ZeroBytes : comment un duo de pirates français a siphonné les impôts, SFR et l'Éducation nationale en cinq semaines

Onze intrusions revendiquées en cinq semaines. Des impôts au handball, de SFR à l'Éducation nationale. Derrière le pseudonyme ZeroBytes, un duo de pirates informatiques français a enchaîné cet été les revendications de fuites de données visant des entreprises et des administrations françaises. Cinq victimes ont depuis officiellement confirmé avoir été attaquées, dont la Direction générale des Finances publiques, SFR et le ministère de l'Éducation nationale. Le point commun de toutes ces affaires n'est pas une faille exotique : ce sont des outils internes mal protégés.

Le tableau de bord des revendications

Onze cibles françaises figurent au compteur du duo entre le 16 juillet et le 22 août. Le rythme, une revendication tous les trois jours en moyenne sur la seconde quinzaine d'août, est ce qui a fini par attirer l'attention des autorités.

Voici l'état des lieux, cible par cible, avec le statut de confirmation à ce jour.

Qui est ZeroBytes ?

Derrière le pseudonyme se cache, selon les informations recueillies par le site spécialisé FrenchBreaches auprès de l'intéressé, une équipe de deux personnes. L'existence de ce binôme se lit aussi dans les publications elles-mêmes : sur la revendication visant Déclic Services, l'auteur remercie nommément un second pseudonyme pour avoir « travaillé avec lui sur la compromission ».

Interrogé sur ses motivations, il répond que « l'argent est la principale motivation », aux côtés d'un désir de pouvoir. Il décrit une démarche opportuniste plutôt que ciblée : « je cherche, je trouve et je fais ». Sur le devenir des bases extraites, il indique qu'il les revend généralement, à des acheteurs dont il dit ignorer les intentions. « Ce que les gens en font ensuite n'est pas mon problème », déclare-t-il, tout en concédant éprouver des remords.

Le détail des publications nuance toutefois cette lecture purement mercantile. Sur les onze revendications, plusieurs bases ont été diffusées gratuitement plutôt que vendues : Bureau Vallée, Sport 2000, EVA.gg, ainsi que les documents d'identité de la FFHandball. Les fichiers les plus sensibles — impôts, cadastre, Déclic Services — sont eux mis en vente, ce dernier avec la mention « faites une offre ». Une économie à deux vitesses, où la diffusion gratuite sert aussi de vitrine.

Ces déclarations sont importantes pour qualifier l'affaire : il ne s'agit ni de hacktivisme, ni de recherche en sécurité, ni de divulgation responsable. Le modèle décrit est celui de l'extraction puis de la revente de données personnelles — une activité que le droit français réprime lourdement, et dont les victimes finales sont les personnes fichées, pas les organismes attaqués.

Impôts : le dossier le plus lourd, et le seul officiellement reconnu par l'État

C'est le volet qui a fait basculer l'affaire dans le débat public. Le 12 août 2026, ZeroBytes publie sur un forum une revendication portant sur l'extraction de 678 438 lignes depuis un outil interne de la Direction générale des Finances publiques, l'administration qui gère impots.gouv.fr. L'intrusion, selon son récit, remonte au 26 juin 2026.

Deux jours plus tard, le 14 août 2026, la DGFiP confirme officiellement. Un accès illégitime à son système d'information a permis la consultation et l'extraction de données concernant environ 678 000 particuliers et professionnels. Les informations exposées comprennent notamment le revenu fiscal de référence, le quotient familial, le taux de prélèvement à la source, ainsi que des raisons sociales et numéros SIREN pour les professionnels.

Sur la méthode, les deux versions divergent — et la nuance compte. L'administration évoque une usurpation d'identifiants d'agents de la DGFiP et de tiers habilités. ZeroBytes, lui, décrit dans sa publication un scénario plus intrusif : après avoir « infiltré les serveurs internes », il dit avoir obtenu l'accès VPN qui lui a ouvert l'outil interne de recherche de particuliers et de professionnels. Dans un cas, quelqu'un entre avec une clé volée ; dans l'autre, il est déjà à l'intérieur du réseau. La CNIL a été notifiée, l'ANSSI associée aux investigations, des notifications individuelles aux personnes concernées ont été annoncées, de même qu'un dépôt de plainte.

Le second volet : le cadastre, et un contournement d'authentification

Le 13 août, l'auteur publie une seconde revendication visant la DGFiP, portant cette fois sur le Serveur professionnel de données cadastrales (SPDC). Il annonce 252 149 lignes extraites, en précisant qu'une ligne comporte souvent plusieurs titulaires — ce qui porterait selon lui le nombre de personnes concernées à 2 041 778.

Le détail technique est le plus préoccupant du dossier. Il écrit que, cette fois, « aucun VPN ni protection particulière n'était nécessaire : un identifiant et un contournement du MFA ont suffi » pour rester indétecté « pendant très longtemps ». Il ajoute n'avoir pas terminé l'extraction, jugée trop lente, et affirme être toujours connecté au panneau au moment de la publication. Ce volet n'a pas été confirmé par la DGFiP, qui n'a communiqué que sur les 678 000 dossiers du premier volet.

Éducation nationale : vingt ans d'archives, 346 millions de lignes revendiquées

Le 17 août 2026, le duo revendique ce qui constituerait la plus vaste des opérations : 346 178 591 lignes réparties dans environ 2 500 fichiers, soit près de 43 gigaoctets, couvrant une période de plus de vingt ans. Il date l'intrusion du 15 juillet 2026 ; le ministère, lui, a communiqué sur une détection fin juillet et une exfiltration bloquée après plusieurs jours. Les accès externes au système concerné ont été immédiatement coupés, une cellule de crise activée, et des investigations lancées avec l'ANSSI et la CNIL.

Selon la revendication, l'accès aurait été obtenu via un accès VPN, permettant d'atteindre plusieurs systèmes internes. Le butin annoncé se répartit en trois ensembles : des exports du système scolaire pour l'académie de Créteil et des données nationales sur les collèges et lycées ; des exports de la plateforme I-Prof couvrant les 33 académies ; et deux annuaires LDAP (Créteil et Versailles) contenant des comptes réseau, des mots de passe hachés et des dossiers de personnels.

Déclic Services : des coordonnées bancaires, et un site défacé

C'est la revendication la plus récente, publiée le 22 août 2026, et l'une des plus graves par la nature des données. Elle vise Déclic Services, une coopérative de services à la personne. L'auteur annonce 6 271 531 lignes brutes, dont 6 451 IBAN uniques, 14 947 adresses e-mail et environ 13 000 comptes utilisateurs.

La chaîne d'attaque décrite est différente de toutes les autres, et pédagogique : un site WordPress exposé a servi de point d'entrée vers l'environnement web, qui a permis d'identifier un ERP accessible depuis Internet ; l'exploitation d'une vulnérabilité de cet ERP a ouvert la base de production, laquelle contenait à son tour des identifiants et des clés d'accès à l'infrastructure cloud. L'auteur résume lui-même l'enchaînement : WordPress → ERP → base de données → infrastructure cloud, aggravé par une exposition directe de la base sur Internet, sans filtrage par adresse IP ni accès restreint au VPN.

La coopérative a publié un avis d'incident de sécurité reconnaissant que des données personnelles de clients et d'intervenants ont pu être consultées et exfiltrées, lors d'une intrusion située entre le 10 et le 14 août 2026. Élément particulièrement concret : l'attaquant est allé jusqu'à modifier le site officiel en production pour y afficher sa propre communication — la preuve qu'il disposait d'un niveau d'accès dépassant la simple lecture de la base.

Avec des IBAN, des historiques de facturation et des versements URSSAF, ce dossier fait entrer la série dans une catégorie de risque supérieure : celle de la fraude bancaire directe.

SFR : 2,1 millions d'abonnés, confirmé par l'opérateur

Revendiquée le 17 juillet 2026, l'attaque visant SFR repose sur l'accès à un outil interne baptisé NOVA. L'extraction aurait débuté le 30 juin avant d'être détectée puis interrompue par les systèmes de surveillance de l'opérateur — un point notable : la détection a fonctionné, mais après coup.

La base partielle revendiquée compte 2 104 093 lignes. L'auteur précise avoir ciblé les clients disposant d'un abonnement internet à domicile, ainsi que les données de compte mobile associées. Les informations évoquées incluent l'identité des abonnés, une localisation précise, les caractéristiques des box et une cartographie technique des raccordements fibre. Le 20 août 2026, SFR a confirmé le piratage auprès de l'AFP.

Pour un opérateur, ce type de fuite est particulièrement sensible : l'association d'une identité, d'une adresse exacte et d'un équipement installé constitue un matériau idéal pour de faux appels de « techniciens » ou de « conseillers SFR ».

FFHandball : pièces d'identité et certificats médicaux

Le 10 août 2026, une base de 1 367 197 enregistrements issue de ffhandball.fr est mise en vente. L'auteur affirme avoir obtenu l'accès à un outil interne de la fédération grâce à des identifiants divulgués, puis avoir contourné la restriction limitant normalement les recherches aux licenciés de son propre club — un défaut de cloisonnement à l'état pur.

C'est le dossier le plus préoccupant sur la nature des données. Environ 311 000 licences auraient été extraites, accompagnées de documents personnels : cartes d'identité, passeports et certificats médicaux, que l'auteur annonce diffuser gratuitement. Une part importante des licenciés du handball étant mineurs, la sensibilité de ces documents est maximale.

La fédération a confirmé le jour même la détection d'un accès non autorisé à son logiciel fédéral Gest'Hand, suspendu temporairement le service, et notifié la CNIL et l'ANSSI.

Accor, Intermarché, Bureau Vallée, Sport 2000, EVA : le volet privé

Cinq entreprises complètent le tableau, sur des volumes plus modestes mais selon des schémas identiques.

Accor — Revendication publiée le 16 juillet 2026 pour une intrusion datée du 14 juillet : la compromission d'un compte employé aurait donné accès à un outil interne du groupe hôtelier nommé LUKE, permettant d'extraire 162 437 fiches clients en parcourant les identifiants un par un — jusqu'à ce que l'activité soit détectée et la session fermée. L'auteur revendique également un accès au réseau interne et au VPN d'entreprise. La présence d'un historique de réservations rend cette fuite particulièrement intrusive : elle révèle des habitudes de voyage, des lieux fréquentés et des périodes de déplacement. Le groupe n'a pas confirmé officiellement à ce stade.

Intermarché — Une intrusion datée de juillet 2026, sans jour précis, est revendiquée le 4 août via un serveur RDP hébergé sur le réseau de l'enseigne. En explorant l'environnement, l'auteur dit avoir découvert un outil contenant les informations des clients drive, puis les avoir aspirées : 1 393 807 lignes. Non confirmée officiellement.

Bureau Vallée — L'auteur indique avoir découvert le 7 juillet 2026 une API exposée permettant l'extraction automatisée de fiches clients, et revendique le 9 août 55 949 enregistrements : identité, e-mail, téléphone, adresses de facturation et de livraison, informations professionnelles (SIRET, TVA). Détail révélateur du niveau de protection : il affirme avoir volontairement interrompu l'extraction en raison de temps de réponse trop lents, avant de constater le lendemain que l'accès avait disparu. Le fichier a été diffusé gratuitement.

Sport 2000 — Publication du 19 août 2026 visant l'outil interne de réservation de l'enseigne, 17 851 réservations. La méthode illustre à elle seule le problème : l'auteur a d'abord utilisé la fonction d'export disponible dans l'outil pour récupérer environ 14 500 réservations valides ; les réservations annulées n'ayant pas d'export fonctionnel, il a parcouru la liste page par page (environ 3 350) ; et pour quelque 700 dossiers anciens utilisant d'anciennes références, il les a recherchés un par un. Aucune de ces opérations n'a déclenché de blocage.

EVA.gg — Première revendication de la série, le 16 juillet 2026, visant cette chaîne d'arènes de réalité virtuelle : 190 123 enregistrements comprenant identifiants, noms complets, adresses e-mail (près de 70 000 uniques), sexe, date de naissance, téléphone et adresses postales. Base diffusée gratuitement.

Ce que dit la loi : aucune ambiguïté

Il n'existe, en droit français, aucune exception pour « démonstration » ou « alerte ». Les faits revendiqués relèvent des articles 323-1 et suivants du code pénal :

• l'accès ou le maintien frauduleux dans un système de traitement automatisé de données est puni de 3 ans d'emprisonnement et 100 000 € d'amende ;
• l'extraction, la détention, la reproduction ou la transmission frauduleuse de données est punie de 5 ans et 150 000 € ;
• ces peines sont aggravées lorsque le système est mis en œuvre par l'État (jusqu'à 7 ans et 300 000 €), et peuvent atteindre 10 ans et 300 000 € en bande organisée.

S'y ajoutent les qualifications liées au traitement illicite de données personnelles et, dans les cas de revente, celles relatives au recel. La revente à des tiers, décrite par l'auteur lui-même, constitue une circonstance particulièrement lourde : elle transforme une intrusion en alimentation d'une chaîne de fraude visant directement les personnes fichées.

Un révélateur, pas une excuse

Reste le constat, difficilement contestable, que dresse cette série. Aucune de ces intrusions ne repose sur une faille sophistiquée. Pas de vulnérabilité inédite, pas d'exploit complexe, pas de « zero-day ». En revanche, les portes d'entrée, elles, ne sont pas toutes les mêmes — et les confondre reviendrait à passer à côté du problème, car chacune appelle un correctif différent. Trois familles se dégagent :

• L'accès distant au réseau — le vecteur le plus grave. Un accès VPN est revendiqué à l'Éducation nationale comme à la DGFiP ; chez Intermarché, c'est un serveur RDP interne qui aurait servi de point d'entrée. Dans ces cas, l'attaquant ne détourne pas un compte applicatif : il se retrouve à l'intérieur du réseau, avec la latitude de circuler d'un système à l'autre. Cela explique l'ampleur du dossier de l'Éducation nationale — vingt ans d'archives, trente-trois académies — sans commune mesure avec les autres.
• Les identifiants détournés — volés, divulgués ou usurpés. C'est le cas de la FFHandball, d'Accor, et la version retenue par la DGFiP. Sur le cadastre, l'auteur va plus loin et revendique un contournement de l'authentification à deux facteurs : la mesure censée précisément neutraliser un mot de passe volé.
• L'applicatif exposé — sans intrusion réseau ni compte volé. Chez Bureau Vallée, une API accessible a suffi. Chez Sport 2000, c'est la fonction d'export de l'outil, utilisée telle quelle. Chez Déclic Services, un WordPress exposé a ouvert la voie vers un ERP joignable depuis Internet, puis vers la base de production et les clés du cloud.

Ce qui est réellement commun à tous ces dossiers n'est donc pas la porte d'entrée, mais ce qui se trouve derrière : LUKE chez Accor, NOVA chez SFR, Pilot chez Sport 2000, Gest'Hand à la FFHandball, I-Prof et les annuaires académiques à l'Éducation nationale, un outil de recherche interne à la DGFiP. À chaque fois, un applicatif métier conçu pour la commodité des équipes, et non pour résister à un usage détourné. Une fois la porte franchie, les mêmes carences reviennent d'un dossier à l'autre :

• des accès distants insuffisamment protégés : un VPN, un RDP ou un ERP joignable depuis l'extérieur offre une tête de pont vers l'ensemble du réseau ;
• une authentification forte absente ou contournable sur des outils donnant accès à des millions de fiches ;
• absence de cloisonnement : un compte censé consulter les licenciés d'un club accède à la fédération entière — et, côté réseau, rien n'empêche de passer d'une académie à trente-trois ;
• absence de limitation de débit : rien n'empêche de parcourir des dossiers un par un, des heures durant ;
• détection tardive de l'exfiltration : quand elle fonctionne — SFR, Accor —, elle intervient après le départ d'une partie des données.

Ce constat a une valeur réelle. Il montre que la question n'est pas de se protéger d'attaquants d'élite, mais d'appliquer des mesures d'hygiène numérique élémentaires, connues et documentées depuis des années par l'ANSSI. En ce sens, l'affaire agit comme un audit involontaire de l'état réel de la sécurité des outils métier français, publics comme privés.

Mais cette lucidité n'est pas un blanc-seing, et la nuance mérite d'être posée nettement. Un révélateur n'est pas un service rendu. La différence avec la recherche en sécurité tient en trois points : le chercheur ne monétise pas sa trouvaille, il la signale à l'organisme concerné, et il ne diffuse rien avant correction. Ici, les données ont été revendues ou diffusées publiquement, jamais restituées. Et le prix est payé par des contribuables, des abonnés, des élèves et des licenciés qui n'ont rien demandé — dont des mineurs, dont les pièces d'identité circulent désormais.

La France dispose par ailleurs d'un cadre légal pour signaler une faille sans risquer de poursuites : le dispositif de divulgation coordonnée de vulnérabilités prévu par l'article L. 2321-4 du code de la défense, qui permet de transmettre une découverte à l'ANSSI en préservant l'anonymat du découvreur. S'y ajoutent les programmes de bug bounty, sur lesquels des plateformes françaises rémunèrent légalement ce travail. La voie existe : elle n'a pas été empruntée.

Vous êtes peut-être concerné : que faire

Compte tenu de l'ampleur cumulée — impôts, opérateur, éducation, fédération sportive, distribution, services à la personne —, une large part de la population française peut figurer dans au moins une de ces bases. Quelques réflexes utiles :

• Attendez-vous à des tentatives d'hameçonnage très crédibles. Avec un revenu fiscal de référence, une adresse exacte ou un historique de réservation, un escroc peut se faire passer pour votre banque, les impôts ou votre opérateur de façon convaincante.
• Ne rappelez jamais un numéro reçu par SMS ou e-mail, et ne cliquez pas sur les liens. Passez systématiquement par l'application officielle ou le numéro figurant sur votre facture.
• L'administration fiscale ne demande jamais de coordonnées bancaires par téléphone ou par message, ni de paiement immédiat.
• Surveillez vos relevés bancaires si vous êtes client d'un service concerné par une fuite d'IBAN : un IBAN seul ne permet pas de vider un compte, mais il autorise des tentatives de prélèvement frauduleux, contestables auprès de votre banque sous treize mois.
• Changez tout mot de passe réutilisé sur plusieurs sites et activez la double authentification là où elle est disponible.
• Exercez votre droit d'accès (RGPD) auprès de l'organisme concerné pour savoir si vous êtes affecté et quelles données ont fuité.
• En cas de préjudice, signalez sur cybermalveillance.gouv.fr et, si nécessaire, déposez une plainte auprès de la CNIL.

Et maintenant ?

Les investigations se poursuivent sous l'égide de l'ANSSI et de la CNIL, et plusieurs procédures judiciaires ont été engagées. Le duo, lui, publiait encore le 22 août. La véritable question que pose cet été n'est pas l'identité de ZeroBytes — elle finira probablement par être établie —, mais celle-ci : combien d'outils internes, dans combien d'entreprises et d'administrations françaises, présentent aujourd'hui exactement les mêmes carences, sans que personne ne soit venu le démontrer ?

Cet article est mis à jour à chaque nouvelle revendication ou confirmation officielle. Dernière mise à jour : 24 août 2026.

Sources

• FrenchBreaches — « DGFiP, Intermarché, EVA, handball : ZeroBytes sort du silence »
• FrenchBreaches — « Piratage massif de l'Éducation nationale »
• CNews — « Piratage massif de l'Éducation nationale : ce que l'on sait »
• Cyberattaque.org — Déclic Services, 6,2 millions de lignes et site détourné
• Cyberattaque.org — SFR, 2,1 millions de clients fibre
• IT-Connect — SFR confirme la fuite visant ses abonnés fibre
• ZATAZ — « Une nouvelle fuite pour la FF Handball ? »
• Cyberattaque.org — Accor, 162 437 fiches clients revendiquées
• Cyberattaque.org — Bureau Vallée, 55 949 fiches clients
• Cyberattaque.org — Sport 2000, 17 851 réservations
• Leto — « DGFiP : un pirate revendique le vol de 678 000 données fiscales »