Adolescent vole 11,7 millions de comptes ANTS : 200M d'euros

Publié le 20/09/2026

Le 15 avril 2026, les équipes de France Titres détectent une intrusion sur la plateforme moncompte.ants.gouv.fr. L'auteur présumé ? Un adolescent français de 15 ans, opérant sous le pseudonyme « breach3d ». Cinq jours plus tard, le ministère de l'Intérieur confirme publiquement l'exposition des données personnelles de 11,7 millions d'usagers. Ce chiffre suffit à mesurer l'étendue du choc subi par l'administration française.

Une faille IDOR au cœur du portail France Titres

L'Agence nationale des titres sécurisés, rebaptisée France Titres, centralise la gestion des cartes d'identité, passeports, permis de conduire et certificats d'immatriculation. Compromettre son portail usager, c'est potentiellement toucher l'identité administrative de millions de Français. Pourtant, la technique utilisée n'avait rien d'remarquable.

L'attaque repose sur une vulnérabilité de type IDOR (Insecure Direct Object Reference). Concrètement, il suffisait de modifier un identifiant dans une requête HTTP pour consulter les données d'un autre utilisateur, sans qu'aucun contrôle d'accès ne bloque l'opération. Pas de logiciel malveillant, pas de rançongiciel : une simple manipulation d'URL.

L'OWASP, référence mondiale en sécurité applicative, classe ce type de faille dans la catégorie « Broken Access Control », en tête de son Top 10 depuis 2021. Autrement dit, le risque le plus documenté de la sécurité web, celui que tout développeur apprend à éviter, a suffi à faire tomber la plateforme d'identité de l'État. Aucun audit préalable n'avait identifié la vulnérabilité avant la mise en production.

La même classe d'erreur avait déjà touché plusieurs services publics numériques : ÉduConnect, qui avait exposé 3,5 millions de profils d'élèves, puis Tchap, la messagerie chiffrée officielle, et la plateforme Jeveuxaider.gouv.fr. À chaque fois, la faille se situait dans la conception même de l'application. Ce n'est pas une coïncidence : c'est un symptôme.

Les données compromises sur France Titres incluent des noms, identifiants, numéros de téléphone et adresses. France Titres n'a pas précisé si des numéros de passeport, de permis ou de carte d'identité figuraient dans la fuite. Le Center for Strategic and International Studies estime que la base mise en vente comporterait entre 11 et 18 millions d'enregistrements, l'écart s'expliquant par des doublons ou des comptes inactifs.

La France, deuxième pays le plus piraté au monde au premier trimestre 2026

L'incident ANTS ne survient pas isolément. Selon l'étude de surveillance des violations publiée par Surfshark, 23,5 millions de comptes français ont été compromis au seul premier trimestre 2026, soit une hausse de 108,6 % par rapport au trimestre précédent. Ce chiffre place la France au deuxième rang mondial, derrière les États-Unis qui totalisent 60,3 millions de comptes exposés sur la même période.

La série d'incidents enchaînés au printemps 2026 illustre cette fragilité structurelle :

• France Titres (ANTS) : 11,7 millions de comptes exposés en avril
• ÉduConnect : 3,5 millions d'élèves touchés par une faille similaire
• Tchap, la messagerie d'État, compromise via le même type de vulnérabilité
• Jeveuxaider.gouv.fr et l'Agence du service civique, également affectées
• L'Insee, qui révèle en mai 2026 une compromission touchant 12 800 agents

Les dix plus significatives violations recensées en France depuis 2023 ont exposé au moins 145 millions d'enregistrements. Ce n'est pas seulement le volume des attaques qui progresse : c'est la surface d'exposition elle-même qui s'élargit, portée par la numérisation rapide des services publics et une culture de la sécurité applicative encore insuffisante.

Le ministre de l'Intérieur Laurent Nuñez a saisi l'Inspection générale de l'administration pour établir la chaîne de responsabilité interne. Entre-temps, l'agence notifiait la CNIL, l'ANSSI et la procureure de la République de Paris, conformément aux obligations du RGPD, qui impose une déclaration sous 72 heures. Ce délai, réglementairement correct, a pourtant nourri la controverse : les données circulaient déjà sur des forums underground avant l'annonce publique.

200 millions d'euros et un vide juridique persistant

Le 30 avril 2026, le Premier ministre Sébastien Lecornu se rend dans les locaux de France Titres pour annoncer un plan de renforcement de la cybersécurité étatique doté de 200 millions d'euros. Objectif affiché : financer des audits applicatifs systématiques, recruter des profils spécialisés et mettre à niveau les plateformes les plus exposées. La réaction politique, moins de deux semaines après la révélation publique, témoigne du niveau de sidération provoqué par l'incident.

Car l'équation reste difficile à digérer : une infrastructure critique de l'État français compromise par un adolescent de 15 ans, sans recours à aucun outil sophistiqué. L'auteur présumé a revendiqué une base de 18 à 19 millions d'enregistrements mise en vente sur des forums cybercriminels. À ce jour, aucune arrestation n'a été annoncée. L'enquête est ouverte par la procureure de Paris et l'ANSSI.

Ce plan de 200 millions intervient dans un calendrier réglementaire européen particulièrement embarrassant pour la France. La directive NIS 2, qui devait être transposée en droit national avant octobre 2024, ne l'est toujours pas vingt mois après l'échéance. La loi Résilience, censée combler ce vide, reste bloquée au Parlement. Résultat : 15 000 entités critiques françaises évoluent dans un flou juridique alors même que les sanctions européennes pour non-conformité se précisent.

Pour les citoyens dont les données circulent désormais en ligne, la priorité immédiate est concrète : redoubler de vigilance face aux tentatives de hameçonnage ciblé, surveiller l'usage frauduleux de son identité et signaler tout contact suspect à la plateforme Cybermalveillance.gouv.fr. Un vol de données personnelles ne génère pas toujours des effets immédiats ; les risques peuvent se matérialiser des mois plus tard, sous forme de tentatives d'usurpation d'identité.