Le jeune homme connu sous le pseudonyme de « ChatNoir » a été mis en examen et placé en détention provisoire le vendredi 4 septembre 2026. Il est soupçonné d'être l'un des cerveaux du piratage massif ayant visé cet été la Direction générale des finances publiques (DGFiP).
Une intrusion revendiquée sur un forum cybercriminel
L'affaire débute fin juin 2026 avec une première intrusion dans le système d'information de la DGFiP. L'accès aurait été obtenu en usurpant un identifiant permettant de se connecter au VPN réservé aux agents du fisc pour leurs outils internes. Cette prise en main a permis de lancer une extraction automatisée de données avant que la connexion ne soit coupée. L'attaquant aurait expliqué avoir été repéré en pleine exfiltration.
Le 12 août, un message apparaît sur un forum cybercriminel très fréquenté. Sous le pseudonyme ZeroBytes, son auteur revendique l'intrusion sur impots.gouv.fr et propose à la vente un extrait de la base de données : 678 438 lignes, soit environ 678 000 personnes concernées. Une seconde attaque a suivi, ciblant cette fois le système de données cadastrales, avec plus de 2 millions de propriétaires potentiellement exposés.
Un parcours déjà chargé : BFM TV, RMC, LDLC, Free
Ce n'est pas la première fois que le nom d'Epsilon Group, le collectif dont ChatNoir serait cofondateur, est associé à un piratage médiatisé. Le samedi 23 mars 2024, aux alentours de 16 heures, les comptes X (ex-Twitter) du groupe BFM TV ont affiché plusieurs messages ne provenant pas de la chaîne. Le premier message se moquait de l'attentat perpétré la veille dans la banlieue de Moscou, renvoyant vers le compte X d'Epsilon Group. D'autres comptes du groupe, notamment ceux d'émissions emblématiques, ont également été piratés.
ChatNoir est déjà mis en examen dans plusieurs autres affaires de cybercriminalité commises alors qu'il était mineur : le piratage des comptes X de BFM-TV et RMC, ainsi que des vols de données chez des entreprises comme LDLC et Free. Un second suspect, un adolescent de 16 ans, a été interpellé le 26 août dans le dossier DGFiP avant d'être remis en liberté sans mise en examen, le temps pour les enquêteurs d'exploiter le matériel informatique saisi.
Des motivations financières plutôt que politiques
ZeroBytes n'a pas revendiqué de motivation idéologique ni politique sur son compte X @ZeroBytesG, désactivé depuis le vendredi 4 septembre. Interrogé sur ses motivations, il mentionne l'attrait de l'argent et un goût du pouvoir.
Un fichier comme celui de la DGFiP, capable d'identifier des contribuables fortunés et leur lieu de résidence, inquiète particulièrement les autorités. La France est l'un des pays où se concentre ce que l'on appelle des wrench attacks, c'est-à-dire des agressions où la victime est forcée, sous la menace, de transférer ses cryptomonnaies. Le pirate aurait laissé derrière lui des traces et des éléments d'identification sur sa chaîne Telegram, notamment des liens vers des portefeuilles de cryptomonnaies. Ce type de piratage, une atteinte à un système de traitement automatisé de données, est passible de cinq ans d'emprisonnement et de 150 000 euros d'amende.
