Hacking da administração fiscal: um hacker de 16 anos acusado, suas ferramentas ameaçam também os detentores de criptomoedas

Dezasseis anos, e já duas acusações. O Le Monde relata que o adolescente conhecido como "Casquette" foi acusado na quarta-feira, 28 de outubro, na investigação sobre o hacking da DGFiP. Corneille pensava em Rodrigue. A justiça agora mira um rapaz dos Bouches-du-Rhône, suspeito de ter ajudado a roubar os dados de 678.000 contribuintes.

Para os detentores de criptomoedas, o caso vai muito além da administração fiscal. A dupla visada pelos juízes vendia um infostealer que captura senhas e wallets em computadores infectados. Os arquivos roubados em Bercy oferecem, além disso, os nomes, endereços e rendimentos de centenas de milhares de franceses. Já havíamos detalhado esse risco assim que o hacking da DGFiP foi anunciado.

Pontos chave

• Um menor de 16 anos, conhecido como "Casquette", junta-se a ChatNoir no banco dos acusados.
• Os investigadores veem neste duo as duas cabeças do grupo ZeroBytes.
• Sua antiga gangue, Epsilon, vendia um ladrão de identificações a outros hackers.
• Os acessos dos agentes da administração fiscal foram precisamente roubados por esse tipo de software.

Hacking da administração fiscal: a detenção de Casquette

O Escritório Anti-Cibercrime (OFAC) o colocou em detenção na terça-feira, 27 de outubro, por ordem dos juízes de instrução. No dia seguinte, os juízes o acusaram de extração fraudulenta de dados de um sistema do Estado em grupo organizado. Acrescentam-se o acesso e a permanência fraudulenta nesse mesmo sistema.

Ele tinha 15 anos na época dos fatos.

O Ministério Público de Paris havia solicitado um controle judicial, e foi isso que os magistrados decidiram. Seu advogado, Me Réda Ghilaci, menciona ao Le Monde uma acusação "particularmente frágil". Ele pretende contestá-la nos próximos dias.

Casquette não é um desconhecido dos serviços. Ele já havia passado por uma detenção no final de agosto na brigada cibernética da prefeitura de polícia de Paris. No 4 de setembro, ele foi acusado em outro processo envolvendo o grupo Epsilon.

Seu suposto cúmplice ChatNoir (18 anos) está em detenção provisória desde o verão no caso da administração fiscal. Ele já estava sob controle judicial pelo hacking da Free de 2024 quando as intrusões em Bercy começaram.

Um infostealer por trás do hacking da administração fiscal e das wallets

Sob a bandeira Epsilon, a dupla revendia um infostealer a outros cibercriminosos. Os juízes também atribuem a eles os hacks de Shadow e LDLC entre 2023 e 2024. Várias contas X de redações passaram por suas mãos, incluindo a da BFMTV.

O princípio é de uma simplicidade brutal. Uma vez na máquina, o programa copia as senhas memorizadas pelo navegador e as transmite ao seu operador. Em um computador que também é usado para gerenciar criptomoedas, a coleta inclui as extensões de wallet, as sessões de exchanges abertas e, às vezes, uma seed phrase esquecida em um arquivo de texto.

É por essa porta que Bercy caiu. O relatório da Anssi publicado em 29 de setembro estima que várias dezenas de identificações de agentes foram "provavelmente aspiradas por infostealers". A administração fiscal não administrava esses computadores. Dois portais não tinham autenticação forte, e cerca de 14 GB de dados foram extraídos em três meses sem disparar um alerta.

O método também está cada vez mais dando frutos na criptomoeda. De acordo com os números da Chainalysis divulgados pelo The Block, as compromissos de wallets pessoais atingiram 158.000 casos em 2025. Pelo menos 80.000 vítimas perderam 713 milhões de dólares. O analista observa que os atacantes agora visam montantes mais modestos em um número maior de usuários. Em 2024, os particulares perderam 1,5 bilhões de dólares.

Hacking da administração fiscal: o que os arquivos roubados oferecem aos ladrões

O lote roubado da DGFiP contém 392.867 particulares e 285.570 profissionais, com a referência de rendimento fiscal, o endereço e a situação familiar. Para um ladrão que procura uma casa rica para visitar, é uma lista telefônica. A Anssi especificou no final de setembro que nenhuma agressão havia sido ainda ligada a esses arquivos. A ZeroBytes afirma, no entanto, ter vendido uma parte dos dados a dois compradores por alguns milhares de euros.

O Estado quer impor a autenticação forte aos seus administradores antes de 31 de dezembro de 2026, e depois a todos os seus agentes antes de fevereiro de 2028. Nossa análise do relatório da Anssi sobre o hacking da administração fiscal detalhava esse cronograma. Até lá, a autenticação dupla em suas exchanges e uma wallet de hardware continuam sendo sua melhor defesa contra um infostealer.

Este conteúdo é disponibilizado apenas para fins informativos gerais e não constitui aconselhamento financeiro, de investimento, jurídico ou fiscal. Quaisquer eventos, recompensas, promoções online ou informações relacionadas aqui mencionados não devem ser interpretados como uma recomendação, solicitação ou convite para comprar, vender, negociar ou realizar quaisquer outras operações com criptoativos. Os criptoativos são altamente voláteis e podem resultar em perdas. A disponibilidade dos serviços, produtos e eventos relacionados da WEEX pode variar consoante a região. O utilizador é responsável por garantir que a sua participação está em conformidade com a legislação e os regulamentos locais aplicáveis.