Piratage ANTS : faille IDOR expliquée

Publié le 05/05/2026

Un adolescent de 15 ans. C'est le profil du suspect dans l'une des plus notables fuites de données d'un service gouvernemental français. Le piratage de l'ANTS (Agence nationale des titres sécurisés), aussi connue sous le nom de France Titres, aurait exposé les données d'au moins 12 millions de comptes. Ce qui rend l'affaire particulièrement troublante, ce n'est pas l'identité du hacker — c'est la méthode utilisée. Élémentaire, documentée, connue depuis des décennies. Une vulnérabilité qui n'aurait jamais dû subsister dans un système gérant passeports, cartes d'identité, permis de conduire et certificats d'immatriculation.

La faille IDOR : une vulnérabilité aussi ancienne qu'efficace

IDOR signifie Insecure Direct Object Reference, soit, en français, « référence directe non sécurisée à un objet ». Derrière cet intitulé technique se cache l'un des mécanismes d'attaque les plus élémentaires du web — et pourtant l'un des plus redoutables quand les équipes de développement négligent les contrôles d'accès.

Voici comment cela fonctionne concrètement. Après connexion sur la plateforme France Titres, chaque utilisateur reçoit un identifiant numérique rare visible directement dans l'URL du navigateur. Sur un système correctement sécurisé, modifier manuellement ce numéro renvoie vers une page d'erreur ou déclenche une demande de réauthentification. La logique de sécurité est simple — un utilisateur A ne doit jamais accéder aux données de l'utilisateur B.

Sur un système vulnérable à l'IDOR, en revanche, il suffit de remplacer, par exemple, le chiffre 9832 par 9833 dans la barre d'adresse pour basculer vers le compte d'un autre usager — sans mot de passe, sans vérification d'identité, sans le moindre obstacle. C'est précisément cette absence de contrôle côté serveur qui constitue la faille.

Cette vulnérabilité figure depuis des années dans le classement OWASP Top 10, la liste de référence publiée par l'Open Web Application Security Project recensant les risques les plus critiques pour les applications web. Autrement dit, c'est une faille que tout développeur ou auditeur de sécurité devrait rechercher en priorité. Son maintien dans un service aussi sensible que l'ANTS soulève des questions légitimes sur les pratiques d'audit et de test de sécurité appliquées aux plateformes gouvernementales.

L'ironie est difficilement supportable : le S d'ANTS désigne précisément le mot « sécurisés ». Qu'une brèche aussi basique ait pu passer entre les mailles du contrôle qualité d'un système manipulant des données d'identité de millions de Français dépasse l'entendement technique. Aucune sophistication spécifique, aucun outil avancé : un simple changement de chiffre dans une URL aurait suffi à provoquer l'une des plus notables violations de données de l'administration française.

Ce que doivent faire les usagers d'ANTS après cette fuite

Face à ce type d'incident, la réaction des personnes potentiellement concernées conditionne directement le niveau de risque qu'elles continueront d'encourir. Une fuite de données personnelles ne se limite pas à l'instant du piratage — ses effets s'étirent sur plusieurs semaines, voire plusieurs mois.

Le premier réflexe consiste à sécuriser immédiatement ses accès numériques. Changer le mot de passe du compte ANTS est impératif, mais insuffisant si le même sésame protège d'autres services. Les cybercriminels procèdent systématiquement à des attaques par credential stuffing : ils testent les identifiants volés sur d'autres plateformes. Un mot de passe réutilisé devient ainsi une porte ouverte sur plusieurs comptes à la fois.

Voici les actions prioritaires à mener sans délai :

1. Changer immédiatement le mot de passe du compte France Titres ainsi que tout mot de passe identique ou proche utilisé ailleurs.
2. Activer la double authentification (2FA) sur tous les services qui la proposent.
3. Adopter un gestionnaire de mots de passe pour générer et stocker des identifiants uniques et robustes.
4. Activer les Passkeys dès qu'un service les supporte — cette technologie remplace avantageusement les mots de passe traditionnels.
5. Signaler tout virement frauduleux sur la plateforme Perceval, dédiée aux escroqueries bancaires liées à la carte de paiement.

Au-delà des mots de passe, la vigilance face aux tentatives de phishing doit rester en alerte pendant plusieurs semaines. Les données volées — état civil, numéros de documents officiels — permettent de concevoir des messages d'hameçonnage très crédibles. Un email qui semble provenir de la préfecture ou d'un opérateur téléphonique, un SMS imitant un avis de livraison : autant de vecteurs classiques amplifiés par la richesse des informations subtilisées. Ne cliquer sur aucun lien douteux, ne télécharger aucune pièce jointe non sollicitée, prévenir ses proches si les données partagées avec eux pourraient les exposer.

Tirer les leçons d'une faille que personne n'aurait dû ignorer

Cette affaire illustre un problème structurel que les spécialistes soulignent régulièrement : la sécurité des systèmes publics numériques ne peut pas se limiter à une mise en conformité formelle. Des audits de sécurité réguliers, des tests de pénétration conduits par des experts indépendants, et une culture interne de la cybersécurité constituent les piliers d'une protection réelle.

Pour l'ANTS, gérer des dizaines de millions de dossiers liés à des documents d'identité officiels implique une responsabilité particulière. Les données compromises ne sont pas de simples adresses email — elles touchent à l'identité même des citoyens, avec des conséquences potentielles en termes d'usurpation d'identité durables et difficiles à corriger.

Sur le plan individuel, cet incident rappelle qu'attendre qu'un service numérique assure seul notre sécurité relève de l'illusion. Mettre à jour régulièrement ses appareils et logiciels, utiliser des solutions d'authentification robustes et rester informé des incidents affectant les plateformes que l'on utilise : ce sont des habitudes simples, mais qui font une différence réelle face à des menaces qui, elles, ne s'essoufflent pas.