ANTS piratée : 11,7 millions de comptes exposés via une faille de sécurité élémentaire

##KEYFACT:11,7 millions|de comptes de l’ANTS concernés par la fuite de données

C’est une brèche béante au cœur du système administratif français. L’Agence nationale des titres sécurisés (ANTS) ^[1], l’organisme d’État qui gère les demandes pour les passeports électroniques et biométriques, la carte nationale d’identité, les titres de séjour ou encore le permis de conduire ^[2], a annoncé avoir été victime d’une fuite de données massive ^[3]. L’incident, détecté le 15 avril ^[4], n’a été rendu public par le ministère de l’Intérieur ^[5] que le lundi 20 avril ^[6], soit cinq jours plus tard. Au total, 11,7 millions de comptes ^[7] de particuliers et de professionnels sont concernés.

LES ENJEUX

Faille de sécurité élémentaire

L'attaque a exploité une vulnérabilité 'IDOR' [16], qualifiée de 'basique' [19], consistant à modifier un simple numéro dans l'URL pour accéder à d'autres comptes [17].

Cadre pénal et sanctions RGPD

L'art. 323-1 du Code pénal punit de 5 ans d'emprisonnement l'accès frauduleux à un système d'État. L'art. 83 du RGPD prévoit des amendes jusqu'à 20 millions d'euros.

Risques pour les citoyens

Les données volées (nom, email, date de naissance) [8] ouvrent la voie à des campagnes de phishing et d'usurpation d'identité ciblées [20].

Crise de confiance

Deuxième cyberattaque de l'ANTS en sept mois [32], après des précédents massifs chez France Travail (2024) et la CPAM (2022): la sécurité des données publiques vacille.

Les données dérobées sont principalement des informations d’état civil: identifiant de connexion, civilité, nom, prénoms, adresse électronique, date de naissance, identifiant unique du compte ^[8]. Le ministère a précisé que d’autres données comme l’adresse postale, le lieu de naissance ou le téléphone ^[9] n’étaient pas systématiquement présentes. Il a également assuré que les pièces jointes et les données biométriques n’ont pas été touchées ^[10] et que ces informations volées « ne permettent pas d’accès illégitime au compte nominatif sur le portail » ^[11]. Un pirate a néanmoins revendiqué l’attaque sur un forum cybercriminel ^[12], avançant le chiffre de 19 millions de personnes ^[13] touchées, un nombre qui n’a pas été confirmé par le ministère de l’intérieur ^[14].

Anatomie d’une faille « basique »: le numéro qu’il suffisait de changer dans l’URL

Le caractère « élémentaire » de la faille exploitée n’est pas une figure de style. Selon l’expert en cybersécurité Baptiste Robert ^[15], l’attaque a exploité une vulnérabilité connue sous le nom de faille « IDOR » ^[16]. Son fonctionnement est d’une simplicité déconcertante: « chaque profil sur le site est identifié par un numéro dans l’URL. Le pirate a simplement modifié ce numéro pour accéder à d’autres comptes » ^[17]. Concrètement, là où un utilisateur légitime consulte son propre dossier via une adresse contenant, par exemple, son identifiant « 12345 », il suffit au pirate de remplacer ce chiffre par « 12346 », « 12347 », etc. pour consulter les dossiers voisins - sans aucun contrôle d’accès côté serveur pour vérifier que l’utilisateur a bien le droit de voir la fiche demandée.

En automatisant cette manipulation à l’aide d’un simple script, il a pu aspirer les données de millions d’utilisateurs ^[18]. Ce type de défaillance est connu et documenté depuis des années par les référentiels de sécurité applicative. Détectable par un audit automatisé basique et corrigible en quelques lignes de code, la vulnérabilité est qualifiée sans ambiguïté de « basique, mais redoutable quand elle n’est pas corrigée » ^[19]. C’est précisément ce qui rend l’affaire embarrassante pour l’État: la brèche ne relève pas d’une cyberattaque sophistiquée menée par un service de renseignement étranger, mais d’une erreur de développement de première année.

Le véritable danger pour les victimes, selon les spécialistes, est la réutilisation de ces données pour des campagnes de hameçonnage (phishing) ciblées et beaucoup plus crédibles ^[20]. Comme l’explique Kevin Tellier ^[21], chercheur chez Synacktiv, ces informations peuvent être utilisées pour « du phishing, pour toutes les arnaques » ^[22] reçues par SMS ou par email.

Ce que dit la loi: le cadre pénal et le RGPD

La fuite de l’ANTS s’inscrit dans un cadre juridique dense, que ni le communiqué ministériel ni le pirate ne peuvent ignorer. L’article 323-1 du Code pénal punit l’accès ou le maintien frauduleux dans un système de traitement automatisé de données. Lorsque le système concerné est un traitement de données à caractère personnel mis en œuvre par l’État - ce qui est manifestement le cas du portail de l’ANTS - les peines sont aggravées en vertu de l’article 323-4-1. L’extraction frauduleuse de données (article 323-3) est également réprimée par le Code pénal.

Côté responsable de traitement, le Règlement général sur la protection des données (RGPD) impose, par son article 33, une notification à la CNIL dans un délai de 72 heures après la prise de connaissance de la violation. En cas de manquement aux obligations de sécurité fixées par l’article 32 du RGPD, l’article 83 prévoit des sanctions administratives significatives, adaptées pour les organismes publics par la loi Informatique et Libertés française, qui permet à la CNIL de prononcer des amendes contre les administrations négligentes.

La réponse de l’État: enquêtes administrative et judiciaire

Face à l’ampleur de la crise, le gouvernement a réagi sur plusieurs fronts. Un signalement a été transmis dès le 16 avril ^[23] à la procureure de la République de Paris ^[24] en application de l’article 40 du code de procédure pénale ^[25]. L’enquête judiciaire a été confiée à l’Office anti-cybercriminalité (OFAC) ^[26].

En parallèle, le ministre de l’Intérieur Laurent Nuñez ^[28] a saisi l’Inspection générale de l’administration ^[29] afin d’« établir la chaîne de responsabilité » ^[30] dans cette affaire. L’incident a été notifié à la CNIL, conformément à l’article 33 du RGPD ^[31]. En revanche, aucune des sources consultées ne précise si la notification a bien été effectuée dans le délai légal de 72 heures après la détection du 15 avril, ni si l’Agence nationale de la sécurité des systèmes d’information (ANSSI), traditionnellement compétente pour assister les opérateurs publics victimes d’incidents majeurs, a été formellement saisie. Le communiqué du ministère de l’Intérieur reste silencieux sur ces deux points, pourtant structurants dans la gestion d’une crise cyber de cette ampleur.

L’angle mort: des alertes ignorées?

Ce qui dérange dans ce récit, c’est le caractère évitable de la catastrophe. La simplicité de la faille IDOR suggère que des audits de sécurité basiques auraient dû la détecter. Aucune des sources consultées ne confirme explicitement qu’un hacker éthique spécifique avait alerté l’ANTS sur ces vulnérabilités précises avant l’attaque. Mais la nature même de la faille, connue et documentée de longue date, interroge sur la politique de maintenance et de cybersécurité de l’agence, qui avait déjà subi une cyberattaque en septembre 2025 ^[32] touchant près de 13 millions de données ^[33].

Le piratage d’avril 2026 s’inscrit dans une série noire pour les services de l’État, après des attaques contre l’Éducation nationale ^[34] ou le réseau de santé Cerballiance ^[35]. Un jeune hacker a d’ailleurs récemment été interpellé en Vendée pour une centaine de cyberattaques.

Un problème systémique de moyens

Pour Baptiste Robert ^[15], si « on observe depuis la fin de l’année dernière une multiplication d’attaques contre des entités françaises » ^[36], il ne faut pas y voir un retard spécifique de la France. « C’est une idée reçue. Des pays comme les États-Unis, la Russie ou l’Ukraine subissent des attaques bien plus massives » ^[37], nuance-t-il. Le problème serait plus profond: « Le niveau global de cybersécurité n’est pas bon, ni dans le public ni dans le privé » ^[38], en grande partie à cause d’un manque de moyens. « Quand une petite équipe doit sécuriser des dizaines de milliers de comptes, c’est mission impossible » ^[39], analyse l’expert, qui ajoute: « Ce n’est pas une question d’incompétence, mais de complexité. Les équipes font ce qu’elles peuvent avec peu de moyens » ^[40]. Cette affaire met en lumière la tension permanente entre la numérisation des services publics et les ressources allouées pour les protéger, un enjeu majeur pour la confiance des citoyens. La lutte contre la fraude documentaire, mission première de l’ANTS, commence par la sécurisation de ses propres systèmes.