De Franse justitie heeft bevestigd dat een 18-jarige verdachte, vermoedelijk lid van de hackergroep ZeroBytes, is aangehouden in verband met cyberaanvallen op de Franse belastingdienst en andere instellingen. De arrestatie vond plaats op 18 augustus in de regio Parijs, waarna de verdachte twee dagen later in voorarrest werd geplaatst. Een tweede verdachte, jonger dan 16 jaar, werd op 26 augustus gearresteerd en later vrijgelaten terwijl zijn apparaten worden onderzocht.

De zaak maakt deel uit van een onderzoek naar ZeroBytes, een Franstalige hackergroep die sinds half juli verschillende aanvallen claimt op Franse overheidsinstanties, scholen en bedrijven. De 18-jarige verdachte wordt verdacht van betrokkenheid bij aanvallen op de Direction Générale des Finances Publiques (DGFiP), die in augustus een datalek meldde. Volgens de belastingdienst kreeg een aanvaller eind juni ongeautoriseerde toegang tot hun systemen door identiteitsdiefstal, waardoor informatie van zowel particulieren als bedrijven werd ingezien en gestolen. Een hacker onder de naam ZeroBytes claimde later dat gegevens van meer dan 600.000 personen waren buitgemaakt, waaronder namen, fiscale identificatienummers, e-mailadressen, gezinssituaties en belastingstatussen.

De verdachte was al bekend bij de Franse autoriteiten en stond sinds juni 2024 en opnieuw sinds januari 2025 onder formeel onderzoek voor cyberaanvallen die hij als minderjarige zou hebben gepleegd. Hij stond onder gerechtelijk toezicht toen hij werd gearresteerd. Franse media identificeerden hem onder het online alias “ChatNoir”, hoewel zijn echte identiteit niet openbaar is gemaakt. Eerder werd hij in verband gebracht met aanvallen van de hackercollectief Epsilon, waaronder het overnemen van accounts van Franse omroepen en het stelen van bedrijfsdata. Ook wordt hij verdacht van betrokkenheid bij het grote datalek bij telecomprovider Free in 2024, waarbij gegevens van meer dan 19 miljoen klanten werden gestolen.

In het ZeroBytes-onderzoek wordt de verdachte onder meer verdacht van georganiseerde ongeautoriseerde toegang tot computersystemen met persoonsgegevens, diefstal en wijziging van data, deelname aan een criminele samenzwering en het weigeren om een decryptiesleutel te overhandigen aan de autoriteiten. Deze feiten kunnen leiden tot een gevangenisstraf tot tien jaar en een boete van 300.000 euro. ZeroBytes claimde hun eerste aanval op 16 juli en gaf aan zowel publieke instellingen als private bedrijven te hebben gehackt. Naast de belastingdienst worden ook diverse onderwijsinstellingen, het arbeidsbureau France Travail, telecomoperator SFR, supermarktketen Intermarché en de Franse handbalbond als doelwit genoemd.

Franse autoriteiten hebben dit jaar te maken met een reeks cyberaanvallen en datalekken bij overheidsinstanties en andere organisaties. Zo werden eerder de Nationale Dienst voor Veilige Documenten, verantwoordelijk voor paspoorten en identiteitsbewijzen, en een systeem van het ministerie van Onderwijs getroffen, waarbij persoonsgegevens van leerlingen werden blootgesteld.