Actif en France depuis au moins juillet 2026, ZeroBytes est un acteur cybercriminel spécialisé dans le vol et la revente de données. Le groupe communique publiquement sur ses activités, notamment via les réseaux sociaux, et se présente comme un revendeur de données opérant sans préférence sectorielle particulière.
ZeroBytes a revendiqué ou été associé à plusieurs compromissions visant des organisations françaises, publiques comme privées. Son intérêt réside moins dans la sophistication de ses techniques que dans son mode opératoire : exploiter des identifiants compromis et des accès légitimes pour atteindre des données sensibles, sans nécessairement recourir à un malware ou à l’exploitation d’une vulnérabilité critique.
Une approche qui rappelle que, dans certaines chaînes d’attaque, l’identité numérique constitue désormais le principal point d’entrée dans le système d’information.
Des identifiants compromis comme principal vecteur d’accès
Le mode opératoire décrit par ZeroBytes repose principalement sur l’utilisation de comptes préalablement compromis. Plutôt que de rechercher systématiquement une vulnérabilité logicielle exploitable, l’acteur utilise des identifiants lui permettant d’accéder directement à des services ou à des outils internes.
Une fois authentifié, il cherche à identifier les ressources accessibles avec les droits du compte compromis : applications métier, interfaces internes, bases de données ou moteurs de recherche.
Dans le cas de la DGFiP, l’acteur affirme notamment avoir disposé d’un accès permettant d’effectuer des recherches à partir de noms et prénoms. Pour la Fédération Française de Handball, il indique avoir exploité un moteur de recherche interne donnant accès à un volume important d’informations.
La compromission d’un compte légitime permet ainsi de contourner une partie des mécanismes de sécurité traditionnellement concentrés sur la détection d’une intrusion technique.
Exploiter les accès plutôt que compromettre les systèmes
Cette approche distingue ZeroBytes de nombreux groupes ransomware. L’objectif n’est pas de chiffrer l’infrastructure ou de perturber son fonctionnement, mais d’exploiter au maximum les accès disponibles pour identifier les informations présentant une valeur.
L’acteur indique notamment effectuer des recherches en fonction des demandes de potentiels acheteurs. La collecte peut donc être ciblée : plutôt que d’exfiltrer systématiquement l’ensemble des informations disponibles, les recherches portent sur les données susceptibles d’intéresser directement ses clients.
Le système compromis devient alors moins une cible à détruire qu’une source d’informations à exploiter.
La donnée comme finalité de l’attaque
Une fois récupérées, les données peuvent être proposées à la vente sur des forums du darknet ou directement auprès d’acheteurs potentiels.
Le modèle économique diffère ainsi de celui de la double extorsion pratiquée par de nombreux groupes ransomware. La monétisation repose directement sur la valeur des informations obtenues, sans qu’il soit nécessaire de chiffrer les systèmes ou de réclamer une rançon à l’organisation victime.
Ce fonctionnement permet également de limiter certaines actions particulièrement visibles sur le système d’information. Une utilisation malveillante réalisée à partir d’un compte autorisé peut être plus difficile à distinguer d’une activité légitime, notamment lorsque les contrôles reposent principalement sur la réussite ou l’échec de l’authentification.
Une communication publique inhabituelle
ZeroBytes se distingue également par sa communication ouverte autour de ses activités. L’acteur utilise les réseaux sociaux, revendique certaines opérations et a accepté de répondre directement aux questions du média spécialisé FrenchBreaches.
Cette exposition contraste avec le fonctionnement plus discret d’autres acteurs spécialisés dans le vol de données. Elle témoigne également d’un écosystème cybercriminel dans lequel de nouveaux groupes peuvent chercher à développer rapidement leur visibilité et leur réputation auprès de potentiels acheteurs.
Pour autant, les déclarations de l’acteur concernant ses accès, ses méthodes ou l’étendue des données récupérées doivent être distinguées des éléments ayant fait l’objet d’une confirmation indépendante.
Quand un accès autorisé devient une menace
Le cas ZeroBytes rappelle qu’une compromission importante ne nécessite pas nécessairement une chaîne d’exploitation complexe, un zero-day ou le déploiement d’un malware sophistiqué. Un compte légitime compromis peut suffire à franchir une partie des mécanismes de protection et à accéder à des ressources sensibles.
La protection contre ce type de menace repose donc autant sur la sécurisation des identités que sur la protection des infrastructures : authentification multifacteur, maîtrise des privilèges, limitation des accès, surveillance des applications internes et détection des comportements inhabituels.
Face à des acteurs qui détournent des comptes légitimes, la question n’est plus seulement de savoir si un utilisateur est autorisé à accéder à une ressource, mais si l’utilisation qu’il en fait est elle-même légitime.
