Un duo français : qui sont ZeroBytes, les pirates du fisc qui affirment avoir vendu les données volées ?

Se présentant comme un duo français, ZeroBytes, les pirates derrière le vol massif de données au fisc, déjà connus pour de précédentes cyberattaques, ont déclaré, lundi 17 août, à l'AFP avoir vendu leur butin, une affirmation à ce stade invérifiable. 

Selon le groupe, les fichiers ont été vendus à "deux personnes" pour une somme se chiffrant en "milliers d'euros". Il refuse d'en dire davantage sur les acheteurs. "Les données sont toujours en vente", ajoute-t-il, une même base pouvant être copiée et cédée à plusieurs clients. 

Ce vol de données concerne au moins 678.000 particuliers et professionnels et environ 200.000 comptes présents dans ses fichiers cadastraux. Parmi les informations fiscales des particuliers dérobées figurent les noms et prénoms, le revenu fiscal de référence, le quotient familial ou encore le taux de prélèvement à la source. 

Deux pirates français

ZeroBytes affirme être composé de deux pirates se présentant comme français. L'AFP a échangé avec le groupe sur Telegram, à partir de coordonnées publiées sur un forum du dark web consacré à la vente de données volées. Interrogé sur ses objectifs, le duo assure ne pas avoir de "motivations précises", si ce n'est "l'argent, j'imagine". 

"Leur profil me semble totalement crédible", estime auprès de l'AFP Sébastien, du site spécialisé FrenchBreaches, qui a été le premier à documenter l'affaire. Selon lui, l'intrusion témoigne moins d'un exploit technique que d'une possible "faiblesse de la DGFIP". Il s'interroge notamment sur l'absence apparente d'alerte face à l'extraction de centaines de milliers de lignes de données. 

"On a quelqu'un qui manifestement joue un peu en donnant au fur et à mesure les choses", avait regretté la directrice générale de la DGFIP Amélie Verdier vendredi lors d'un point avec la presse. 

Quelles sont leurs motivations ?

Sans surprise, les pirates informatiques avaient pour objectif de revendre les données volées sur le dark web contre de l'argent. Ils assurent d'ailleurs avoir empoché des "milliers d'euros" grâce à celles-ci. Mais ce n'est pas tout. Ils cherchent aussi à être reconnus dans le milieu.

"On a des jeunes gens qui sont, en règle générale, des enfants entre 15 et 20 ans qui ne sont pas des gens extrêmement techniques, qui souvent sont en mal de reconnaissance", assure Baptiste Robert, chercheur en cybersécurité et hacker éthique, invité sur RTL. "Ils vont trouver, par ces exploits-là, une reconnaissance dans l'espace numérique qui leur permet de briller. C'est beaucoup ça que les hackeurs recherchent", assure le spécialiste.

Selon lui, ces hackers "n'ont pas vraiment conscience" qu'ils risquent jusqu'à 7 ans de prison. "Ce qui compte pour eux, c'est vraiment l'instant, le bruit qu'ils font. Là, pour le coup, ils sont servis. En termes médiatiques, il y a beaucoup de bruit sur ce hack. C'est vraiment ça qu'ils regardent : la presse, les passages à la télé, le fait qu'on parle de ce qu'ils ont fait. Ça va booster leur égo".

"Dans le monde des hackers, la réputation du pseudonyme est extrêmement importante", souligne Baptiste Robert. "Associer son pseudonyme à de grands exploits, c'est le seul objectif qu'on recherche".

D'autres piratages revendiqués par ZeroBytes

Avant de s'en prendre au fisc, ZeroBytes avait déjà revendiqué sur des forums du dark web des piratages visant les supermarchés Intermarché et la Fédération française de handball. 

Le groupe a également affirmé pendant l'été avoir volé des données à un grand opérateur téléphonique français et à un groupe hôtelier. Ces deux attaques n'ont pas été confirmées par les entreprises concernées. 

Des informations sur des PME

La Direction générale des finances publiques (DGFiP) a confirmé le 14 août deux intrusions, survenues fin juin et fin juillet, ainsi que le vol de données. Les données concernant les professionnels sont "moins sensibles", selon la DGFIP. 

Un échantillon consulté par l'AFP contenait principalement des informations sur des petites et moyennes entreprises, dont celles d'une filiale d'un grand équipementier automobile français. 

La précision de ces fichiers nourrit les craintes d'escroqueries ciblées. Dans l'économie cybercriminelle, le pirate qui s'introduit dans un système n'est généralement pas celui qui exploitera ensuite les informations : les bases volées sont souvent revendues à des spécialistes de la fraude. 

Une attaque "plus sophistiquée"

Pour mener la première attaque, ZeroBytes affirme avoir obtenu un accès à un VPN utilisé par les agents du fisc. Ce réseau privé virtuel permet normalement de se connecter à distance et de manière sécurisée aux outils internes de l'administration. 

Une seconde intrusion, menée fin juillet, a visé le Serveur professionnel de données cadastrales (SPDC), qui donne accès à des informations sur les propriétés immobilières. 

La DGFIP avait reconnu avoir subi une attaque "plus sophistiquée" que les précédentes. 

Des informations "faciles à pirater"

Sur les forums de vente de données volées, les organisations françaises figurent régulièrement parmi les cibles. Elles seraient "faciles à pirater", affirme ZeroBytes pour expliquer son intérêt pour la France. 

Le parquet de Paris a ouvert une enquête, notamment pour "extraction frauduleuse de données" et "association de malfaiteurs". Le Premier ministre Sébastien Lecornu a, de son côté, convoqué une réunion de crise interministérielle. 

Les pirates risquent dans cette affaire sept ans de prison pour "extraction frauduleuse de données". Les 678.000 usagers concernés devaient commencer à être contactés individuellement à partir de lundi afin d'être mis en garde contre de possibles escroqueries ciblées. 

L’actualité par la rédaction de RTL dans votre boîte mail.

Grâce à votre compte RTL abonnez-vous à la newsletter RTL info pour suivre toute l'actualité au quotidien

Je créé mon compte Se connecter

S’abonner à la Newsletter RTL Info