Nouveau rebondissement dans l’affaire du piratage de la Direction générale des Finances publiques (DGFiP). Un adolescent de seulement 16 ans a été mis en examen ce mercredi 28 octobre 2026. Soupçonné d’avoir participé à la cyberattaque contre le fisc français, il rejoint un premier suspect de 18 ans, déjà placé en détention provisoire. Deux jeunes hommes que les enquêteurs soupçonnent d’être liés au groupe de hackers ZeroBytes.
La DGFiP est l’administration française chargée notamment de la collecte des impôts, du cadastre et de la gestion des finances publiques. Durant l’été 2026, plusieurs intrusions dans ses systèmes informatiques ont entraîné le vol de données fiscales concernant 678 000 particuliers et professionnels.
Un adolescent de 16 ans soupçonné d’avoir piraté le fisc français
Selon les informations du Monde, confirmées par le parquet de Paris, le jeune suspect, connu sous le pseudonyme de Casquette, a été placé en garde à vue le 27 octobre par l’Office anti-cybercriminalité (OFAC).
Né en 2010 et domicilié dans les Bouches-du-Rhône, il n’avait que 15 ans au moment des faits. Il a été mis en examen le lendemain, notamment pour accès et maintien frauduleux dans un système informatique de l’État et extraction frauduleuse de données en bande organisée.
Le mineur a été placé sous contrôle judiciaire. Son avocat, Me Réda Ghilaci, conteste la solidité de sa mise en examen et entend la remettre en cause. L’adolescent bénéficie de la présomption d’innocence.
ChatNoir et Casquette, deux suspects au cœur de plusieurs affaires de piratage
Cette nouvelle mise en examen intervient après celle d’un premier suspect, surnommé ChatNoir. Âgé de 18 ans, ce dernier avait été interpellé le 18 août, puis mis en examen et placé en détention provisoire le 20 août 2026.
Les enquêteurs soupçonnent les deux jeunes hommes d’être liés à ZeroBytes, le groupe de hackers qui avait revendiqué le piratage de la DGFiP. Ils sont également mis en cause dans des dossiers concernant le collectif Epsilon, actif dans plusieurs cyberattaques entre 2023 et 2024.
Parmi les entreprises visées dans ces précédentes affaires figurent notamment LDLC et Shadow. ChatNoir est également poursuivi dans le dossier du piratage de Free en 2024, qui avait entraîné le vol des données de millions de clients.
Casquette avait déjà été interpellé le 26 août dans l’enquête sur la DGFiP, avant d’être remis en liberté. Il avait ensuite été mis en examen le 4 septembre dans le dossier distinct concernant Epsilon. Sa nouvelle mise en examen concerne désormais directement le piratage de l’administration fiscale.
Le fisc avait changé le mot de passe, mais le hacker était resté connecté
L’enquête judiciaire intervient alors que les circonstances techniques de la cyberattaque ont révélé d’importantes défaillances de sécurité au sein de l’administration fiscale.
Comme nous l’avions détaillé dans notre article sur le rapport de l’ANSSI concernant la cyberattaque de la DGFiP, les attaquants avaient utilisé des identifiants professionnels compromis pour accéder aux applications de l’État.
L’un des éléments les plus inquiétants concerne un compte compromis détecté dès le 23 juin 2026. Malgré une réinitialisation de son mot de passe le lendemain, la session du pirate était restée active, lui permettant de poursuivre l’extraction des données pendant près de 16 heures supplémentaires.
L’ANSSI avait également relevé d’autres défaillances : absence d’authentification forte sur certains portails, connexions suspectes non détectées et volumes inhabituels de données extraites sans déclencher d’alerte.
Le rapport souligne que les attaquants n’avaient pas eu besoin de techniques particulièrement sophistiquées. L’exploitation d’identifiants volés et plusieurs lacunes dans la supervision des systèmes avaient suffi à rendre ces intrusions possibles.
Des données fiscales sensibles qui restent entre de mauvaises mains
Les informations dérobées comprennent notamment des éléments d’identité, des coordonnées personnelles, des identifiants fiscaux, le revenu fiscal de référence, le quotient familial et le taux de prélèvement à la source. Des informations cadastrales et professionnelles ont également été concernées.
La DGFiP a cependant précisé que les espaces personnels des contribuables sur impots.gouv.fr et leurs mots de passe n’avaient pas été compromis.
Ces données peuvent néanmoins faciliter des tentatives d’usurpation d’identité et des campagnes de phishing ciblées, notamment de faux messages de remboursement d’impôt ou de régularisation fiscale.
La DGFiP également sous le contrôle de la CNIL
Au-delà de l’enquête visant les hackers présumés, l’administration fiscale doit également répondre aux questions concernant la protection des données des contribuables.
En septembre, Cyberattaque.org révélait que la CNIL allait contrôler la DGFiP après cette cyberattaque. L’autorité doit notamment examiner les mesures de sécurité qui étaient en place au moment des intrusions et déterminer si les obligations de protection des données personnelles ont été respectées.
Cette deuxième mise en examen constitue une nouvelle étape dans l’enquête, mais plusieurs questions demeurent : quel rôle exact chacun des suspects a-t-il joué, d’autres personnes ont-elles participé aux intrusions et que sont devenues les données dérobées ?
Près de trois mois après la révélation de la cyberattaque, l’affaire DGFiP continue ainsi de progresser sur le terrain judiciaire, tandis que les conséquences de la fuite et les responsabilités en matière de sécurité restent au cœur des investigations.