ANTS piratée : décryptage des failles IDOR et absence de MFA exposant 11,7 millions de comptes

Le 15 avril 2026^[1], une intrusion informatique frappe France Titres^[2], anciennement ANTS^[3], gestionnaire des demandes de cartes d’identité, passeports et permis de conduire^[4]. Des hackers, sous les pseudonymes breach3d^[5] et ExtaseHunters^[6], revendiquent l’exfiltration de jusqu’à 19 millions de lignes de données^[7], mises en vente le 16 avril^[8] sur un forum cybercriminel. Le ministère de l’Intérieur confirme 11,7 millions de comptes compromis^[9]. Pour donner une échelle, cela représente environ un cinquième de la population adulte française, selon plusieurs sources.

LES ENJEUX

Risques d'usurpation d'identité

Avec noms, dates de naissance et adresses exposés, les risques d'arnaques par SMS ou mail augmentent

Lacunes en cybersécurité publique

Absence de MFA sur un portail critique touchant plus d'un tiers de la population adulte française

Coût économique de la remédiation

Notification de 11,7 M d'usagers, audits, refonte API: facture potentielle en dizaines de millions d'euros

Confiance érodée dans l'administration

Récurrence des fuites publiques, de France Travail (30 M) à l'OPM américain (21,5 M)

Lanceurs d'alerte ignorés

Chercheurs et hackers éthiques avaient signalé des failles sans déclencher de correctifs à la hauteur

La faille exploitée est de type IDOR^[10], ou Insecure Direct Object Reference, permettant d’aspirer les fiches usagers en modifiant simplement un identifiant dans les requêtes API^[11]. Sur le portail moncompte.ants.gouv.fr^[12], cette vulnérabilité basique, qualifiée de « vraiment stupide » par l’attaquant^[13], a permis un accès non autorisé sans contrôle d’autorisation. Concrètement, cela signifie qu’un pirate pouvait parcourir les bases comme on feuillette un annuaire, sans barrière technique.

IDOR et MFA: deux failles qui ne jouent pas sur le même terrain

Promettre un « décryptage » suppose de lever une confusion fréquente: l’absence d’authentification à deux facteurs (MFA) sur le portail^[14] n’aurait pas, en soi, empêché l’exploitation de la faille IDOR. L’IDOR exploite un défaut de contrôle d’autorisation côté serveur - l’API livre une fiche dès qu’on lui présente un identifiant numérique, sans vérifier que le demandeur a le droit de la consulter. Le MFA, lui, protège la phase d’authentification: il empêche un tiers d’usurper une session avec un mot de passe volé. Deux couches distinctes, deux problèmes différents.

Où les deux se rejoignent, en revanche, c’est sur l’automatisation. Pour déclencher la requête fautive, l’attaquant a besoin d’un compte valide. Un MFA généralisé aurait rendu plus coûteuse la création en masse de comptes-robots servant à paralléliser l’aspiration. Il n’aurait pas colmaté la brèche, mais il aurait ralenti l’exfiltration des 11,7 millions de profils^[9] à l’échelle observée. Le véritable fautif reste le défaut de contrôle d’accès côté API - ce que l’OWASP classe depuis 2021 en tête de son Top 10 des risques web sous le libellé « Broken Access Control »^[15].

Les données exposées incluent identifiant de connexion, civilité, nom, prénoms, adresse électronique, date de naissance et identifiant du compte^[16]. Dans certains cas, lieu de naissance, adresse postale et téléphone s’ajoutent également^[17]. Ni pièces jointes ni données biométriques n’ont fuité^[18], mais le matériau est suffisant pour industrialiser l’ingénierie sociale.

Un cadre pénal précis, rarement rappelé

Le signalement transmis à la procureure de la République de Paris^[19][20] au titre de l’article 40 du code de procédure pénale^[21] ouvre la voie à des poursuites sur un fondement connu. L’article 323-1 du Code pénal punit l’accès ou le maintien frauduleux dans un système de traitement automatisé de données, selon plusieurs sources. L’article 323-3 du même code vise notamment l’extraction, la détention, la reproduction ou la transmission frauduleuses de données, selon plusieurs sources - c’est le texte qui s’appliquerait aux auteurs de l’aspiration massive.

Du côté de l’administration, l’article 226-17 du Code pénal sanctionne quiconque traite des données personnelles sans mettre en œuvre les mesures de sécurité prescrites par la loi. Le RGPD impose une notification à la CNIL sous 72 heures^[22] et expose le responsable de traitement à des amendes substantielles selon plusieurs sources - transposé à un opérateur public, la sanction reste théorique mais possible. Les investigations techniques, menées par l’ANTS et l’ANSSI^[23], visent à établir la chaîne de responsabilité.

19 millions de lignes, 11,7 millions de comptes: la contradiction dénouée

Les hackers revendiquent 19 millions de lignes^[7], le ministère confirme 11,7 millions de comptes^[24]. L’écart n’est pas forcément un mensonge: il reflète deux unités de compte différentes. Une « ligne » dans une base de données correspond à un enregistrement - typiquement, une demande de titre (carte d’identité, passeport, permis, carte grise). Un même compte usager peut donc générer plusieurs lignes au fil des démarches. À l’inverse, un « compte » identifie une personne unique sur le portail.

Si l’on rapporte les 19 millions de lignes revendiquées^[7] aux 11,7 millions de comptes confirmés^[24], le ratio est d’environ 1,6 démarche par usager - un ordre de grandeur cohérent avec un portail qui centralise à la fois les cartes d’identité, les passeports et les titres véhicules. Les deux chiffres disent la même chose, à condition de les lire dans leur propre grammaire. Le chiffre structurant reste celui des personnes exposées: 11,7 millions^[9], soit environ un cinquième de la population adulte française, selon plusieurs sources.

Le coût caché d’une remédiation à l’échelle nationale

L’impact économique reste volontairement hors champ des communications officielles, mais plusieurs postes sont déjà engagés. Premier poste: la notification individuelle aux 11,7 millions de comptes^[9]. Même à quelques centimes par envoi électronique et par procédure de preuve de réception, l’opération se chiffre rapidement en millions d’euros, sans compter les centres d’appels qui devront absorber les questions. Deuxième poste: l’audit ANSSI et l’enquête de l’Office anti-cybercriminalité^[25], auxquels s’ajoute la mission d’inspection générale de l’administration diligentée par Laurent Nuñez^[26]. Troisième poste: la refonte de l’API moncompte.ants.gouv.fr^[12] et le déploiement d’un MFA généralisé, qui supposent des mois de développement et des contrats d’intégration.

Le précédent France Travail, dont 36,8 millions de victimes ont été recensées^[27], fournit un ordre de grandeur sur l’ampleur des fuites en secteur public. Aucune des sources consultées ne mentionne le rôle des sous-traitants techniques de l’ANTS ni les audits de sécurité préalables, une absence qui masque potentiellement des défaillances en chaîne.

Les lanceurs d’alerte, contre-pouvoir ignoré

La question n’est pas seulement technique, elle est institutionnelle: qui a alerté avant l’attaque, et pourquoi n’a-t-on pas écouté? L’affaire de septembre 2025, où un fichier de 12,7 millions de données était apparu à la vente^[28][29], aurait dû fonctionner comme une sirène d’alarme; l’ANTS avait alors déclaré qu’aucune intrusion n’était détectée dans ses systèmes^[30], clôturant de fait le débat.

Ce décalage entre la communauté de la sécurité offensive - qui teste, documente et publie - et l’administration - qui préfère temporiser - constitue le véritable angle mort. En France, le cadre juridique du bug bounty public reste sous-dimensionné la surface d’attaque des opérateurs d’importance vitale. Sans circuit officiel clair pour signaler une vulnérabilité sur un portail d’État, les chercheurs oscillent entre silence prudent et divulgation publique, deux postures qui aboutissent au même résultat: la faille persiste jusqu’à son exploitation.

Voix contradictoire: « Mission impossible »

Baptiste Robert^[31], hacker éthique, dénonce « une multiplication d’attaques contre des entités françaises » et un niveau global de cybersécurité « pas bon, ni dans le public ni dans le privé »^[32]. Il cite en exemple des équipes où, selon lui, « dix personnes doivent parfois protéger 30 000 utilisateurs »^[33] - une formulation qu’il pose comme hypothétique mais qui illustre, selon ses termes, une « mission impossible »^[34]. Ce constat oppose l’optimisme officiel à une réalité de vulnérabilités structurelles.

Pourquoi maintenant?

L’attaque suit une précédente en septembre 2025^[28], avec 12,7 millions de données vendues^[29]. Elle coïncide avec une fenêtre de pression accrue sur la souveraineté numérique française, alors que la directive NIS 2^[35] et le RGPD durcissent les obligations de sécurité des opérateurs essentiels. Le timing interroge sur une possible campagne ciblée contre les infrastructures françaises critiques, d’autant que les attaquants ont publiquement raillé la sécurité de l’administration^[36].

Pour aller plus loin, consultez notre article sur un hacker ayant alerté sur deux failles ANTS non corrigées. Voir aussi le piratage ANTS exposant 11,7 millions via IDOR^[9]. Et sur les failles signalées mais ignorées.