avaient pas d’authentification forte, et environ 14 Go de données sont sortis en trois mois sans déclencher d’alerte.
La méthode paie aussi de plus en plus dans la crypto. D’après les chiffres de Chainalysis relayés par The Block, les compromissions de wallets personnels ont atteint 158 000 cas en 2025. Au moins 80 000 victimes y ont perdu 713 millions de dollars. L’analyste note que les attaquants visent désormais des montants plus modestes chez davantage d’utilisateurs. En 2024, les particuliers avaient perdu 1,5 milliard de dollars.
Piratage du fisc : ce que les fichiers volés offrent aux braqueurs
Le lot volé à la DGFiP contient 392 867 particuliers et 285 570 professionnels, avec le revenu fiscal de référence, l’adresse et la situation familiale. Pour un braqueur qui cherche un foyer aisé à visiter, c’est un annuaire. L’Anssi précisait fin septembre qu’aucune agression n’avait encore été reliée à ces fichiers. ZeroBytes affirme pourtant avoir vendu une partie des données à deux acheteurs pour quelques milliers d’euros.
L’État veut imposer l’authentification forte à ses administrateurs avant le 31 décembre 2026, puis à tous ses agents avant février 2028. Notre analyse du rapport de l’Anssi sur le piratage du fisc détaillait ce calendrier. D’ici là, la double authentification sur vos exchanges et un wallet matériel restent votre meilleure parade contre un infostealer.
Le Journal Du Coin
Un article de la rédaction. Le Journal du Coin, premier média d’actualités francophone sur la cryptomonnaie, Bitcoin, et les protocoles blockchain.