Qui est ZeroBytes
ZeroBytes est le pseudonyme d'un pirate informatique qui revendique, depuis le 12 août 2026, une série d'intrusions dans des systèmes français. Il se présente comme un binôme de deux personnes, sans motivation particulière déclarée en dehors de l'argent : « L'argent est la principale motivation », selon ses propres mots rapportés par la presse spécialisée. Son identité réelle n'est pas connue publiquement.
La chronologie
Les arrestations : ce que l'on sait, ce qui reste flou
Début septembre 2026, l'enquête a produit ses premiers résultats concrets — mais elle n'établit pas que ZeroBytes est neutralisé.
⚖️ChatNoir, 18 ans — mis en examen
Le parquet de Paris confirme, le 4 septembre 2026, la mise en examen et le placement en détention provisoire d'un homme de 18 ans interpellé le 18 août. Il est connu sous le pseudonyme ChatNoir et présenté comme cofondateur du collectif de hackers Epsilon, distinct de ZeroBytes mais dont certains membres se seraient recoupés. C'est, à ce jour, la seule personne mise en examen dans ce dossier.
Source : Euronews, parquet de Paris, 04/09/2026 ; DataBreaches.net, 05/09/2026.🧒Casquette, 15 ans — relâché sans mise en examen
Un second suspect, mineur de 15 ans et surnommé Casquette, est interpellé le 26 août 2026 comme « camarade » présumé de ChatNoir. Contrairement à ce dernier, il a été remis en liberté sans mise en examen à ce stade ; son matériel informatique reste saisi pour analyse. Son implication réelle dans les faits reprochés à ZeroBytes n'est donc, à ce jour, pas établie judiciairement.
Source : ZATAZ, 05/09/2026.👤xMetah : le troisième homme, non identifié
La publication d'un message signé ZeroBytes le 1er septembre 2026 — après les deux interpellations — complique l'attribution. ZATAZ l'attribue à un pseudonyme distinct, xMetah, ce qui suggère soit un compte partagé entre plusieurs personnes, soit un troisième membre du groupe resté libre et actif. Aucune arrestation ni identification n'est rapportée pour ce pseudonyme au moment de la rédaction.
Source : ZATAZ, 05/09/2026.La troisième fuite : les successions vacantes
Le 18 août 2026, la DGFiP annonce une troisième fuite en l'espace d'une semaine — cette fois sur le portail des successions vacantes, le service public qui permet à tout créancier d'un défunt de savoir s'il doit s'adresser à un héritier. Contrairement aux deux premiers épisodes, cette faille n'est pas revendiquée par ZeroBytes : elle a été identifiée indépendamment par le chercheur en sécurité LunarisSec, et rapportée par FrenchBreaches.
⚖️Ce qui a été exposé
Identités, adresses postales et email, dates et lieux de décès, situation matrimoniale, et informations liées aux successions et au patrimoine — des données sensibles qui, combinées, permettent de cibler précisément une personne en deuil, un moment où la vigilance face aux arnaques est particulièrement basse.
Source : FrenchBreaches, 18/08/2026. Consulté le 18/08/2026.🔓La faille elle-même
Une vulnérabilité aurait permis d'accéder à certaines informations sans authentification préalable — c'est-à-dire sans avoir besoin d'un compte ni d'identifiants, contrairement au fonctionnement normal du service. La faille a depuis été corrigée.
Source : FrenchBreaches (citant le chercheur LunarisSec), 18/08/2026.Le quatrième épisode : Zéro Logement Vacant
Le 28 août 2026, ZeroBytes revendique sa cible la plus vaste à ce jour : Zéro Logement Vacant, un service public (beta.gouv.fr) qui aide les collectivités à identifier les propriétaires de logements vacants — en s'appuyant sur les données nationales des propriétaires que produit la DGFiP via DataFoncier. Selon la revendication, l'accès initial passerait par une instance Metabase exposée, avec récupération d'identifiants PostgreSQL en clair. Le pirate avance deux estimations très différentes du nombre de personnes uniques concernées — 47,9 millions ou 71 millions selon la méthode de calcul — et aucune confirmation officielle n'existe à ce jour. Détails complets, chronologie et analyse de la fourchette de chiffres : Zéro Logement Vacant : jusqu'à 71 M revendiqués, non confirmé.
Les autres cibles revendiquées
La DGFiP n'est pas la seule organisation nommée par ZeroBytes. D'autres cibles françaises ont été citées dans la même vague de revendications, mi-août 2026 — sans confirmation publique des organismes concernés au moment de la rédaction, et sans le niveau de détail technique fourni pour l'attaque DGFiP.
🛒Intermarché Drive
ZeroBytes revendique une intrusion visant le service de commande en ligne Intermarché Drive. Aucun volume de données ni date précise d'intrusion n'a été rendu public par le pirate ou par Intermarché ; l'enseigne n'a pas confirmé publiquement d'incident à ce jour.
Source : FrenchBreaches, 15/08/2026 (revendication rapportée, non confirmée).🤾Fédération française de handball — mis à jour le 21/08
Correction du 21 août : à l'écriture initiale de ce dossier, la FFHandball n'avait pas confirmé d'intrusion. Depuis, la fédération a confirmé elle-même avoir détecté, le 10 août 2026, un accès non autorisé à Gest'Hand, son logiciel fédéral de gestion des licences. La CNIL a été notifiée, l'ANSSI alertée, l'accès au logiciel temporairement suspendu. Ce que la FFHandball confirme, c'est l'accès non autorisé — pas le volume. Les 1,36 million de lignes et 311 000 documents (cartes d'identité, passeports, certificats médicaux) restent une revendication du pirate, dont l'ampleur exacte est encore en cours d'évaluation par la fédération. Le communiqué officiel de la FFHandball ne cite aucun nom de groupe attaquant — l'attribution à ZeroBytes provient uniquement de la signature du pirate sur le forum de revente.
Source : communiqué FFHandball, 10-21/08/2026 ; FrenchBreaches, 15/08/2026 (revendication du volume, non confirmée).🏕️Sport 2000 — ajouté le 21/08
Le 19 août 2026, ZeroBytes revendique une nouvelle cible : l'outil interne de réservation « Pilot » de l'enseigne Sport 2000, avec 17 851 réservations extraites (identités, adresses, emails, téléphones, séjours et montants). Le pirate affirme conserver un accès actif et non détecté au moment de la publication. Sport 2000 n'a pas confirmé publiquement l'incident à la date de rédaction — c'est, comme Intermarché, EVA et le handball, une revendication non vérifiée de façon indépendante.
Source : FrenchBreaches, 19-20/08/2026 (revendication rapportée, non confirmée).🎓Éducation nationale — ajouté le 21/08
Le 18 août 2026, un revendicateur utilisant le nom ZeroBytes met en vente sur un forum criminel ce qu'il présente comme une partie de la base de données du ministère de l'Éducation nationale : 346 178 591 lignes brutes, réparties dans environ 2 500 fichiers et 43 Go, couvrant une période de plus de vingt ans (certains enregistrements remontent à 2002-2005). FrenchBreaches en tire un décompte de 1,22 million d'élèves identifiés, 4,35 millions d'identifiants de personnels, et environ 602 000 comptes avec hachages de mot de passe. Fin juillet 2026, le ministère avait confirmé une intrusion frauduleuse dans l'un de ses systèmes d'information, reconnaissant qu'un accès aurait pu conduire à une exfiltration de données personnelles — sans confirmer le volume revendiqué. Les 346 millions de lignes ne correspondent pas à autant de victimes : une même personne peut apparaître dans plusieurs bases et plusieurs enregistrements successifs.
Source : Cyberattaque.org, FrenchBreaches, CNEWS, 18-21/08/2026 (intrusion confirmée par le ministère fin juillet ; volume revendiqué, non confirmé).📇EVA
Une troisième cible, désignée « EVA » dans la revendication du pirate, complète la liste. Le contexte exact de cette cible (secteur, nature des données) n'est pas précisé dans les sources disponibles à ce jour.
Source : FrenchBreaches, 15/08/2026 (revendication rapportée, non confirmée).Comment l'accès a été obtenu
Selon le récit du pirate lui-même — non vérifié de façon indépendante — l'accès initial reposerait sur une combinaison d'erreurs humaines et de failles exploitées, avec un contournement de l'authentification à plusieurs facteurs. La DGFiP, de son côté, évoque une usurpation d'identifiants d'agents ayant permis une connexion à un outil de recherche interne. Une fois l'accès obtenu, l'extraction aurait été partiellement automatisée, avant tentative de revente à des acheteurs sur un forum spécialisé.
Pourquoi ce cas compte pour vous
Contrairement au cas Lazarus (voir dossier lié plus bas), qui vise surtout des plateformes de cryptoactifs, une fuite comme celle-ci touche directement des données d'identité et de situation fiscale de centaines de milliers de Français. Ce type de données alimente ensuite des campagnes de phishing bien plus crédibles : un SMS ou un appel qui cite votre bon numéro fiscal ou votre bonne adresse passe beaucoup plus facilement pour légitime.
Questions fréquentes
Qui est ZeroBytes ?
Un pirate informatique opérant sous ce pseudonyme, qui se présente comme un binôme sans motivation particulière autre que l'argent. Son identité réelle n'est pas connue publiquement.
Quelles attaques ZeroBytes a-t-il vraiment menées, et lesquelles sont seulement revendiquées ?
Deux volets DGFiP sont désormais officiellement confirmés par l'administration : 678 000 particuliers et professionnels pour la première intrusion, et 1,8 million de comptes pour le volet cadastral — un chiffre distinct de celui revendiqué par ZeroBytes (environ 2 millions de propriétaires). Les autres affirmations — l'Éducation nationale (346 millions de lignes revendiquées, mais seule l'intrusion elle-même est confirmée par le ministère), ainsi que Intermarché Drive, EVA et le handball français — restent des revendications du pirate lui-même, non confirmées dans leur volume par les organismes visés au moment de la rédaction.
Quel est le lien avec les arnaques que reçoit un particulier ?
Direct et concret : les données volées (identité, adresse, situation fiscale) alimentent ensuite des campagnes de phishing et d'usurpation bien plus crédibles, par SMS, appel ou messagerie, se faisant passer pour l'administration ou une banque.
La troisième fuite, sur les successions vacantes, est-elle liée à ZeroBytes ?
Non. Cette faille, révélée le 18 août 2026, a été identifiée indépendamment par le chercheur en sécurité LunarisSec et rapportée par FrenchBreaches — sans lien établi avec le pirate ZeroBytes. Elle concerne le portail public des successions vacantes, où un défaut d'authentification aurait permis d'accéder à plusieurs millions de lignes de données sans mot de passe. La DGFiP a confirmé l'incident tout en le minimisant publiquement, le qualifiant de moindre ampleur.
Qu'est-ce que le quatrième épisode, sur Zéro Logement Vacant ?
Le 28 août 2026, ZeroBytes revendique un accès à Zéro Logement Vacant, alimenté par les données nationales des propriétaires (DataFoncier/DGFiP) : entre 47,9 et 71 millions de personnes selon la méthode retenue par le pirate. C'est la revendication la plus vaste associée à ZeroBytes — non confirmée par l'État à ce jour. Voir le dossier dédié.
Qui a été arrêté dans le dossier ZeroBytes ?
Deux personnes. Un homme de 18 ans, connu sous le pseudonyme ChatNoir et présenté comme cofondateur du collectif Epsilon, a été arrêté le 18 août 2026, mis en examen et placé en détention provisoire par le parquet de Paris. Un second suspect de 15 ans, surnommé Casquette et décrit comme un proche de ChatNoir, a été arrêté le 26 août 2026 puis remis en liberté sans mise en examen, son matériel informatique saisi pour expertise. Un compte ZeroBytes a toutefois continué de publier le 1er septembre, après les deux arrestations, ce qui suggère qu'un troisième membre, désigné xMetah, reste actif.
Pour aller plus loin
Egidio — Laboratoire des menaces, « ZeroBytes : ce que l'on sait du pirate derrière la fuite du fisc », egidio.app/laboratoire/zerobytes-cyberattaques-france/. Licence CC BY 4.0.
Réutilisation libre, y compris commerciale, avec attribution. Conditions de réutilisation.