ANTS : deux failles signalées par un hacker éthique, jamais corrigées

L’histoire pourrait tenir en une ligne: l’Agence nationale des titres sécurisés ^[1] a été piratée le 15 avril 2026 ^[2], exposant 11,7 millions de comptes ^[3]. Elle en prend une de plus dès qu’on regarde ce que Baptiste Robert ^[4], hacker éthique français, répète sur LinkedIn depuis des années. L’absence d’authentification multifacteur obligatoire au ministère de l’Intérieur ^[5] avait été identifiée dès 2017 ^[6]. Neuf ans plus tard, les pirates n’ont eu qu’à se pencher pour ramasser.

LES ENJEUX

Une faille signalée en 2017, jamais corrigée

L'absence d'authentification multifacteur obligatoire au ministère de l'Intérieur avait été identifiée dès 2017 par Baptiste Robert. Neuf ans sans action.

Une vulnérabilité IDOR de niveau débutant

Le pirate a modifié un numéro dans l'URL pour accéder aux comptes voisins. Une faille basique, redoutable quand elle n'est pas corrigée.

Jusqu'à 175 millions d'euros de valeur marchande

Chaque enregistrement se revend entre 2 et 15 euros sur le marché noir. Sur 11,7 millions de comptes, la fourchette haute atteint 175 M€.

Une chaîne de responsabilité à établir

ANTS, DNUM du ministère, ANSSI, ministres successifs depuis 2017: l'IGA doit désigner qui a vu passer les alertes et choisi de ne pas agir.

Un risque massif de phishing hyper-personnalisé

Nom, prénom, date de naissance, e-mail, parfois adresse et téléphone: la matière première idéale pour des escroqueries crédibles imitant l'ANTS.

La brèche exploitée porte un nom que tout étudiant en cybersécurité connaît: une faille IDOR. « Chaque profil sur le site est identifié par un numéro dans l’URL. Le pirate a simplement modifié ce numéro pour accéder à d’autres comptes », décrypte Baptiste Robert ^[7] dans La Dépêche. Son verdict tombe sans détour: « C’est une faille basique, mais redoutable quand elle n’est pas corrigée » ^[8]. Traduction: il ne s’agit pas d’une attaque sophistiquée orchestrée par un État hostile. Il s’agit d’un bug que n’importe quel audit sérieux repère en quelques heures.

Un communiqué qui arrive six jours après

Chronologie édifiante. L’incident est détecté le 15 avril ^[9]. Le parquet de Paris reçoit un signalement daté du 16 avril ^[10]. Le communiqué officiel du ministère de l’Intérieur ^[11] ne tombe que le 21 avril 2026 ^[12], en fin de journée. Entre les deux, les données s’échangent déjà sur le darkweb où prospèrent les revendeurs spécialisés ^[13]. Le pirate, lui, n’a pas attendu: il a revendiqué l’attaque sur un forum de cybercriminels et contacté des influenceurs spécialisés en cybersécurité pour faire monter sa cote ^[14][15].

Les données volées? Identifiant de connexion, civilité, nom, prénoms, adresse électronique, date de naissance, identifiant unique du compte et parfois adresse postale, lieu de naissance et téléphone ^[16]. Le ministère insiste: ces éléments « ne permettent pas d’accès illégitime au compte nominatif sur le portail » ^[17], et les investigations « excluent la divulgation de données complémentaires […] telles que les pièces jointes et les données de biométrie » ^[18]. Rassurant sur le papier. Beaucoup moins quand on rappelle que chaque enregistrement se revend entre 2 et 15 euros sur le marché noir ^[19], soit plusieurs dizaines de millions d’euros selon l’estimation officielle ^[20].

Ce que personne ne dit: la faille de 2017 n’a jamais été refermée

C’est le point aveugle de toute la communication officielle. Baptiste Robert ^[21] l’écrit noir sur blanc: « L’absence de MFA obligatoire avait été identifié en 2017 » ^[6][22]. Neuf années se sont écoulées sans que l’authentification multifacteur soit rendue obligatoire pour un service qui gère les cartes d’identité, les passeports, les permis de conduire et les certificats d’immatriculation ^[23]. Les 300 000 fonctionnaires du ministère de l’Intérieur ^[24] évoluent dans un environnement que l’expert qualifie sans ambages: « Le niveau global de cybersécurité n’est pas bon, ni dans le public ni dans le privé » ^[25]. Le piratage n’est donc pas une surprise. C’est la réalisation mécanique d’un risque documenté depuis près d’une décennie.

Autre détail qui dérange: Baptiste Robert signalait publiquement être tombé « par hasard » sur une faille affectant un service utilisé par « plusieurs dizaines de millions de personnes » ^[26][27], hésitant à prévenir l’éditeur « à l’occasion de Noël » ^[28]. La communauté des chercheurs en sécurité multiplie ce type d’alertes. Les administrations françaises les empilent sans les traiter.

Ces données ne permettent pas d'accès illégitime au compte nominatif sur le portail.

Ministère de l'Intérieur

21 avril 2026

C'est une faille basique, mais redoutable quand elle n'est pas corrigée.

Baptiste Robert, hacker éthique

Avril 2026

Le phishing ciblé: la vraie bombe à retardement

Le ministère se veut rassurant en affirmant que les données volées ne permettent pas de pirater un compte ANTS ^[17]. C’est techniquement exact. Et stratégiquement trompeur. Parce que le danger réel ne se joue pas sur le portail de l’agence: il se jouera dans les boîtes mail et les SMS des millions de personnes exposées.

La combinaison volée est redoutable: nom, prénom, date de naissance, adresse électronique et, pour une partie des profils, adresse postale et numéro de téléphone ^[16]. C’est précisément la matière première d’un phishing dit « hyper-personnalisé ». Scénario type: quelques semaines après la fuite, la victime reçoit un mail mentionnant son nom complet, sa date de naissance et son adresse, signé « ANTS - Service sécurité des comptes », l’invitant à « confirmer son identité » après « la récente incident de sécurité » via un lien frauduleux. Les données personnelles intégrées au message lèvent les soupçons qui alertent habituellement face au phishing de masse. Ajoutons qu’une usurpation d’identité exploitant un état civil complet peut ensuite permettre l’ouverture de comptes bancaires en ligne ou de crédits à la consommation.

Cadre pénal: des infractions clairement identifiées

Le droit, lui, n’est pas dans le flou. L’article 323-1 du Code pénal réprime l’accès ou le maintien frauduleux dans un système de traitement automatisé de données, et prévoit des peines alourdies en cas de suppression ou modification de données. L’article 323-3 sanctionne l’extraction et la reproduction frauduleuse de données - ce qui est précisément ce que le pirate a fait. La revente sur le darkweb, elle, peut relever de l’article 321-1 relatif au recel, dont l’application aux bases de données volées est discutée en jurisprudence.

Côté responsabilité de l’ANTS, l’angle mort pénal est ailleurs: l’article 226-17 du Code pénal punit le fait de traiter des données personnelles sans mettre en œuvre les mesures de sécurité adaptées prescrites par la loi Informatique et Libertés. Une faille IDOR de niveau débutant couplée à l’absence de MFA, signalée depuis 2017 ^[6], pourrait nourrir un débat sur ce terrain. Le RGPD, de son côté, expose l’État à un signalement auprès de la CNIL ^[29], déjà saisie.

Une enquête, une inspection, et après?

Le dispositif institutionnel tourne à plein régime. Signalement à la CNIL ^[29]. Notification à la procureure de la République de Paris ^[30] au titre de l’article 40 du code de procédure pénale ^[31]. Enquête confiée à l’Office anti-cybercriminalité ^[32]. Et saisine de l’Inspection générale de l’administration ^[33] par Laurent Nuñez ^[34], le ministre de l’Intérieur, « pour établir la chaîne de responsabilité dans cet incident sérieux » ^[35]. Formulation intéressante: « chaîne de responsabilité ». Elle laisse entendre que quelqu’un, quelque part, a laissé passer l’alerte.

Cette chaîne compte plusieurs maillons identifiables. Au premier rang, la direction de l’ANTS - devenue France Titres en 2024 ^[36][37] - à qui revient l’arbitrage entre priorités fonctionnelles et sécurité du portail. Ensuite, la direction du numérique du ministère de l’Intérieur, qui valide l’architecture technique et les budgets de sécurité des opérateurs placés sous sa tutelle. Plus haut, l’ANSSI, autorité nationale de sécurité des systèmes d’information, émet depuis des années des recommandations claires imposant le MFA sur tout service public manipulant des données d’identité. Aucune des sources consultées ne mentionne si l’ANSSI avait été alertée de la faille MFA, ni si elle avait audité le portail de l’ANTS depuis. C’est un silence en soi. Enfin, les ministres de l’Intérieur successifs ont chacun arbitré les budgets de cybersécurité de leurs services. L’IGA devra dire qui, dans cette succession, a vu passer les alertes et décidé de ne pas agir.

La vraie question n’est pas technique. Elle est budgétaire et politique: pourquoi une agence fondée en 2007 ^[38] continue-t-elle de fonctionner avec des standards de sécurité dépassés?

Une série noire française

Le piratage de l’ANTS ne tombe pas dans le vide. Il s’inscrit dans une séquence où les fuites s’accumulent: SFR pendant les fêtes, l’enseignement catholique et ses nombreuses personnes exposées, et plus récemment un hacker interpellé en Vendée pour une centaine de cyberattaques. Les centrales nucléaires d’EDF elles-mêmes ont vu 93,7 Go de données exfiltrés via un sous-traitant.

Au-delà des frontières, plusieurs administrations européennes ont connu ces dernières années des fuites massives liées à des vulnérabilités techniques basiques laissées sans correctif, selon plusieurs sources. Le dénominateur commun? Des failles connues, des correctifs tardifs, des responsabilités diluées.

Ce que les usagers peuvent (vraiment) faire

Le ministère de l’Intérieur rappelle qu’« aucune intervention n’est attendue de la part des usagers » ^[39], hormis le changement du mot de passe à la prochaine connexion ^[40]. C’est insuffisant, et la section précédente explique pourquoi. Toute mise en vente ou diffusion de ces données constitue une activité illégale, précise le communiqué ^[41] - mais l’illégalité n’a jamais empêché un marché noir de tourner.

Ce que les sources ne disent pas

Trois zones d’ombre demeurent. La première concerne l’écart de périmètre: le pirate revendiquait initialement environ 19 millions d’enregistrements ^[42][43], le ministère a stabilisé le chiffre à 11,7 millions de comptes ^[44][3]. Plusieurs hypothèses techniques peuvent expliquer l’écart - doublons dans l’export du pirate, comptes inactifs ou supprimés exclus du décompte officiel, révision du périmètre après analyse des journaux - mais aucune source consultée ne fournit d’explication officielle. Le ministère se contente d’indiquer que les investigations sont « toujours en cours » ^[45]. Dans une affaire où la transparence est déjà écornée par neuf ans d’alerte ignorée, ce flou chiffré n’aide pas.

La deuxième question reste entière: qui, au sein de l’ANTS ou du ministère, avait connaissance des alertes de 2017 et n’y a pas donné suite? La troisième est plus inquiétante encore: combien d’autres failles de même nature dorment aujourd’hui dans les systèmes d’information de l’État, signalées et ignorées? L’IGA a désormais la charge d’y répondre. On attend, sans grand espoir.