Piratage Fisc Mineur 16 Ans Et Menace Crypto

Seize ans à peine, et déjà deux mises en examen à son actif. Mercredi 28 octobre, un adolescent des Bouches-du-Rhône, connu sous le surnom de « Casquette », a rejoint le banc des mis en cause dans l’enquête sur le piratage massif de la Direction générale des Finances publiques. Derrière ce visage encore adolescent se cache un outil redoutable : un infostealer capable d’aspirer mots de passe, sessions de navigateurs et, surtout, les clés d’accès aux portefeuilles de cryptomonnaies. L’affaire du fisc ne concerne plus seulement les contribuables français. Elle touche directement tous ceux qui stockent des actifs numériques sur leur ordinateur.

Un Adolescent Au Cœur D’Un Piratage D’État

L’Office anti-cybercriminalité a placé le jeune homme en garde à vue le mardi 27 octobre. Le lendemain, les juges d’instruction l’ont mis en examen pour extraction frauduleuse de données d’un système de l’État en bande organisée, ainsi que pour accès et maintien frauduleux dans ce même système. Il n’avait que quinze ans au moment des faits. Le parquet de Paris avait demandé un contrôle judiciaire, mesure finalement retenue par les magistrats. Son avocat, Me Réda Ghilaci, qualifie cette mise en examen de « particulièrement fragile » et annonce qu’il la contestera dans les prochains jours.

Casquette n’est pas un inconnu des services spécialisés. Fin août, il avait déjà été entendu par la brigade cyber de la préfecture de police de Paris. Le 4 septembre, une première mise en examen le visait dans une procédure distincte concernant le groupe Epsilon. Son complice présumé, ChatNoir, âgé de dix-huit ans, se trouve quant à lui en détention provisoire depuis l’été. Ce dernier était déjà sous contrôle judiciaire pour le piratage de Free en 2024 lorsque les intrusions à Bercy ont commencé.

Le Groupe ZeroBytes Et L’Ancienne Structure Epsilon

Les enquêteurs considèrent aujourd’hui Casquette et ChatNoir comme les deux têtes du groupe ZeroBytes. Avant cela, sous la bannière Epsilon, le tandem revendait un infostealer à d’autres cybercriminels. Les juges leur prêtent également les piratages de Shadow et de LDLC entre 2023 et 2024. Plusieurs comptes X de rédactions de presse sont passés entre leurs mains, dont celui de BFMTV. Le schéma est classique dans le milieu : développer un outil, le monétiser auprès d’autres acteurs, puis l’utiliser soi-même pour des opérations à plus haute valeur ajoutée.

Ce qui frappe, c’est la jeunesse des protagonistes. À un âge où la plupart des adolescents hésitent encore sur leur orientation scolaire, ces deux-là maîtrisaient déjà les techniques d’infection à grande échelle et la revente de données sensibles. L’affaire rappelle que la cybercriminalité n’attend pas la majorité légale pour s’organiser.

Comment L’Infostealer A Permis L’Intrusion À Bercy

Le principe de l’infostealer est d’une simplicité brutale. Une fois installé sur une machine, le programme copie les mots de passe mémorisés par le navigateur et les transmet à son opérateur. Sur un poste qui sert aussi à gérer des cryptomonnaies, la récolte inclut les extensions de wallet, les sessions d’exchanges ouvertes et parfois une seed phrase oubliée dans un fichier texte. C’est précisément par cette porte que Bercy est tombé.

Le rapport de l’Anssi publié le 29 septembre estime que plusieurs dizaines d’identifiants d’agents ont été « probablement aspirés par des infostealers ». Le fisc n’administrait pas ces ordinateurs. Deux portails n’avaient pas d’authentification forte, et environ 14 Go de données sont sortis en trois mois sans déclencher d’alerte. Les accès des agents du fisc ont donc été dérobés par le même type de logiciel que celui commercialisé autrefois par Epsilon.

Les fichiers volés à Bercy offrent en prime les noms, adresses et revenus de centaines de milliers de Français. Pour un braqueur qui cherche un foyer aisé à visiter, c’est un annuaire.

Les Données Volées : Un Annuaire Pour Les Cybercriminels

Le lot soustrait à la DGFiP contient 392 867 particuliers et 285 570 professionnels. On y trouve le revenu fiscal de référence, l’adresse et la situation familiale. ZeroBytes affirme avoir vendu une partie de ces données à deux acheteurs pour quelques milliers d’euros. L’Anssi précisait fin septembre qu’aucune agression physique n’avait encore été reliée à ces fichiers. Mais le potentiel de nuisance reste intact.

Pour les détenteurs de cryptomonnaies, le risque est double. D’un côté, l’infostealer peut vider un wallet en quelques secondes. De l’autre, les données fiscales permettent de cibler les personnes disposant de revenus élevés, susceptibles de détenir des actifs numériques. La combinaison des deux crée un scénario particulièrement dangereux.

La Menace Croissante Sur Les Wallets Personnels

D’après les chiffres de Chainalysis relayés par The Block, les compromissions de wallets personnels ont atteint 158 000 cas en 2025. Au moins 80 000 victimes y ont perdu 713 millions de dollars. L’analyste note que les attaquants visent désormais des montants plus modestes chez un plus grand nombre d’utilisateurs. En 2024, les particuliers avaient perdu 1,5 milliard de dollars. La tendance est claire : on passe d’attaques ciblées sur de gros portefeuilles à une industrialisation du vol à petite et moyenne échelle.

L’infostealer est l’outil parfait pour cette stratégie. Il ne nécessite pas d’exploit sophistiqué. Il suffit d’infecter la machine, souvent via un fichier malveillant déguisé ou un lien de phishing, et de laisser le logiciel faire le reste. Les extensions de navigateur liées aux wallets, les sessions d’exchanges restées ouvertes, les fichiers texte contenant des phrases de récupération deviennent autant de cibles faciles.

Pourquoi Les Agents Du Fisc Ont Été Vulnérables

Le rapport de l’Anssi met en lumière plusieurs failles. Deux portails n’imposaient pas d’authentification forte. Les ordinateurs des agents n’étaient pas tous administrés de manière centralisée. Des dizaines d’identifiants ont pu être aspirés sans que personne ne s’en aperçoive pendant des mois. Quatorze gigaoctets de données sont sortis en trois mois sans déclencher d’alerte. Ce n’est pas un exploit technique d’une complexité extraordinaire. C’est surtout le résultat d’une absence de contrôles élémentaires.

L’État a annoncé vouloir imposer l’authentification forte à ses administrateurs avant le 31 décembre 2026, puis à tous ses agents avant février 2028. Ce calendrier montre à quel point le retard est important. En attendant, les mêmes techniques qui ont fonctionné contre le fisc continuent de sévir contre les particuliers et les entreprises.

Les Conséquences Directes Pour Les Détenteurs De Crypto

Les détenteurs de cryptomonnaies se trouvent à l’intersection de deux menaces. La première est technique : l’infostealer qui vide un wallet. La seconde est informationnelle : les données fiscales qui permettent de dresser le portrait de personnes aisées susceptibles de détenir des actifs numériques. Un pirate qui dispose à la fois d’une liste de noms, d’adresses et de revenus, et d’un outil capable d’infecter des machines, dispose d’un avantage considérable.

ZeroBytes a revendiqué la vente d’une partie des fichiers pour quelques milliers d’euros. Même si le montant paraît dérisoire au regard de la valeur des données, il montre que le marché existe. Une fois les informations en circulation, il devient quasi impossible de les faire disparaître. Les acheteurs peuvent les croiser avec d’autres bases, les revendre, ou les utiliser pour des campagnes de phishing ciblées.

Comment Se Protéger Concrètement Aujourd’hui

Face à ce type de menace, les solutions existent, mais elles demandent une discipline stricte. La double authentification sur les exchanges reste la base. Un wallet matériel isole les clés privées de l’ordinateur. Éviter de stocker des seed phrases en clair sur le disque dur devrait être une évidence. Pourtant, de nombreux utilisateurs continuent de le faire, par commodité ou par manque d’information.

Il faut aussi se méfier des fichiers téléchargés et des liens reçus, même lorsqu’ils semblent provenir de sources connues. Les infostealers se propagent souvent via des logiciels crackés, des faux documents ou des messages de phishing soigneusement rédigés. Une fois le programme installé, il est trop tard. La seule parade efficace consiste à ne jamais lui donner l’occasion de s’exécuter.

La double authentification sur vos exchanges et un wallet matériel restent votre meilleure parade contre un infostealer.

Le Retard De L’État Et Les Leçons À Tirer

L’affaire de la DGFiP révèle un décalage troublant. D’un côté, des adolescents de quinze et seize ans maîtrisent des outils de vol de données à grande échelle. De l’autre, une administration centrale mettra encore plusieurs années à généraliser l’authentification forte. Ce contraste n’est pas anodin. Il montre que la vitesse d’adaptation des attaquants dépasse largement celle des structures traditionnelles.

Pour les particuliers, attendre que l’État se mette à jour n’est pas une option. Les mêmes techniques utilisées contre Bercy sont déjà déployées contre les utilisateurs de cryptomonnaies. Les chiffres de Chainalysis le confirment : le nombre de wallets compromis progresse, même si le montant moyen volé diminue. On assiste à une démocratisation du vol, rendue possible par des outils accessibles et peu coûteux.

Un Marché De La Donnée Qui Ne Cesse De S’Étendre

La revente des fichiers de la DGFiP pour quelques milliers d’euros peut sembler dérisoire. Elle s’inscrit pourtant dans un marché bien établi. Les données fiscales, combinées à d’autres informations, permettent de construire des profils complets. Un nom, une adresse, un revenu, une situation familiale : autant d’éléments qui facilitent le ciblage. Dans le monde de la crypto, où les gains peuvent être importants et visibles, cette information a une valeur particulière.

Les acheteurs des données ne se limitent pas forcément à des pirates. Des acteurs plus structurés peuvent les utiliser pour des campagnes de phishing sophistiquées, des tentatives d’extorsion, ou simplement pour enrichir leurs bases. Une fois les informations en circulation, le contrôle est perdu. C’est l’une des raisons pour lesquelles les fuites de données d’État sont particulièrement graves.

La Dimension Judiciaire Et Ses Limites

La mise en examen de Casquette et la détention de ChatNoir montrent que la justice agit. Pourtant, le caractère « particulièrement fragile » de la mise en examen, selon l’avocat du mineur, laisse entrevoir les difficultés de la procédure. Les jeunes âges des mis en cause compliquent également les choses. Un mineur de quinze ans au moment des faits n’est pas jugé de la même manière qu’un adulte.

Par ailleurs, le groupe ZeroBytes n’est probablement pas isolé. D’autres structures commercialisent des infostealers. D’autres acteurs rachètent des données. L’arrestation de deux personnes, aussi importantes soient-elles, ne suffit pas à tarir le flux. La cybercriminalité s’adapte rapidement. Les outils circulent, les méthodes se transmettent, les nouveaux venus prennent la place des anciens.

Ce Que Révèle Cette Affaire Sur La Cybersécurité Française

Le piratage de la DGFiP n’est pas un incident isolé. Il s’inscrit dans une série d’intrusions qui touchent les administrations et les entreprises. Ce qui le distingue, c’est le volume de données personnelles concernées et le lien direct avec un outil de vol de mots de passe également utilisé contre les détenteurs de crypto. L’Anssi a documenté les failles. L’État a annoncé un calendrier de renforcement. Mais le temps joue contre les défenseurs.

Pour les utilisateurs de cryptomonnaies, le message est clair. La sécurité ne peut plus reposer uniquement sur la confiance dans les plateformes ou dans les systèmes publics. Elle doit être construite individuellement, avec des outils adaptés et des habitudes rigoureuses. Un wallet matériel, une authentification à deux facteurs systématique, l’absence de seed phrases en clair : ces gestes simples font encore la différence.

Les Chiffres Qui Illustrent L’Évolution Du Risque

En 2024, les particuliers avaient perdu 1,5 milliard de dollars suite à des compromissions de wallets. En 2025, le nombre de cas a grimpé à 158 000, pour un montant total de 713 millions de dollars sur au moins 80 000 victimes. La baisse du montant global masque une augmentation du nombre de personnes touchées. Les attaquants ont changé de stratégie. Ils préfèrent multiplier les petites prises plutôt que de concentrer leurs efforts sur quelques gros portefeuilles.

Cette évolution rend l’infostealer encore plus pertinent. Il n’a pas besoin de cibler une personne en particulier. Il suffit de le diffuser largement et de récolter ce qui tombe. Les utilisateurs qui laissent leurs sessions ouvertes, qui stockent leurs phrases de récupération dans des fichiers non chiffrés, ou qui installent des extensions de wallet sans précaution deviennent des cibles idéales.

Un Scénario Qui Pourrait Se Répéter

Rien n’indique que l’affaire de la DGFiP soit la dernière de ce type. Les mêmes failles existent dans d’autres administrations et dans de nombreuses entreprises. Les mêmes outils circulent sur les forums et les marketplaces. Les mêmes adolescents talentueux cherchent à se faire un nom. Tant que l’authentification forte ne sera pas généralisée et que les bonnes pratiques de sécurité ne seront pas mieux diffusées, le risque restera élevé.

Pour les détenteurs de cryptomonnaies, la vigilance doit rester permanente. Les données fiscales volées circulent. Les infostealers continuent d’infecter des machines. Les montants volés chaque année restent considérables. Dans ce contexte, la protection individuelle n’est plus une option. C’est une nécessité.

Les Mesures Que L’État Annonce Et Leur Calendrier

L’administration a fixé deux échéances. Avant le 31 décembre 2026, l’authentification forte devra être imposée aux administrateurs. Avant février 2028, elle devra l’être à tous les agents. Ces délais montrent l’ampleur du chantier. Ils montrent aussi que, d’ici là, les failles actuelles continueront d’exister. Les pirates le savent. Les utilisateurs de crypto devraient en tenir compte.

En attendant, la meilleure protection reste individuelle. Séparer les activités sensibles de la navigation quotidienne, utiliser des appareils dédiés lorsque c’est possible, ne jamais stocker de phrases de récupération en clair, activer systématiquement la double authentification : ces réflexes réduisent considérablement la surface d’attaque. Ils ne garantissent pas une sécurité absolue, mais ils rendent le travail des attaquants beaucoup plus difficile.

Ce Que Cette Affaire Change Pour La Communauté Crypto

L’affaire Casquette-ChatNoir rappelle que la frontière entre cybercriminalité classique et menaces spécifiques à la crypto est poreuse. Un outil conçu pour voler des mots de passe d’agents du fisc fonctionne tout aussi bien contre un utilisateur de MetaMask ou de Ledger Live. Les données fiscales d’un contribuable aisé peuvent servir à identifier une cible potentielle pour une opération d’extorsion ou de phishing.

La communauté crypto a longtemps mis l’accent sur la sécurité des protocoles et des smart contracts. C’est nécessaire. Mais la réalité montre que le maillon faible reste souvent l’ordinateur de l’utilisateur. Tant que les seed phrases et les sessions d’exchanges resteront accessibles à un logiciel malveillant, le risque de perte restera élevé, indépendamment de la solidité des blockchains elles-mêmes.

Une Affaire Qui Dépasse Le Seul Cadre Judiciaire

Au-delà des mises en examen et des procédures, cette affaire pose des questions plus larges. Comment des adolescents ont-ils pu développer et commercialiser un outil aussi efficace ? Comment des données aussi sensibles ont-elles pu sortir d’une administration centrale pendant trois mois sans alerte ? Pourquoi l’authentification forte n’est-elle pas encore généralisée dans les services de l’État ?

Les réponses à ces questions dépassent le cadre de la seule justice. Elles concernent la formation, les moyens alloués à la cybersécurité, la culture du risque au sein des administrations, et la vitesse d’adaptation face à des menaces en constante évolution. Pour les détenteurs de cryptomonnaies, elles soulignent surtout qu’il est dangereux de compter uniquement sur les protections collectives.

Le Lien Entre Données Fiscales Et Ciblage Crypto

Les 392 867 particuliers et 285 570 professionnels dont les données ont été volées ne sont pas tous détenteurs de cryptomonnaies. Mais une partie d’entre eux le sont, ou le seront. Le revenu fiscal de référence, l’adresse et la situation familiale permettent de dresser un profil. Un pirate qui croise ces informations avec d’autres bases, ou qui lance des campagnes de phishing ciblées, dispose d’un avantage non négligeable.

ZeroBytes a affirmé avoir vendu une partie des données à deux acheteurs. Même si le prix annoncé est faible, la valeur réelle des informations est bien supérieure. Une fois en circulation, elles peuvent être revendues, enrichies, croisées. Le risque ne disparaît pas avec l’arrestation des auteurs présumés. Il se diffuse.

Pourquoi Les Infostealers Gagnent Du Terrain

Les infostealers ne sont pas nouveaux. Ce qui change, c’est leur accessibilité et leur efficacité. Des kits complets se vendent à des prix relativement bas. Leur utilisation ne demande pas de compétences techniques avancées. Une fois déployés, ils aspirent automatiquement les données intéressantes. Dans un contexte où de plus en plus de personnes gèrent des cryptomonnaies depuis leur ordinateur personnel, le potentiel de gain pour les attaquants augmente.

Les chiffres de 2025 confirment cette tendance. Plus de victimes, des montants individuels plus modestes, une industrialisation du vol. L’infostealer est l’outil parfait pour cette approche. Il ne cherche pas la proie unique et riche. Il balaie large et récolte ce qu’il trouve. Pour l’utilisateur moyen, le risque n’a jamais été aussi concret.

Les Limites De La Protection Collective

L’État peut renforcer ses systèmes. Les exchanges peuvent améliorer leurs protocoles de sécurité. Les éditeurs de wallets peuvent proposer des solutions plus robustes. Mais aucune de ces protections collectives ne remplace la vigilance individuelle. Un utilisateur qui clique sur un fichier malveillant, qui laisse une session ouverte, ou qui note sa seed phrase dans un document non chiffré, reste vulnérable, quelles que soient les mesures prises en amont.

C’est pourquoi les recommandations de base restent d’actualité. Elles ne sont pas révolutionnaires. Elles sont simplement efficaces. Et dans un contexte où les attaquants multiplient les petites prises, elles font souvent la différence entre un incident évité et une perte définitive.

Ce Qu’Il Faut Retenir De Cette Affaire

Un adolescent de seize ans mis en examen pour le piratage de la DGFiP. Un complice de dix-huit ans en détention. Un outil capable d’aspirer mots de passe et accès aux wallets. Des données fiscales de centaines de milliers de Français en circulation. Des chiffres qui montrent que les compromissions de portefeuilles personnels progressent. Un calendrier de l’État qui s’étale encore sur plusieurs années.

Cette affaire n’est pas seulement judiciaire. Elle est aussi technique, sociale et économique. Elle touche directement les détenteurs de cryptomonnaies, qu’ils le veuillent ou non. Les mêmes outils qui ont permis de siphonner les données de Bercy peuvent vider un wallet en quelques secondes. Les mêmes données qui ont été vendues pour quelques milliers d’euros peuvent servir à cibler des personnes aisées.

Dans ce contexte, la meilleure attitude consiste à considérer que le risque est réel et présent. Protéger ses accès, isoler ses clés, éviter les comportements à risque : ces gestes ne sont plus optionnels. Ils sont devenus le minimum indispensable pour naviguer dans un environnement où les attaquants, parfois très jeunes, disposent d’outils de plus en plus efficaces et d’informations de plus en plus précises.

L’histoire de Casquette et de ChatNoir n’est probablement pas terminée. D’autres procédures, d’autres révélations, d’autres mises en cause pourraient suivre. Mais pour les utilisateurs de cryptomonnaies, l’essentiel est déjà là. La menace est identifiée. Les moyens de s’en protéger existent. Il ne reste plus qu’à les appliquer avec rigueur, avant que le prochain infostealer ne frappe.