ZeroBytes : ce que la série de piratages qui secoue la France nous apprend vraiment

En quelques semaines, un seul pseudonyme s’est imposé dans toutes les alertes cyber françaises : ZeroBytes. Le fisc, les fichiers cadastraux, l’Éducation nationale, la grande distribution : la liste des cibles revendiquées s’allonge presque chaque semaine, et à chaque fois, le scénario se répète avec une régularité déconcertante.

Face à cet enchaînement, la tentation est grande de voir un génie de l’informatique tenant tête à un État entier. La réalité est à la fois moins spectaculaire et beaucoup plus instructive. Car si ces attaques mettent la France en difficulté, ce n’est pas grâce à une prouesse technique : c’est à cause d’un maillon faible que nous répétons dans presque chacun de nos articles. Décryptage d’un phénomène, et de la leçon qu’il contient pour chacun de nos comptes.

Un feuilleton qui a viré au symbole

Reprenons le fil. Ces derniers mois, sous le pseudonyme ZeroBytes, ont été revendiquées des intrusions visant la Direction générale des Finances publiques (avec près de 678 000 particuliers et professionnels concernés, confirmés par Bercy), une base cadastrale portant sur plus de deux millions de propriétaires, plusieurs systèmes de l’Éducation nationale, ainsi que des enseignes privées comme Intermarché Drive.

Le groupe, qui se présente comme un duo français, ne revendique aucune cause politique. Interrogé par des médias spécialisés sur ses motivations, il répond sans détour : l’argent, et une forme de recherche de pouvoir. Les données volées sont mises en vente, une même base pouvant être revendue à plusieurs acheteurs. Nous ne sommes donc pas face à de l’hacktivisme, mais à une entreprise criminelle qui a trouvé un filon : les systèmes français.

L’effet d’accumulation crée une impression d’humiliation nationale, entretenue par le fait que le pirate communique, répond aux autorités et distille ses révélations « au fur et à mesure », selon les mots mêmes de la directrice générale de la DGFiP. Mais c’est précisément cette mise en scène qu’il faut savoir dépasser pour comprendre ce qui se joue.

Le secret le moins bien gardé : il n’y a pas d’exploit magique

Voici le point que la couverture médiatique met rarement en avant. Comment ZeroBytes est-il entré ? D’après les descriptions disponibles et les analyses de spécialistes, le mode opératoire tourne autour de quelques constantes très banales :

• L’usurpation de l’identité d’un agent disposant d’un accès légitime. Pour l’intrusion au fisc confirmée par Bercy, c’est un accès agent détourné qui est en cause.
• Un accès VPN récupéré, servant de porte d’entrée vers les outils internes, une fois les protections périmétriques franchies.
• Dans un cas, le contournement revendiqué d’une authentification multifacteur, qui aurait dû être le dernier rempart.
• Et surtout, l’absence d’alerte face à l’extraction en masse de centaines de milliers de lignes : le pillage a duré parce que rien ne l’a arrêté à temps.

Un spécialiste ayant documenté l’affaire l’a résumé sans détour : l’histoire révèle moins un exploit technique qu’une faiblesse dans la protection des accès. Autrement dit, la porte n’a pas été fracturée ; on a utilisé la clé de quelqu’un, et personne n’a remarqué que la clé servait à vider la maison.

Pourquoi cette leçon vous concerne directement

« Tout cela se passe au niveau de l’État, avec des VPN et des systèmes que je n’utilise pas », pourriez-vous penser. Détrompez-vous : le mécanisme qui met la France en difficulté est exactement celui qui menace vos comptes personnels, à une autre échelle.

Le point commun de toutes ces affaires, c’est que l’attaque n’a pas visé une faille du logiciel, mais la faiblesse d’un accès. Un identifiant réutilisé, une authentification mal verrouillée, une absence de surveillance. Transposé à votre vie numérique, cela donne : un mot de passe réutilisé d’un site à l’autre, une double authentification jamais activée, et des connexions suspectes que personne ne surveille.

Les grandes fuites qui alimentent ZeroBytes et ses semblables ne sont pas une fatalité tombée du ciel. Elles forment un cycle : des données volées ici servent à usurper des identités là, qui permettent de nouvelles intrusions, qui produisent de nouvelles données. Chaque compte mal protégé est un maillon potentiel de cette chaîne. Votre boîte mail réutilisant un mot de passe ayant fuité, c’est, à votre échelle, exactement le type de porte que ces attaques empruntent.

Les trois verrous que l’affaire ZeroBytes rend incontournables

Si une administration entière peut être mise en difficulté par des accès mal protégés, la conclusion pour nos comptes personnels s’impose d’elle-même. Trois mesures, et elles se renforcent l’une l’autre.

1. Un mot de passe unique par compte

C’est le verrou qui casse la chaîne. Quand chaque compte a un mot de passe différent, un identifiant volé quelque part ne peut pas ouvrir autre chose. C’est précisément ce qui manque quand une seule clé donne accès à tout un système. Générez des mots de passe uniques et réellement aléatoires, compte après compte, avec un outil comme FortixPass : c’est la mesure la plus rentable qui existe.

2. La double authentification, systématiquement

L’affaire montre que même un identifiant valide ne devrait jamais suffire à lui seul. La double authentification est ce second facteur : activez-la partout où c’est possible, en priorité sur votre messagerie, qui commande la récupération de tous vos autres comptes. Et quand un service propose les passkeys, adoptez-les : elles résistent nativement au phishing, la technique par laquelle la plupart des identifiants sont volés.

3. La vigilance face aux sollicitations

ZeroBytes revend ses données ; d’autres les achètent pour monter des arnaques ciblées. Dans les mois qui viennent, attendez-vous à des messages « officiels » exploitant des informations vraies (fisc, école, administration). La règle ne change pas : aucune institution ne demande mot de passe, code ou coordonnées bancaires par message, et au moindre doute, on revient par le canal officiel de sa propre initiative.

Ce qu’il faut retenir

Le feuilleton ZeroBytes fascine parce qu’il ressemble à un duel entre un pirate et un pays. Mais l’histoire vraie est moins romanesque et plus utile : ces intrusions ne sont pas des exploits techniques, ce sont des accès mal protégés qui cèdent les uns après les autres. La France n’est pas « ridiculisée » par un génie ; elle paie le prix d’une hygiène des accès insuffisante, à grande échelle.

Et c’est une excellente nouvelle pour vous, car cela signifie que la parade est à votre portée, sans compétence technique : des mots de passe uniques, une double authentification, une saine méfiance. Les mêmes principes qui manquent aux systèmes attaqués sont ceux qui protègent efficacement vos comptes. Ne laissez pas les vôtres devenir le maillon faible : commencez dès maintenant sur FortixPass.