Cyberattaque ANTS : 11,7M comptes exposés
Publié le 04/07/2026
Le 15 avril 2026, les équipes techniques de l'Agence nationale des titres sécurisés détectent une intrusion sur le portail moncompte.ants.gouv.fr. Cinq jours plus tard, le ministère de l'Intérieur confirme l'ampleur du désastre : 11,7 millions de comptes usagers compromis, exposant les données personnelles de millions de Français ayant effectué des démarches officielles pour un passeport, une carte d'identité, un permis de conduire ou une carte grise. Signe de la brutalité de l'incident, l'auteur présumé n'est pas un groupe criminel organisé mais un adolescent de 15 ans, connu sous le pseudonyme « breach3d ».
Une faille élémentaire au cœur du piratage de France Titres
Ce qui frappe d'emblée dans cette affaire, c'est la simplicité du mécanisme exploité. La faille IDOR (Insecure Direct Object Reference) ne requiert aucun logiciel malveillant, aucun rançongiciel, aucune technique d'intrusion sophistiquée. Son principe : l'application web vérifie que l'utilisateur est bien authentifié, mais oublie de contrôler qu'il a le droit d'accéder à l'objet qu'il demande. Il suffit alors de modifier un numéro de compte dans l'URL pour consulter les données d'un autre usager. Répété en boucle automatisée, ce geste trivial permet d'aspirer des millions d'enregistrements en quelques heures.
L'OWASP, organisation de référence sur la sécurité applicative, classe ce type de défaillance en première position de son Top 10 des risques web depuis 2021. Autrement dit, la vulnérabilité la mieux documentée du secteur a suffi à faire tomber la plateforme d'identité numérique de l'État français. Le suspect, interpellé le 29 avril 2026 et mis en examen, encourt théoriquement jusqu'à sept ans d'emprisonnement et 300 000 euros d'amende, la circonstance aggravante tenant au fait que le système visé est opéré par l'État, même si la justice des mineurs modulera ces peines.
Le CERT-FR rappelle régulièrement que ces erreurs de contrôle d'accès prospèrent dans le parc applicatif public faute d'audits systématiques. La parade existe pourtant : remplacer les identifiants séquentiels prévisibles par des identifiants opaques, vérifier les autorisations au niveau de chaque objet côté serveur, et limiter le débit des requêtes pour bloquer toute automatisation.
Quelles données exposées et quels risques concrets pour les usagers
Le ministère de l'Intérieur a précisé la nature des informations concernées. Voici ce que la fuite de données ANTS a réellement compromis :
| Données exposées | Données NON compromises |
|---|---|
| Nom, prénoms, date de naissance | Mots de passe |
| Adresse électronique, identifiant de connexion | Données biométriques |
| Identifiant unique du compte | Scans de pièces d'identité |
| Pour certains dossiers : adresse postale, lieu de naissance, téléphone | Coordonnées bancaires |
Techniquement, l'absence des mots de passe empêche toute connexion directe au portail. Mais cette lecture rassurante masque un danger bien réel : l'explosion du hameçonnage ciblé. Avec un nom, une date de naissance, un e-mail et parfois une adresse postale, un fraudeur peut construire des messages d'une crédibilité redoutable, usurpant l'identité de l'ANTS, de FranceConnect ou de l'administration fiscale. Ce spear phishing vise précisément à récupérer ce qui manque encore aux attaquants, à savoir les mots de passe et les coordonnées bancaires.
Par comparaison, la fuite de France Travail de mars 2024, qui avait potentiellement touché jusqu'à 43 millions de personnes en incluant les numéros de sécurité sociale, reste la référence absolue des compromissions massives françaises. Le piratage de l'ANTS n'atteint pas cette échelle, mais il frappe un public particulièrement sensible : des citoyens ayant accompli une démarche régalienne d'identité auprès de l'État.
La réponse de l'État et les bonnes pratiques pour se protéger
Le 30 avril 2026, le Premier ministre Sébastien Lecornu se rend dans les locaux de l'ANTS pour annoncer un plan cyber de 200 millions d'euros, mobilisables dès la semaine suivante. Trois axes structurent ce budget d'urgence : la sécurisation des applications publiques par des audits de code et la refonte des systèmes d'authentification, le renforcement de la détection d'intrusion via des EDR et des SOC mutualisés, et l'anticipation de la cryptographie post-quantique. Sur le plan institutionnel, la fusion de la DINUM et de la DITP doit donner naissance à une autorité numérique de l'État, chargée de standardiser la sécurité des infrastructures ministérielles.
Cette annonce soulève néanmoins une question légitime : deux cents millions suffisent-ils à rattraper des décennies de sous-investissement ? Beaucoup d'observateurs y lisent davantage une mesure de rattrapage que une transformation structurelle du développement sécurisé dans le secteur public. Le Cyber Resilience Act européen, applicable au 11 septembre 2026, renforcera par ailleurs les obligations de notification des incidents, avec une alerte précoce sous 24 heures.
Si vous avez utilisé le portail de l'ANTS pour une démarche administrative, plusieurs réflexes s'imposent immédiatement :
- Changez votre mot de passe ANTS, et tout mot de passe identique utilisé ailleurs.
- Méfiez-vous de tout message se réclamant de l'administration et sollicitant des données sensibles : aucun service public ne procède ainsi par e-mail ou SMS.
- Activez l'authentification à deux facteurs sur vos comptes bancaires et votre messagerie principale.
- Signalez toute tentative de fraude sur cybermalveillance.gouv.fr et déposez plainte en cas d'usurpation avérée.
Enfin, pour toute démarche liée au renouvellement de vos titres d'identité, consultez uniquement les sites officiels. Avant d'engager une procédure, vérifiez les conditions générales de vente pour le renouvellement de passeports afin de vous assurer de la légitimité du service utilisé. Cette précaution, simple mais efficace, réduit considérablement le risque de tomber sur des plateformes opportunistes qui prolifèrent précisément après ce type d'incident.