Lecornu à l’ANTS : 12 millions de fuites, et après ?

Sébastien Lecornu ^[1] se rend ce jeudi 30 avril 2026 ^[2] dans les locaux de l’Agence nationale des titres sécurisés ^[3]. Au programme: « de nouvelles annonces » ^[4] face aux cyberattaques. Matignon ^[5] parle d’« un contexte de cybermenace intense » ^[6] et d’« une menace plus profonde et moins visible qui cible les fondements de l’État » ^[7].

LES ENJEUX

Une faille technique élémentaire sur un portail régalien

Le portail moncompte.ants.gouv.fr a été piraté via une vulnérabilité IDOR, qualifiée de « stupide » par le hacker lui-même. Sur un site qui gère cartes d'identité et permis.

12 millions de comptes exposés, 18-19 millions d'enregistrements en vente

12 millions de comptes actifs et vérifiés selon le ministère de l'Intérieur - chiffre de référence. Jusqu'à 19 millions d'enregistrements bruts mis en vente sur forum cybercriminel, possiblement avec doublons et comptes inactifs.

Une feuille de route obsolète en six jours

Le Premier ministre publie un plan d'urgence cybersécurité le 9 avril. L'ANTS est piratée le 15. Une nouvelle salve d'annonces est promise le 30. Le pilotage interroge.

Une chaîne ininterrompue d'attaques sur l'État

ASP, UNSS, Cours d'Adultes de Paris, ANTS: les administrations tombent les unes après les autres. L'ANSSI confirme: éducation et ministères concentrent 58 % des cyberattaques signalées.

Aucun recours effectif pour les usagers

Le RGPD ouvre des voies (réclamation CNIL, droit à réparation, droit à l'effacement) mais aucune ne permet de rappeler des données déjà diffusées. L'État n'a annoncé ni indemnisation ni surveillance proactive contre l'usurpation.

Le décor est connu. La date n’est pas choisie au hasard: l’ANTS ^[8] a été frappée le 15 avril 2026 ^[9] par une fuite massive. Près de 12 millions ^[10] de comptes particuliers et professionnels exposés selon le ministère de l’Intérieur - chiffre que nous retenons comme référence dans cet article, car il émane de la source officielle ayant audité le périmètre des comptes du portail. Une seconde estimation circule néanmoins: un vendeur opérant sur un forum cybercriminel met en vente une base présentée comme issue de l’ANTS et comportant 18 à 19 millions ^[11] d’enregistrements, sous le pseudonyme « breach3d » ^[12]. L’écart s’explique vraisemblablement par la structure brute du fichier mis en vente, susceptible d’inclure des doublons, des comptes inactifs ou des enregistrements partiels - étant entendu qu’aucun élément public ne permet à ce stade de vérifier la véracité de l’offre du vendeur.

Problème: le Premier ministre ^[13] avait déjà « établi une feuille de route le 9 avril » ^[14], imposant à tous les ministères « des mesures d’urgence en matière de sécurité numérique » ^[15]. Six jours avant le piratage de l’ANTS. Six jours avant que les noms, prénoms, dates de naissance, adresses mail et identifiants de connexion ^[16] de millions de Français ne se retrouvent dans la nature.

Une faille « vraiment stupide »

Le vecteur d’attaque revendiqué est une vulnérabilité IDOR (Insecure Direct Object Reference) sur l’API du portail moncompte.ants.gouv.fr ^[17]. Traduction technique: un défaut d’autorisation basique, du genre qu’on apprend à éviter en première année d’école d’ingénieur. Le hacker lui-même l’a résumé auprès de FrenchBreaches: « c’était une faille vraiment stupide » ^[18].

Voilà donc l’État français, qui gère cartes d’identité, permis de conduire ^[19], passeports biométriques et cartes grises ^[20], pris en défaut sur une vulnérabilité d’école. La base contiendrait pour chaque personne nom, prénom, e-mail, date et lieu de naissance, adresse postale, téléphone, et la confirmation que l’identité a été vérifiée par l’État ^[21]. Un kit complet pour usurpation.

Ce que dit la procédure - et ce qu’elle promet

Conformément à l’article 33 du RGPD, l’incident a été notifié à la Commission nationale de l’informatique et des libertés ^[22]. Un signalement a été transmis à la Procureure de la République de Paris ^[23] en application de l’article 40 du code de procédure pénale ^[24]. L’ANSSI ^[25] a été alertée.

Sur le terrain pénal, les qualifications potentielles sont connues. L’article 323-1 du Code pénal réprime l’accès et le maintien frauduleux dans un système de traitement automatisé de données. L’article 323-3 du même code punit l’extraction et la mise à disposition frauduleuses de données. Côté responsable de traitement, l’article 226-17 du Code pénal sanctionne le traitement de données personnelles sans mise en œuvre des mesures de sécurité prescrites par la loi Informatique et Libertés et le RGPD. C’est précisément cette dernière qualification que la nature « stupide » de la faille rend, en théorie, mobilisable contre l’opérateur du portail.

Ce que les usagers peuvent vraiment faire: presque rien

Côté usagers, l’ANTS recommande de « redoubler de vigilance » ^[26] et de « ne jamais communiquer vos informations personnelles » ^[27]. Mais elle précise aussi: « Aucune intervention n’est attendue de la part des usagers » ^[28]. Comprendre: on ne peut rien faire pour récupérer ce qui a fuité.

Sur le papier, le RGPD ouvre pourtant des voies. L’article 77 permet à toute personne concernée d’introduire une réclamation auprès de la CNIL. L’article 82 prévoit un droit à réparation devant le juge civil contre le responsable de traitement défaillant. Le droit à l’effacement (article 17) existe - sauf qu’il s’exerce contre l’ANTS, qui détient le fichier source, et non contre les acquéreurs anonymes de la base mise en vente sur un forum cybercriminel. Une fois exfiltrées, les données sont par nature irrécupérables: aucun mécanisme technique ou juridique ne permet de les rappeler des serveurs où elles transitent. Le gouvernement n’a, à ce jour, annoncé aucun dispositif d’indemnisation collective ni de surveillance proactive contre l’usurpation d’identité au bénéfice des personnes concernées. La « vigilance » individuelle reste, de fait, le seul rempart proposé.

Le Premier ministre, l’ANSSI et quatre ministres

Sur place ce jeudi, Lecornu échangera avec les équipes de l’ANTS et celles de l’ANSSI ^[29], puis réunira Laurent Nunez (Intérieur) ^[30], Édouard Geffray (Éducation) ^[31], David Amiel (Comptes publics) ^[32] et Anne Le Hénanff (numérique) ^[33]. Objectif officiel: « tirer toutes les leçons et réaffirmer son engagement pour la sécurité numérique » ^[34].

Lire aussi: le décompte vertigineux de FrenchBreaches sur les fuites françaises.

L’angle mort: ce n’est pas que l’ANTS, et ce n’est pas une première

Ce que le communiqué de Matignon ne dit pas: l’ANTS n’est qu’une ligne dans une liste. Le 1er avril 2026 ^[35], l’Agence de services et de paiement ^[36], qui gère les aides de la Politique agricole commune et les rémunérations de stagiaires ^[37], a été piratée. Données exfiltrées: numéros de sécurité sociale et RIB ^[38]. Le 2 mars ^[39], les Cours d’Adultes de Paris ^[40]. Plus tôt, l’Union Nationale du Sport Scolaire ^[41]: 1 557 000 enregistrements ^[42] d’élèves en circulation, incluant des photos et des données personnelles, revendiqués par le groupe DumpSec ^[43].

Les vulnérabilités élémentaires sur des portails publics ne sont pas une nouveauté de 2026, et la promesse récurrente de « tirer les leçons » s’est rarement traduite par une refonte des audits préalables à la mise en production.

L’ANSSI [44] a recensé 3 586 événements de sécurité ^[45] en 2025 - en baisse de 18 % ^[46] sur un an, mais avec deux secteurs en première ligne: l’Éducation et la recherche (34 %) ^[47], les ministères et collectivités (24 %) ^[48]. Pile les cibles tombées ces dernières semaines.

Une feuille de route, un piratage, une autre annonce

Le calendrier mérite d’être posé sec. 9 avril: feuille de route d’urgence ^[14]. 15 avril: piratage ANTS ^[49]. 20 avril: annonce publique ^[50]. 28 avril: Matignon annonce une visite ^[51]. 30 avril: nouvelles annonces ^[2]. Trois semaines, deux plans, un piratage entre les deux. La feuille de route du 9 avril n’a manifestement pas suffi. Celle du 30 avril promet de tirer les leçons.

Aucune voix critique n’émerge dans les communiqués officiels. Un unanimisme qui interroge sur la portée réelle des annonces: si la feuille de route imposait déjà aux ministères des « mesures à mener dans les prochaines semaines » ^[52], pourquoi en faut-il une nouvelle vingt jours plus tard, après une attaque exploitant une faille « stupide » sur un portail public? La question reste sans réponse publique.

Ce que les sources ne disent pas

Aucun élément public ne précise le contenu opérationnel de la feuille de route du 9 avril. Aucune source consultée ne détaille les délais d’audit du portail moncompte.ants.gouv.fr antérieurs au piratage. Aucune ne dit si la vulnérabilité IDOR avait été signalée. Aucune source consultée ne précise non plus si le pseudonyme « breach3d » a fait l’objet d’une tentative d’attribution par les services français, ni si une coopération internationale (Europol, partenaires bilatéraux) a été sollicitée pour identifier ou localiser le vendeur. Et aucune ne chiffre le coût pour l’État - ni celui des notifications individuelles aux usagers concernés.

Pendant ce temps, selon le hacker éthique Clément Domingo ^[53], « neuf Français sur dix avec une identité numérique ont des données personnelles volées qui circulent en ligne » ^[54]. C’est un constat. Pas un slogan de campagne.