À 15 ans, il pirate l'ANTS : 1,2M de données compromises
Publié le 25/06/2026
40,8 millions de comptes français compromis en 2026 : la France traverse une période particulièrement troublée sur le plan de la cybersécurité. L'affaire qui a éclaté au mois d'avril dernier illustre ce constat de façon brutale. Un adolescent de 15 ans, sans formation technique poussée, a réussi à extraire les données personnelles de près de 12 millions de citoyens depuis le portail officiel de l'Agence nationale des titres sécurisés, l'ANTS. Une intrusion aussi simple qu'alarmante.
Une faille enfantine dans un service régalien
Tout commence le 15 avril 2026, lorsque le mineur, qui opère sous le pseudonyme breach3d, remarque quelque chose d'inhabituel en consultant son propre espace sur moncompte.ants.gouv.fr. Il teste une manipulation élémentaire : modifier un seul chiffre dans l'URL de sa page personnelle. Résultat ? Le serveur lui renvoie les données d'un autre utilisateur, sans aucune vérification d'identité.
Ce type de vulnérabilité porte un nom précis : IDOR, pour Insecure Direct Object Reference. L'image qui convient le mieux est celle d'un vestiaire dont les casiers seraient numérotés, mais où n'importe qui pourrait ouvrir n'importe quel casier simplement en connaissant son numéro. Aucun verrou, aucun contrôle. Le chercheur en cybersécurité Clément Domingo, alias SaxX, a reconstitué l'attaque lors d'un événement organisé par Surfshark. Sa conclusion est sans appel : « La plupart du temps, quand je découvre des failles sur ces sites web, c'est parce que les gens ont une très mauvaise hygiène en matière de cybersécurité ».
La faille identifiée, l'adolescent n'a pas écrit une seule ligne de code lui-même. Il a sollicité Claude, l'assistant conversationnel développé par Anthropic, pour générer automatiquement un script capable de parcourir des milliers d'identifiants successifs et de télécharger les informations associées. En quelques jours, 11,7 millions de comptes ont été aspirés. La brèche a certes été corrigée rapidement, ce qui souligne justement à quel point sa détection en amont aurait dû être évidente.
Le profil du jeune pirate surprend les enquêteurs. L'investigation, confiée à la section de lutte contre la cybercriminalité du parquet de Paris, décrit un script kiddie typique : quelqu'un qui ne maîtrise pas réellement la programmation, mais qui sait marier des ressources accessibles à tous. Clément Domingo met d'ailleurs en garde contre ce nouveau profil de cyberattaquant : « Nous avons affaire à un nouveau type de cybercriminels qui ne sont ni Russes, ni Chinois. Ils sont Français ». Interpellé le 25 avril, le mineur a été mis en examen quelques jours plus tard.
Données exposées : ce que les victimes risquent concrètement
Comprendre ce qui a fuité permet de mesurer l'étendue réelle du danger. Les informations dérobées lors de ce piratage de l'ANTS couvrent plusieurs catégories d'état civil et de coordonnées personnelles :
- Nom, prénom, date et lieu de naissance
- Adresse postale complète
- Adresse électronique et numéro de téléphone
- Identifiant de compte ANTS
Avec ces éléments combinés, un individu malveillant dispose de tout le nécessaire pour monter des campagnes de phishing extrêmement crédibles, en se faisant passer pour l'administration française au sujet d'un renouvellement de carte d'identité ou d'un permis de conduire. Le risque d'usurpation d'identité est donc réel et immédiat.
| Type de donnée exposée | Risque associé | Niveau de gravité |
|---|---|---|
| Nom, prénom, date de naissance | Usurpation d'identité | Élevé |
| Adresse postale | Arnaques courrier, ouverture de crédit | Élevé |
| Email et téléphone | Phishing, smishing ciblé | Très élevé |
| Identifiant ANTS | Accès frauduleux aux démarches | Élevé |
Pour les millions de personnes concernées, quelques réflexes s'imposent sans délai : vérifier systématiquement l'expéditeur de tout message se réclamant de France Titres, ne jamais cliquer sur un lien reçu par SMS ou courriel, et saisir manuellement l'adresse officielle dans le navigateur. Surveiller ses relevés bancaires et toute ouverture de crédit suspecte constitue également une précaution de bon sens devenue indispensable dans ce contexte.
Ce piratage révèle un retard structurel de l'État numérique français
L'incident ANTS ne surgit pas dans le vide. Il s'inscrit dans une orientation lourde qui interroge la maturité numérique des services publics. Luis Costa, représentant de Surfshark, résume l'équation ainsi : « Les avantages liés à la commodité de tout faire en ligne et de façon centralisée dépassent les investissements et les infrastructures de sécurité en France ». Une centralisation des démarches administratives sans renforcement parallèle des protections crée mécaniquement des cibles de grande valeur.
Face à cette réalité, le gouvernement a annoncé une enveloppe de 200 millions d'euros destinée à consolider la sécurité des plateformes publiques. C'est une somme significative, mais le chemin reste long. La rapidité avec laquelle la faille IDOR a été corrigée après sa découverte montre que les équipes techniques savent réagir. Le problème tient davantage à la détection préventive : ce type de vulnérabilité aurait dû être repéré lors des audits de sécurité ordinaires, bien avant qu'un lycéen ne s'en empare.
Pour les organisations qui gèrent des données personnelles à grande échelle, cet épisode rappelle une priorité non négociable : tester régulièrement ses propres interfaces avec des méthodes offensives, notamment les tests de pénétration et les programmes de bug bounty. Inviter des chercheurs externes à chercher des failles avant les attaquants n'est plus une option réservée aux grandes entreprises privées. C'est une nécessité pour tout service public numérique qui engage la confiance de millions de citoyens.