Qui est ZeroBytes
ZeroBytes est le pseudonyme d'un pirate informatique qui revendique, depuis le 12 août 2026, une série d'intrusions dans des systèmes français. Il se présente comme un binôme de deux personnes, sans motivation particulière déclarée en dehors de l'argent : « L'argent est la principale motivation », selon ses propres mots rapportés par la presse spécialisée. Son identité réelle n'est pas connue publiquement.
La chronologie
La troisième fuite : les successions vacantes
Le 18 août 2026, la DGFiP annonce une troisième fuite en l'espace d'une semaine — cette fois sur le portail des successions vacantes, le service public qui permet à tout créancier d'un défunt de savoir s'il doit s'adresser à un héritier. Contrairement aux deux premiers épisodes, cette faille n'est pas revendiquée par ZeroBytes : elle a été identifiée indépendamment par le chercheur en sécurité LunarisSec, et rapportée par FrenchBreaches.
⚖️Ce qui a été exposé
Identités, adresses postales et email, dates et lieux de décès, situation matrimoniale, et informations liées aux successions et au patrimoine — des données sensibles qui, combinées, permettent de cibler précisément une personne en deuil, un moment où la vigilance face aux arnaques est particulièrement basse.
Source : FrenchBreaches, 18/08/2026. Consulté le 18/08/2026.🔓La faille elle-même
Une vulnérabilité aurait permis d'accéder à certaines informations sans authentification préalable — c'est-à-dire sans avoir besoin d'un compte ni d'identifiants, contrairement au fonctionnement normal du service. La faille a depuis été corrigée.
Source : FrenchBreaches (citant le chercheur LunarisSec), 18/08/2026.Les autres cibles revendiquées
La DGFiP n'est pas la seule organisation nommée par ZeroBytes. D'autres cibles françaises ont été citées dans la même vague de revendications, mi-août 2026 — sans confirmation publique des organismes concernés au moment de la rédaction, et sans le niveau de détail technique fourni pour l'attaque DGFiP.
🛒Intermarché Drive
ZeroBytes revendique une intrusion visant le service de commande en ligne Intermarché Drive. Aucun volume de données ni date précise d'intrusion n'a été rendu public par le pirate ou par Intermarché ; l'enseigne n'a pas confirmé publiquement d'incident à ce jour.
Source : FrenchBreaches, 15/08/2026 (revendication rapportée, non confirmée).🤾Fédération française de handball — mis à jour le 21/08
Correction du 21 août : à l'écriture initiale de ce dossier, la FFHandball n'avait pas confirmé d'intrusion. Depuis, la fédération a confirmé elle-même avoir détecté, le 10 août 2026, un accès non autorisé à Gest'Hand, son logiciel fédéral de gestion des licences. La CNIL a été notifiée, l'ANSSI alertée, l'accès au logiciel temporairement suspendu. Ce que la FFHandball confirme, c'est l'accès non autorisé — pas le volume. Les 1,36 million de lignes et 311 000 documents (cartes d'identité, passeports, certificats médicaux) restent une revendication du pirate, dont l'ampleur exacte est encore en cours d'évaluation par la fédération. Le communiqué officiel de la FFHandball ne cite aucun nom de groupe attaquant — l'attribution à ZeroBytes provient uniquement de la signature du pirate sur le forum de revente.
Source : communiqué FFHandball, 10-21/08/2026 ; FrenchBreaches, 15/08/2026 (revendication du volume, non confirmée).🏕️Sport 2000 — ajouté le 21/08
Le 19 août 2026, ZeroBytes revendique une nouvelle cible : l'outil interne de réservation « Pilot » de l'enseigne Sport 2000, avec 17 851 réservations extraites (identités, adresses, emails, téléphones, séjours et montants). Le pirate affirme conserver un accès actif et non détecté au moment de la publication. Sport 2000 n'a pas confirmé publiquement l'incident à la date de rédaction — c'est, comme Intermarché, EVA et le handball, une revendication non vérifiée de façon indépendante.
Source : FrenchBreaches, 19-20/08/2026 (revendication rapportée, non confirmée).🎓Éducation nationale — ajouté le 21/08
Le 18 août 2026, un revendicateur utilisant le nom ZeroBytes met en vente sur un forum criminel ce qu'il présente comme une partie de la base de données du ministère de l'Éducation nationale : 346 178 591 lignes brutes, réparties dans environ 2 500 fichiers et 43 Go, couvrant une période de plus de vingt ans (certains enregistrements remontent à 2002-2005). FrenchBreaches en tire un décompte de 1,22 million d'élèves identifiés, 4,35 millions d'identifiants de personnels, et environ 602 000 comptes avec hachages de mot de passe. Fin juillet 2026, le ministère avait confirmé une intrusion frauduleuse dans l'un de ses systèmes d'information, reconnaissant qu'un accès aurait pu conduire à une exfiltration de données personnelles — sans confirmer le volume revendiqué. Les 346 millions de lignes ne correspondent pas à autant de victimes : une même personne peut apparaître dans plusieurs bases et plusieurs enregistrements successifs.
Source : Cyberattaque.org, FrenchBreaches, CNEWS, 18-21/08/2026 (intrusion confirmée par le ministère fin juillet ; volume revendiqué, non confirmé).📇EVA
Une troisième cible, désignée « EVA » dans la revendication du pirate, complète la liste. Le contexte exact de cette cible (secteur, nature des données) n'est pas précisé dans les sources disponibles à ce jour.
Source : FrenchBreaches, 15/08/2026 (revendication rapportée, non confirmée).Comment l'accès a été obtenu
Selon le récit du pirate lui-même — non vérifié de façon indépendante — l'accès initial reposerait sur une combinaison d'erreurs humaines et de failles exploitées, avec un contournement de l'authentification à plusieurs facteurs. La DGFiP, de son côté, évoque une usurpation d'identifiants d'agents ayant permis une connexion à un outil de recherche interne. Une fois l'accès obtenu, l'extraction aurait été partiellement automatisée, avant tentative de revente à des acheteurs sur un forum spécialisé.
Pourquoi ce cas compte pour vous
Contrairement au cas Lazarus (voir dossier lié plus bas), qui vise surtout des plateformes de cryptoactifs, une fuite comme celle-ci touche directement des données d'identité et de situation fiscale de centaines de milliers de Français. Ce type de données alimente ensuite des campagnes de phishing bien plus crédibles : un SMS ou un appel qui cite votre bon numéro fiscal ou votre bonne adresse passe beaucoup plus facilement pour légitime.
Questions fréquentes
Qui est ZeroBytes ?
Un pirate informatique opérant sous ce pseudonyme, qui se présente comme un binôme sans motivation particulière autre que l'argent. Son identité réelle n'est pas connue publiquement.
Quelles attaques ZeroBytes a-t-il vraiment menées, et lesquelles sont seulement revendiquées ?
Deux volets DGFiP sont désormais officiellement confirmés par l'administration : 678 000 particuliers et professionnels pour la première intrusion, et 1,8 million de comptes pour le volet cadastral — un chiffre distinct de celui revendiqué par ZeroBytes (environ 2 millions de propriétaires). Les autres affirmations — l'Éducation nationale (346 millions de lignes revendiquées, mais seule l'intrusion elle-même est confirmée par le ministère), ainsi que Intermarché Drive, EVA et le handball français — restent des revendications du pirate lui-même, non confirmées dans leur volume par les organismes visés au moment de la rédaction.
Quel est le lien avec les arnaques que reçoit un particulier ?
Direct et concret : les données volées (identité, adresse, situation fiscale) alimentent ensuite des campagnes de phishing et d'usurpation bien plus crédibles, par SMS, appel ou messagerie, se faisant passer pour l'administration ou une banque.
La troisième fuite, sur les successions vacantes, est-elle liée à ZeroBytes ?
Non. Cette faille, révélée le 18 août 2026, a été identifiée indépendamment par le chercheur en sécurité LunarisSec et rapportée par FrenchBreaches — sans lien établi avec le pirate ZeroBytes. Elle concerne le portail public des successions vacantes, où un défaut d'authentification aurait permis d'accéder à plusieurs millions de lignes de données sans mot de passe. La DGFiP a confirmé l'incident tout en le minimisant publiquement, le qualifiant de moindre ampleur.
Pour aller plus loin
Egidio — Laboratoire des menaces, « ZeroBytes : ce que l'on sait du pirate derrière la fuite du fisc », egidio.app/laboratoire/zerobytes-cyberattaques-france/. Licence CC BY 4.0.
Réutilisation libre, y compris commerciale, avec attribution. Conditions de réutilisation.