Adolescent vole 11,7 millions de comptes ANTS

Publié le 10/08/2026

Le 15 avril 2026, les équipes de surveillance de France Titres, l'Agence nationale des titres sécurisés, détectent une intrusion sur le portail moncompte.ants.gouv.fr. L'auteur présumé n'est pas un groupe criminel organisé, ni un service de renseignement étranger. C'est un adolescent français de 15 ans, qui opère sous le pseudonyme « breach3d ». En quelques requêtes HTTP modifiées, il accède aux données personnelles de millions de Français, sans laisser le moindre logiciel malveillant derrière lui.

Une faille IDOR à la croisée de l'identité numérique de l'État

La technique utilisée ne relève d'aucune sophistication singulière. L'attaquant a exploité une vulnérabilité de type IDOR (Insecure Direct Object Reference) : le portail permettait d'accéder aux données d'un autre utilisateur en changeant simplement un identifiant dans l'URL ou dans une requête. Aucun mécanisme de contrôle d'accès ne vérifiait que la personne connectée était bien autorisée à consulter le profil demandé.

L'OWASP, organisation de référence mondiale en sécurité applicative, classe précisément ce type de faille dans la catégorie « Broken Access Control », en tête de son Top 10 des risques applicatifs depuis 2021. Autrement dit, la vulnérabilité la plus documentée et la plus évitable qui soit a suffi à compromettre la plateforme qui gère cartes nationales d'identité, passeports, permis de conduire et certificats d'immatriculation. Aucun audit ne l'avait identifiée avant la mise en production.

Ce n'est pas la première fois que cette classe d'erreur frappe les infrastructures numériques françaises. La plateforme ÉduConnect avait exposé 3,5 millions de profils d'élèves par le même mécanisme, puis Tchap, la messagerie chiffrée des agents de l'État, avait subi une faille analogue. À chaque fois, le problème provenait de la conception même de l'application, et non d'un composant tiers compromis.

Chronologie d'une compromission révélée en cinq jours

La séquence des événements est précise. Entre le 15 et le 20 avril 2026, France Titres notifie simultanément la CNIL, l'ANSSI et la procureure de la République de Paris, conformément au délai de 72 heures imposé par le RGPD. Le 20 avril, le ministère de l'Intérieur publie un communiqué officiel confirmant l'exposition de 11,7 millions de comptes.

Le ministre de l'Intérieur Laurent Nuñez a saisi l'Inspection générale de l'administration pour établir la chaîne de responsabilité interne. Cette communication, techniquement conforme aux obligations réglementaires, a néanmoins alimenté la controverse : pendant ces cinq jours, des données circulaient déjà sur des forums cybercriminels.

Les données compromises incluent noms, identifiants, numéros de téléphone et adresses. France Titres n'a pas précisé si des numéros de titres eux-mêmes (passeports, permis, cartes d'identité) figuraient dans la base exfiltrée. L'agence a appelé les usagers à redoubler de vigilance face aux tentatives de hameçonnage ciblé, risque classique après une fuite d'une telle ampleur. Pour sa part, « breach3d » revendique entre 18 et 19 millions d'enregistrements, écart qui s'explique probablement par l'inclusion de doublons ou de comptes inactifs, voire par une valorisation commerciale de la fuite.

La France, deuxième pays le plus piraté au monde au premier trimestre 2026

L'incident ne se produit pas dans le vide. Selon les données publiées par Surfshark, spécialiste de la surveillance des violations de données, 23,5 millions de comptes français ont été compromis au seul premier trimestre 2026, soit une hausse de 108,6 % par rapport au trimestre précédent. Ce volume place la France au deuxième rang mondial, derrière les États-Unis (60,3 millions de comptes exposés sur la même période).

La liste des plateformes touchées en 2026 est éloquente :

• France Titres (ANTS) : 11,7 millions de comptes exposés en avril
• ÉduConnect : 3,5 millions de profils d'élèves compromis
• Tchap, Jeveuxaider.gouv.fr et l'Agence du service civique
• l'INSEE : compromission de 12 800 agents révélée en mai 2026

Les dix violations les plus importantes recensées en France depuis 2023 ont exposé au moins 145 millions d'enregistrements, selon le Center for Strategic and International Studies. Ce classement dépasse la basique addition d'incidents : il reflète une surface d'exposition élargie par la numérisation rapide des services publics, sans que la culture de sécurité applicative n'ait suivi le même rythme.

200 millions d'euros et un vide juridique persistant

Le 30 avril 2026, le Premier ministre Sébastien Lecornu se rend dans les locaux de France Titres pour annoncer un plan de renforcement doté de 200 millions d'euros. L'objectif affiché : financer des audits applicatifs systématiques, recruter des profils spécialisés en cybersécurité et remettre à niveau les plateformes les plus critiques. Réagir en moins de deux semaines après une révélation publique est politiquement notable, mais la question qui se pose désormais est celle de la pérennité de l'effort.

Car le contexte réglementaire reste préoccupant. La directive européenne NIS 2, dont la transposition en droit français était attendue avant octobre 2024, n'a toujours pas été intégrée. La loi Résilience, censée combler ce manque, demeure bloquée depuis vingt mois. Ce retard laisse 15 000 entités critiques françaises dans un vide juridique, alors que les sanctions européennes pour non-conformité se précisent.

Quant à l'auteur présumé, les autorités ont confirmé son identification : citoyen français, 15 ans. L'ANSSI et la procureure de Paris ont ouvert une enquête formelle. Aucune arrestation n'a été annoncée à ce stade. Au-delà du profil de l'individu, c'est la question des procédures d'audit avant mise en production qui mérite d'être posée avec fermeté : une revue de code ciblée sur les contrôles d'accès aurait suffi à éviter l'un des piratages les plus coûteux de l'histoire administrative française.