ANTS : un hacker avait alerté sur deux failles, jamais corrigées

La phrase tombe à la radio, sèche, accablante. « Personnellement, je leur ai remonté déjà deux failles de sécurité critiques qui n’ont jamais été corrigées, il y en a une qui est toujours disponible ce matin, j’ai vérifié à 7h avant de venir » ^[1]. Le matin du mercredi 22 avril 2026 ^[2], Léo Gonzalez ^[3], co-fondateur de l’entreprise montpelliéraine Devensys Cybersecurity ^[4], parle sur France Bleu Hérault. Trois jours plus tôt, le ministère de l’Intérieur a reconnu que 11,7 millions de comptes ^[5] de l’Agence nationale des titres sécurisés (ANTS) ^[6] avaient fuité.

LES ENJEUX

Alertes ignorées

Léo Gonzalez affirme avoir remonté deux failles critiques à l'ANTS, dont l'une toujours active sept jours après le piratage.

Faille basique

Une vulnérabilité IDOR: une erreur de débutant documentée depuis vingt ans, corrigeable en quelques lignes de code.

11,7 millions exposés

Le ministère reconnaît l'exposition de 11,7 millions de comptes, tandis que les pirates revendiquent jusqu'à 19 millions de lignes.

Responsabilité de l'État

Art. 32 RGPD, art. 323-1 et 323-3 du Code pénal: trois régimes juridiques articulent la responsabilité de l'ANTS et des pirates.

Un précédent récent

Déjà en septembre 2025, 12,7 millions de données attribuées à l'ANTS avaient été mises en vente sur le darkweb.

L’enchaînement interroge. Une agence prévenue, des failles documentées, un silence. Puis une attaque massive. Et enfin l’aveu: cinq jours ^[7] se sont écoulés entre la détection interne de l’incident, le 15 avril ^[8], et l’annonce publique du 20 avril ^[9].

Une faille « basique mais redoutable »

Le mécanisme est d’une simplicité troublante. Selon le hacker éthique Baptiste Robert ^[10], il s’agit d’une vulnérabilité de type IDOR (Insecure Direct Object Reference) ^[11]. « Chaque profil sur le site est identifié par un numéro dans l’URL. Le pirate a simplement modifié ce numéro pour accéder à d’autres comptes » ^[12]. Robert tranche: « C’est une faille basique, mais redoutable quand elle n’est pas corrigée » ^[13].

Le mot est lâché. Basique. Dans le jargon de la cybersécurité, une IDOR figure parmi les erreurs les plus connues, documentées depuis plus de vingt ans dans tous les référentiels. Le correctif tient en quelques lignes de code: vérifier, côté serveur, que l’utilisateur authentifié a bien le droit d’accéder à l’objet qu’il demande. Or, sur le portail de l’Agence nationale des titres sécurisés, ce garde-fou manquait.

Deux alertes, zéro correction

Léo Gonzalez décrit un scénario accablant: « Ils savaient depuis des années qu’ils avaient un niveau de sécurité qui n’était pas haut niveau » ^[14]. L’expert montpelliérain affirme avoir signalé deux failles critiques ^[15] à l’agence, dont l’une « toujours disponible » le matin du 22 avril ^[1] - soit sept jours après la détection officielle de l’incident ^[8].

Contactée par la rédaction, France Titres - le nouveau nom de l’ANTS depuis 2024 ^[16] - n’a pas donné suite à nos sollicitations, se bornant à renvoyer vers son communiqué public. L’agence n’a ni confirmé, ni infirmé la réalité des deux signalements évoqués par Léo Gonzalez ^[3]. Elle n’a pas davantage précisé quelle était la faille encore exploitable le 22 avril, ni quand elle serait corrigée.

Je leur ai remonté déjà deux failles de sécurité critiques qui n'ont jamais été corrigées

Léo Gonzalez, Devensys Cybersecurity

22 avril 2026

Ces données personnelles ne permettent pas d'accès illégitime au compte du portail

Ministère de l'Intérieur

21 avril 2026

11,7 ou 19 millions? La bataille des chiffres

Premier point d’arbitrage: combien de Français sont réellement concernés? Le ministère de l’Intérieur retient officiellement le chiffre de 11,7 millions de comptes ^[5]. Mais plusieurs sources techniques et cybercriminelles évoquent une fourchette bien plus large: jusqu’à 19 millions de lignes ^[17] seraient en vente sur le darkweb, soit plus d’un tiers de la population adulte française ^[18]. Le pirate lui-même revendique 18 à 19 millions de personnes ^[19].

La divergence s’explique vraisemblablement par le périmètre retenu. Le chiffre ministériel mesure des comptes distincts actifs sur le portail. Les pirates comptabilisent, eux, l’intégralité des lignes de la base extraite, incluant probablement des doublons, des comptes inactifs et des enregistrements techniques. Aucune des deux parties n’a publié de méthodologie permettant de trancher. Le ministère n’a pas commenté le chiffre de 19 millions ^[20].

L’État se défend, les juristes accusent

Le ministère de l’Intérieur assure que « ces données personnelles ne permettent pas d’accès illégitime au compte du portail » ^[21]. Laurent Nuñez ^[22], le ministre, s’est dit « très attentif à la situation » et a saisi l’Inspection générale de l’administration ^[23] pour établir la chaîne de responsabilité. L’enquête judiciaire est confiée à l’Office anti-cybercriminalité ^[24].

Cette ligne de défense ne convainc pas tout le monde. L’avocat parisien Yann-Maël Larher ^[25], spécialiste du droit du numérique, a livré sur RMC le 21 avril ^[26] une charge frontale: « Ce ne sont plus des défaillances, c’est quelque chose de systématique » ^[27]. Et d’ajouter: « Tous les 2 mois, une grande agence de l’État perd nos données » ^[28]. Son diagnostic juridique est cinglant: « L’État s’est piégé un peu lui-même, s’est mis aussi au numérique mais n’a pas tiré les conséquences du RGPD: il est responsable de la protection des données » ^[29].

La contradiction que le ministère ne lève pas

Le discours officiel tient pourtant sur une ligne de crête fragile. D’un côté, le ministère affirme que les données exfiltrées « ne permettent pas d’accès illégitime au compte du portail » ^[21], laissant entendre que le risque pour les usagers est limité. De l’autre, il reconnaît que « la sécurité du site a été renforcée » ^[30] en urgence dans les jours suivant la découverte. Ces deux affirmations ne peuvent coexister sans explication: si aucune faille exploitable n’existait, qu’y avait-il à renforcer? Et si renforcement il y a eu, c’est bien qu’un garde-fou manquait. Interrogée sur ce point, France Titres ^[31] n’a apporté aucune précision.

Un précédent très récent

En septembre 2025 ^[32], des pirates avaient déjà mis en vente sur le darkweb un fichier de données attribué à l’ANTS. Les estimations divergent quant à son ampleur: le chiffre de 12,7 millions de données ^[33] a été avancé, tandis que d’autres sources évoquent près de 13 millions ^[34] de données compromises lors de cet épisode. Huit mois plus tard, rebelote. Le chercheur en cybersécurité pointe une agence qui accumule les signaux d’alarme.

Les chiffres s’additionnent. France Travail ^[35], condamnée pour avoir perdu plus de 30 millions de données ^[36] d’inscrits. Viamedis et Almerys, 33 millions d’assurés sociaux ^[37] exposés en janvier 2024 ^[38]. Pajemploi, 1,2 million ^[39] de dossiers. La CAF, 8,6 millions ^[40] de comptes en décembre 2025 ^[41]. Sur la même période, des incidents chez d’autres cibles publiques s’accumulent.

Ce que personne ne dit

L’angle mort du récit officiel, c’est le délai. L’ANTS détecte l’incident le 15 avril ^[8]. Le parquet de Paris reçoit un signalement daté du 16 avril ^[42]. Le public apprend l’affaire le 20 avril ^[9]. Pendant ce temps, un collectif revendiquait déjà la vente des données sur un forum cybercriminel dès le 16 avril ^[43], avec cette provocation: « Le gouvernement français ferait mieux de s’en tenir aux arts culinaires, ses défenses numériques sont aussi feuilletées que ses croissants » ^[44]. Autrement dit: les pirates ont communiqué plus vite que l’État.

Plus troublant encore: si l’on en croit Léo Gonzalez ^[3], une des failles signalées était toujours exploitable le 22 avril ^[1]. Sept jours après la détection interne. Deux jours après l’annonce publique.

Le cadre pénal, une arme qui dort

Le signalement transmis à la procureure de la République de Paris l’a été en application de l’article 40 du code de procédure pénale ^[45]. Sur le fond, les attaquants tombent sous le coup de deux incriminations bien identifiées. L’article 323-1 du Code pénal punit l’accès ou le maintien frauduleux dans un système de traitement automatisé de données de trois ans d’emprisonnement et 100 000 euros d’amende. L’article 323-3, lui, sanctionne l’extraction, la détention ou la transmission frauduleuse de données d’un tel système: cinq ans d’emprisonnement et 150 000 euros d’amende. Dans le cas présent, la mise en vente publique du fichier sur un forum cybercriminel caractérise pleinement ces délits.

Encore faut-il identifier les auteurs. Derrière les pseudonymes « breach3d » et « ExtaseHunters » ^[46] revendiquant l’attaque, c’est le travail de l’Office anti-cybercriminalité ^[24] qui déterminera si la justice française pourra agir, souvent au prix d’une coopération internationale longue et incertaine.

La responsabilité de l’État: trois régimes, peu de recours

La question posée par l’avocat Larher - celle du « responsable de la protection des données » ^[29] - appelle un démontage juridique en trois temps.

Premier régime: le RGPD. L’article 32 du règlement européen impose au responsable de traitement - ici France Titres - de mettre en œuvre des mesures techniques « appropriées » au risque, compte tenu de l’état de l’art. une faille IDOR connue depuis vingt ans, signalée par un tiers et non corrigée, s’éloigne visiblement de ce standard. L’article 83 du même règlement prévoit des amendes administratives pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires mondial; pour une administration, la CNIL peut prononcer des amendes administratives distinctes, même si leur montant reste modeste. La CNIL a déjà sanctionné plusieurs acteurs publics français ces dernières années, selon plusieurs sources.

Deuxième régime: la responsabilité administrative. Si l’Inspection générale de l’administration ^[23] conclut à un manquement caractérisé dans la gestion des alertes, les usagers victimes pourraient saisir le juge administratif pour faute de service public. On se souvient de la condamnation de France Travail ^[35], sanctionnée après la perte de plus de 30 millions de données ^[36]. Les indemnisations individuelles y restent toutefois symboliques, faute de préjudice matériel facilement chiffrable.

Troisième régime: l’action collective. Le RGPD permet à des associations agréées d’agir au nom des personnes concernées. Reste une difficulté pratique que soulève Larher: « L’État est censé signaler aux gens quand ils sont concernés par une fuite de données, via SMS, appel ou mail mais peu de gens reçoivent une notification » ^[47]. Sans notification individuelle, pas d’usagers mobilisés.

La question de fond demeure: si les alertes du hacker éthique sont confirmées, l’État était-il informé d’un risque qu’il n’a pas neutralisé? La réponse conditionne directement le régime de responsabilité applicable.

Pour les 11,7 millions de Français concernés

Les données exposées comprennent identifiant de connexion, civilité, nom, prénoms, adresse électronique, date de naissance et identifiant unique du compte ^[48]. Dans certains cas, adresse postale, lieu de naissance et téléphone ^[49] ont également fuité, selon le périmètre décrit par le ministère. Pas de données bancaires, pas de biométrie ^[50]. Mais assez pour alimenter des campagnes ciblées de phishing et d’usurpation d’identité. L’avocat Larher prévient: « On risque de recevoir encore plus de messages non sollicités par SMS, mail, téléphone » ^[51].