ANTS piratée : un expert avait alerté sur deux failles jamais corrigées

Le scénario est accablant. Le 15 avril 2026 ^[1], le portail ants.gouv.fr ^[2] - qui centralise les demandes de passeports, cartes d’identité, permis de conduire et titres de séjour ^[3] - est percé. Cinq jours s’écoulent avant que le ministère de l’Intérieur ^[4] ne confirme l’incident, le 20 avril ^[5]. Pendant ce délai, les données de millions d’usagers sont déjà proposées à la vente sur un forum cybercriminel ^[6].

LES ENJEUX

11,7 millions de comptes exposés

Noms, prénoms, emails, dates de naissance et identifiants de connexion pour 11,7 millions de comptes. Des données suffisantes pour monter des campagnes d'usurpation d'identité.

Faille DMARC depuis 2019

La configuration DMARC du domaine ants.gouv.fr était en mode observation sans politique de rejet depuis au moins juillet 2019 - 2 557 jours avant la brèche.

Deuxième attaque en six mois

L'ANTS avait déjà été citée dans une fuite en septembre 2025, démentie par l'ANSSI. Sept mois plus tard, un incident réel est confirmé sans que les autorités n'expliquent la chronologie.

Absence de politique de divulgation

Aucune VDP (Vulnerability Disclosure Policy) formalisée côté ANTS: les chercheurs éthiques n'ont aucune garantie de réponse ni de délai de correction.

Le bilan officiel: 11,7 millions de comptes ^[7] exposés selon le ministère, après une estimation initiale allant jusqu’à 19 millions ^[8] avancée par le collectif breach3d ^[9] et ExtaseHunters ^[10] sur les forums criminels. Le collectif se targue d’annoncer « une compromission majeure de l’ANTS » ^[11] et raille: « malgré leurs mandats sur la ‘sécurité’, leur infrastructure est insuffisante » ^[12].

Deux failles signalées, jamais corrigées

C’est là que l’affaire bascule. Léo Gonzalez ^[13], co-fondateur de Devensys Cybersecurity ^[14], une entreprise montpelliéraine, s’est exprimé sur France Bleu Hérault ^[15]. Sa déclaration est sans ambiguïté:

« Personnellement, je leur ai remonté déjà deux failles de sécurité critiques qui n’ont jamais été corrigées, il y en a une qui est toujours disponible ce matin, j’ai vérifié à 7h avant de venir. » ^[16]

Un collègue de Gonzalez va plus loin: « la faille qui a été utilisée par ce pirate, je suis quasi certain de l’avoir déjà vue, spécifiquement celle-ci » ^[17]. Gonzalez synthétise l’échec: « ils savaient depuis des années qu’ils avaient un niveau de sécurité qui n’était pas haut niveau » ^[18].

L’agence, rebaptisée France Titres ^[19], avait pourtant publié un communiqué le 22 septembre 2025 ^[20] affirmant être soumise à « des mesures de sécurité renforcées et d’une vigilance permanente des services de l’État contre toute intrusion, physique ou informatique » ^[21]. Sept mois plus tard, la brèche était confirmée.

La faille IDOR: un classique du développement junior

Le vecteur d’attaque est techniquement élémentaire. Selon Baptiste Robert ^[22], hacker éthique et expert en cybercriminalité interrogé par La Dépêche: « C’est une faille dite ‘IDOR’. En clair, chaque profil sur le site est identifié par un numéro dans l’URL. Le pirate a simplement modifié ce numéro pour accéder à d’autres comptes. » ^[23]

En modifiant un simple identifiant dans les requêtes adressées à une API ^[24], il devenait possible d’aspirer les fiches usagers une par une, sans contrôle d’autorisation ^[25]. Les échantillons partagés sur les forums contenaient des identifiants internes séquentiels, indice d’une extraction structurée ^[26].

Le diagnostic des experts est brutal: « Il n’y avait pas de technique sophistiquée, d’exploit élaboré, mais une faille d’énumération basique que n’importe quel développeur junior est censé avoir appris à bloquer dès ses premières lignes de code. » ^[27]

Sur le plan pénal, les faits reprochés aux attaquants relèvent d’un cadre précis. Selon plusieurs sources, l’article 323-1 du Code pénal réprime l’accès ou le maintien frauduleux dans un système de traitement automatisé de données, et l’article 323-3 vise l’extraction frauduleuse de données - qualification la plus directement applicable à l’exfiltration de 11,7 millions de fiches. La mise en vente sur un forum cybercriminel ouvre la voie à des poursuites pour recel.

Une récente affaire de cyberattaques en Vendée a rappelé que ce type de vulnérabilité est aussi exploité par des acteurs très peu sophistiqués.

Ce que les données exposées permettent

Les données exfiltrées comprennent: identifiant de connexion, civilité, nom, prénoms, adresse électronique, date de naissance et identifiant unique du compte ^[28]. Dans certains cas s’ajoutent adresse postale, lieu de naissance et numéro de téléphone ^[29]. Les comptes professionnels exposent également statut professionnel, numéro SIREN et habilitations ^[30].

Ce périmètre couvre « l’essentiel de ce qu’un fraudeur cherche pour monter une usurpation d’identité » ^[31]. Le ministère souligne que ces données « ne permettent pas d’accès illégitime au compte nominatif sur le portail » ^[32] - mais le risque d’ingénierie sociale reste réel ^[33]. Un usager peut recevoir un faux courriel se présentant comme l’ANTS, lui demandant de cliquer sur un lien sous prétexte de sécuriser son compte ^[34]. Les passeports, cartes d’identité et données biométriques n’ont pas fuité ^[35]. Les pièces jointes transmises lors des démarches sont également exclues du périmètre ^[36].

Sept mois d’aveuglement documenté

L’attaque d’avril n’est pas isolée. En septembre 2025 ^[37], des pirates avaient déjà mis en vente sur le darkweb un fichier présenté comme issu de l’ANTS. Les sources divergent sur le volume: 12,7 millions ^[38] de données selon BFMTV, entre 10 et 12 millions ^[39] selon Siècle Digital, près de 13 millions ^[40] selon le HuffPost. L’écart reflète l’incertitude sur le périmètre exact - les différentes sources s’appuient sur des annonces de vendeurs dont les chiffres n’ont pas été officiellement vérifiés. L’ANSSI ^[41] avait alors formellement démenti en invoquant des incohérences dans les données.

Un démenti qui interroge

Sept mois ^[42] séparent ce démenti de la confirmation officielle d’avril 2026 ^[5]. Cette chronologie pose une question centrale: le démenti de l’ANSSI reposait-il sur des métadonnées jugées incohérentes (formats de champs, identifiants non conformes au schéma interne de l’ANTS), ou sur la conviction que les données provenaient d’un agrégat issu de fuites tierces? Aucune des sources consultées ne précise la base technique précise du démenti. Mais la coïncidence entre le périmètre annoncé en septembre 2025 ^[37] (10 à 13 millions ^[39][40]) et le bilan officiel d’avril 2026 (11,7 millions ^[7]) interroge: soit les deux incidents sont indépendants - hypothèse que ni le ministère ni l’ANSSI n’ont explicitement étayée -, soit le démenti de septembre a pu conduire l’agence à ne pas approfondir l’investigation interne. Dans les deux cas, le silence public sur cette question pèse lourd: on se souvient que, dans d’autres affaires récentes, un démenti officiel trop rapide a parfois servi de couverture à une non-enquête.

Une configuration DMARC laissée en veille depuis 2019

Pendant tout ce temps, la configuration DMARC du domaine ants.gouv.fr affichait p=none - mode observation sans politique de rejet ni quarantaine ^[43]. Cette configuration est documentée depuis au moins juillet 2019 ^[44], soit près de sept ans avant la brèche.

C’est Loïc Guezo ^[45], directeur de la stratégie cybersécurité chez Proofpoint et vice-président du CLUSIF, qui a signalé cette anomalie DMARC ^[45]. Une faille de configuration qui facilite l’usurpation du domaine ants.gouv.fr pour envoyer de faux emails - exploitable précisément avec les données exfiltrées. Certaines sources évoquent à ce titre « 12 millions de données volées » ^[46]: ce chiffre correspond à un arrondi de l’estimation officielle de 11,7 millions retenue par le ministère ^[7].

Pour mémoire, l’ANTS ^[47] a été créée en 2007 ^[48]. Quiconque a renouvelé un document officiel en France depuis une dizaine d’années ^[49] dispose d’un compte sur le portail.

VDP: le vide juridique français

Ce que personne ne dit. L’affaire Gonzalez révèle une mécanique institutionnelle préoccupante: les deux failles critiques signalées par Devensys Cybersecurity ^[14] n’ont jamais été traitées ^[50]. Derrière ce cas se cache un angle mort réglementaire.

Une VDP - Vulnerability Disclosure Policy, politique de divulgation de vulnérabilités - est, selon plusieurs sources, un canal formalisé par lequel une organisation invite les chercheurs en sécurité à signaler les failles découvertes, avec un accusé de réception, un délai de traitement et des garanties juridiques contre d’éventuelles poursuites pour accès non autorisé. La directive européenne NIS2, transposée en droit français, impose aux entités des obligations de gestion des incidents et de coopération avec les autorités, mais sa traduction opérationnelle en matière de canal de divulgation responsable reste floue pour les opérateurs régaliens français.

Aucune des sources consultées ne mentionne l’existence d’un dispositif de divulgation coordonnée côté ANTS au moment de l’attaque. Un chercheur qui alerte l’agence n’a donc aucune garantie de réponse, aucun accusé de réception opposable. L’ANTS disposait pourtant d’un signalement explicite - et son infrastructure restait vulnérable le matin même où ce signalement était rendu public ^[16].

La réponse institutionnelle

Suite à l’incident, le ministère de l’Intérieur a notifié la CNIL au titre de l’article 33 du RGPD ^[51], transmis un signalement à la procureure de la République de Paris en application de l’article 40 du code de procédure pénale ^[52], et alerté l’ANSSI ^[53]. L’Office anti-cybercriminalité (OFAC) ^[54] est chargé de l’enquête.

Le ministre Laurent Nuñez ^[55], déclarant être « très attentif à la situation » ^[56], a saisi l’Inspection générale de l’administration ^[57] pour établir la chaîne de responsabilité ^[58]. Le signalement au parquet date du 16 avril ^[59] - soit le lendemain de la détection.

Il s’agit de la deuxième attaque de cette institution en moins de six mois ^[60]. Baptiste Robert résume: « Il y a une multiplication d’attaques contre des entités françaises. Le niveau global de cybersécurité n’est pas bon, ni dans le public ni dans le privé. » ^[61] D’autres opérateurs régaliens ont également subi récemment des exfiltrations massives, dont EDF via un sous-traitant.

Thierry Berthier ^[62], cofondateur de Hub France IA et expert en cybersécurité, rappelle le contexte: 60 000 vulnérabilités logicielles ^[63] sont identifiées chaque année, dont 30 % ^[64] exploitées dans les 24 heures. Face à cette cadence, Baptiste Robert pointe la disproportion des ressources: « Aujourd’hui, dix personnes doivent parfois protéger 30 000 utilisateurs. » ^[65]

Le portail ants.gouv.fr ne propose toujours pas d’authentification à deux facteurs sur les comptes usagers ^[66]. Une lacune que partagent plusieurs services numériques publics et privés exposés ces derniers mois.

Les usagers concernés reçoivent une notification individuelle par courriel ^[67] avec la consigne: « Vous n’avez (.) aucune démarche à accomplir » ^[68]. Ils sont invités à redoubler de vigilance face à toute sollicitation inhabituelle ^[69].

Le Parti communiste français ^[70] appelle le gouvernement à « sortir des logiques de court terme » ^[70] et exige une maîtrise publique renforcée, dans un communiqué daté du 22 avril 2026 ^[71]. Aucune voix dissonante n’a émergé côté gouvernemental pour défendre la gestion de la crise - un unanimisme dans la critique qui interroge sur l’absence d’audit de sécurité préventif après l’alerte de septembre 2025 ^[37].