Hackeo de la administración fiscal: un hacker de 16 años bajo investigación, sus herramientas también amenazan a los poseedores de criptomonedas

Dieciséis años y ya dos investigaciones. Le Monde informa que el adolescente apodado "Casquette" fue puesto bajo investigación el miércoles 28 de octubre en la investigación sobre el hackeo de la DGFiP. Corneille pensaba en Rodrigue. La justicia ahora apunta a un chico de Bocas del Ródano, sospechoso de haber ayudado a robar los datos de 678,000 contribuyentes.

Para los poseedores de criptomonedas, el caso va mucho más allá de la administración fiscal. El dúo señalado por los jueces vendía un infostealer que roba contraseñas y wallets en las computadoras infectadas. Los archivos robados en Bercy ofrecen además los nombres, direcciones e ingresos de cientos de miles de franceses. Ya habíamos detallado este riesgo desde el anuncio del hackeo de la DGFiP.

Puntos clave

• Un menor de 16 años, alias "Casquette", se une a ChatNoir en el banquillo de los acusados.
• Los investigadores ven en este tándem las dos cabezas del grupo ZeroBytes.
• Su antigua banda, Epsilon, distribuía un ladrón de identificaciones a otros piratas.
• Los accesos de los agentes de la administración fiscal fueron precisamente robados por este tipo de software.

Hackeo de la administración fiscal: la detención de Casquette

La Oficina Anti-Cibercriminalidad (OFAC) lo puso bajo custodia el martes 27 de octubre, por orden de los jueces de instrucción. Al día siguiente, los jueces lo pusieron bajo investigación por extracción fraudulenta de datos de un sistema del Estado en banda organizada. Se añaden el acceso y la permanencia fraudulenta en este mismo sistema.

Tenía 15 años en el momento de los hechos.

La fiscalía de París había solicitado un control judicial, y eso es lo que los magistrados decidieron. Su abogado, Me Réda Ghilaci, menciona a Le Monde una acusación "particularmente frágil". Planea impugnarla en los próximos días.

Casquette no es un desconocido para los servicios. Ya había pasado una detención a finales de agosto en la brigada cibernética de la prefectura de policía de París. El 4 de septiembre, fue puesto bajo investigación en otro procedimiento que involucra al grupo Epsilon.

Su presunto cómplice ChatNoir (18 años) está en detención provisional desde el verano en el caso de la administración fiscal. Ya estaba bajo control judicial por el hackeo de Free de 2024 cuando comenzaron las intrusiones en Bercy.

Un infostealer detrás del hackeo de la administración fiscal y de wallets

Bajo la bandera de Epsilon, el tándem revendía un infostealer a otros cibercriminales. Los jueces también le atribuyen los hackeos de Shadow y de LDLC entre 2023 y 2024. Varios cuentas X de redacciones pasaron por sus manos, incluida la de BFMTV.

El principio es de una brutal simplicidad. Una vez en la máquina, el programa copia las contraseñas memorizadas por el navegador y las envía a su operador. En una computadora que también se utiliza para gestionar criptomonedas, la recolección incluye las extensiones de wallet, las sesiones de exchanges abiertas y a veces una seed phrase olvidada en un archivo de texto.

Es por esta puerta que Bercy cayó. El informe de la Anssi publicado el 29 de septiembre estima que varios decenas de identificaciones de agentes fueron "probablemente aspiradas por infostealers". La administración fiscal no administraba estas computadoras. Dos portales no tenían autenticación fuerte, y aproximadamente 14 GB de datos salieron en tres meses sin activar ninguna alerta.

El método también está dando cada vez más resultados en el ámbito de las criptomonedas. Según las cifras de Chainalysis citadas por The Block, las compromisos de wallets personales alcanzaron 158,000 casos en 2025. Al menos 80,000 víctimas perdieron 713 millones de dólares. El analista señala que los atacantes ahora apuntan a montos más modestos entre más usuarios. En 2024, los particulares habían perdido 1.5 mil millones de dólares.

Hackeo de la administración fiscal: lo que los archivos robados ofrecen a los ladrones

El lote robado a la DGFiP contiene 392,867 particulares y 285,570 profesionales, con el ingreso fiscal de referencia, la dirección y la situación familiar. Para un ladrón que busca un hogar acomodado para visitar, es una guía telefónica. La Anssi precisaba a finales de septiembre que ninguna agresión había sido aún relacionada con estos archivos. Sin embargo, ZeroBytes afirma haber vendido una parte de los datos a dos compradores por unos pocos miles de euros.

El Estado quiere imponer la autenticación fuerte a sus administradores antes del 31 de diciembre de 2026, y luego a todos sus agentes antes de febrero de 2028. Nuestro análisis del informe de la Anssi sobre el hackeo de la administración fiscal detallaba este calendario. Hasta entonces, la doble autenticación en sus exchanges y un wallet hardware siguen siendo su mejor defensa contra un infostealer.

Este contenido se ofrece únicamente con fines informativos generales y no constituye asesoramiento financiero, de inversión, legal ni fiscal. Cualquier evento, recompensa, promoción en línea o información relacionada que se mencione en el presente documento no debe considerarse como una recomendación, solicitud o invitación a comprar, vender, tradear o de negociar de otra manera con cualquier criptoactivo. Los criptoactivos son sumamente volátiles y pueden provocar pérdidas. La disponibilidad de los servicios, productos y eventos relacionados de WEEX puede variar según la región. Tienes la responsabilidad de asegurarte de que tu participación esté de acuerdo con las leyes y regulaciones locales vigentes.