Piratage de l’ANTS : un adolescent de 15 ans mis en examen pour la fuite de 11,7 millions de comptes

Le visage derrière le pseudonyme « breach3d » ^[1] est celui d’un adolescent de 15 ans ^[2]. La procureure de Paris, Laure Beccuau ^[3], a annoncé son interpellation jeudi 30 avril ^[4] dans un communiqué. Le mineur a été arrêté le 25 avril ^[5], placé en garde à vue ^[6], puis présenté à des juges d’instruction le 29 avril ^[7]. Sa mise en examen et son placement sous contrôle judiciaire ont été requis par le parquet ^[8].

LES ENJEUX

Un profil de pirate qui rajeunit

L'auteur présumé a 15 ans. Le phénomène est documenté: les attaquants identifiés dans les vols de données ont entre 13 et 23 ans, avec un âge moyen de 17 ans pour les mineurs.

Une faille basique sur un portail régalien

Une vulnérabilité IDOR exploitable en modifiant un identifiant dans une URL a permis d'aspirer 11,7 millions de comptes. Le type de faille est référencé par l'OWASP depuis plus d'une décennie.

Des experts alertaient depuis des années

Le hacker éthique Baptiste Robert dénonce depuis longtemps le sous-dimensionnement des équipes cybersécurité dans le public. La Cour des comptes pointait dès 2023 le retard de certaines administrations.

Les victimes pas prévenues à temps

L'article 34 du RGPD impose une information « dans les meilleurs délais ». Plusieurs jours après l'incident, les personnes contactées par Franceinfo n'avaient reçu aucun courriel.

Sanctions judiciaires divisées par deux

L'article 323-4-1 du Code pénal punit l'atteinte à un STAD de l'État de sept ans de prison et 300 000 € d'amende. L'article L. 121-7 du CJPM divise par deux les peines pour les mineurs de plus de 13 ans.

L’enquête, ouverte le 16 avril ^[9] par la section de lutte contre la cybercriminalité du parquet de Paris ^[10] et confiée à l’Office anti-cybercriminalité ^[11], a remonté le fil jusqu’à un profil que personne n’attendait: un adolescent qui s’apprêtait à publier d’autres données volées sur des marchés noirs au moment de son interpellation ^[12]. Les forces de l’ordre ont saisi son matériel informatique et son compte sur le forum criminel ^[13].

Une faille « vraiment stupide »

Le mode opératoire est aussi banal que dévastateur. Le portail moncompte.ants.gouv.fr ^[15] souffrait d’une vulnérabilité de type IDOR (Insecure Direct Object Reference) ^[16]. En clair: il suffisait de modifier un identifiant numérique dans une requête HTTP pour accéder aux données d’un autre utilisateur, sans aucun contrôle d’autorisation côté serveur ^[17]. « C’était une faille vraiment stupide », aurait commenté l’attaquant lui-même ^[18].

Cette catégorie de bug figure systématiquement dans les référentiels de l’OWASP ^[19], l’organisation de référence sur les vulnérabilités web. Une automatisation de la manipulation a permis d’aspirer les données de millions d’utilisateurs ^[20]. Sur un forum cybercriminel, l’auteur a mis en vente la base dès le 16 avril 2026 ^[21].

11,7 ou 18-19 millions? Trois chiffres pour la même fuite

L’ampleur exacte de l’attaque reste un point de friction. Trois chiffres circulent et ne se recoupent pas: breach3d revendique entre 18 et 19 millions de lignes volées ^[22]; la procureure de Paris évoque entre 12 et 18 millions de lignes effectivement proposées à la vente ^[23]; le ministère de l’Intérieur, lui, ne confirme que 11,7 millions de comptes compromis ^[24]. L’ANTS a confirmé l’authenticité des données revendues ^[25], mais aucun arbitrage public n’a été rendu sur l’écart entre la revendication du pirate et le bilan officiel.

Ces écarts s’expliquent vraisemblablement par des périmètres distincts: une « ligne » dans une base brute peut contenir des doublons, des entrées partielles ou des enregistrements de test, là où un « compte » ministériel correspond à un utilisateur unique vérifié. Aucune des sources consultées ne précise la méthode de déduplication employée - un flou méthodologique qui sert mécaniquement à minimiser le préjudice du côté de l’État.

Le cadre juridique: une justice des mineurs qui change la donne

Les faits visés - « atteintes (accès, maintien, extraction, transmission, détention, entrave au fonctionnement) à un système de traitement automatisé de données à caractère personnel mis en œuvre par l’État » ^[26] - relèvent des articles 323-1 et suivants du Code pénal. Selon plusieurs sources, l’accès et le maintien frauduleux dans un système de traitement automatisé de données sont réprimés à hauteur de trois ans d’emprisonnement et 100 000 euros d’amende, peines portées à cinq ans et 150 000 euros en cas de circonstances aggravantes telles que la suppression ou la modification de données. Lorsque le système visé est mis en œuvre par l’État, la peine est portée à sept ans et 300 000 euros ^{[27] [28]}.

Mais le suspect a 15 ans ^[2]. Selon plusieurs sources, le droit pénal des mineurs prévoit la diminution de moitié des peines encourues pour les mineurs de plus de 13 ans ^[29]. Les peines maximales théoriques sont donc divisées par deux - sans préjuger des mesures éducatives qui restent la règle, l’incarcération l’exception.

L’affaire est désormais entre les mains d’un juge d’instruction ^[30], et les investigations se poursuivent: la saisine de juges, plutôt qu’un défèrement direct, suggère une enquête loin d’être close ^[31]. Aucune source consultée ne précise si « ExtaseHunters », nom de groupe associé au pseudonyme breach3d sur le forum criminel ^[32], désigne un collectif organisé ou un simple alias utilisé par le mineur seul - une question que l’instruction devra trancher.

Ce que l’État a ciblé - et ce qu’il a manqué

Les données compromises sont des éléments d’état civil: identifiant de connexion, civilité, noms, prénoms, adresses électroniques, dates de naissance et identifiants uniques de compte ^[33]. Le ministère exclut toute fuite de pièces jointes ou de données biométriques ^[34]. Les mots de passe n’ont pas été compromis non plus ^[35].

Reste un angle mort qui dérange. Au moment où le ministère assurait que les comptes concernés faisaient « l’objet d’une information personnalisée » ^[36], il reconnaissait simultanément que cette information « est toujours en cours de réalisation » ^[37]. Franceinfo a contacté plusieurs personnes figurant dans les échantillons publiés par les attaquants: aucune n’avait reçu le moindre courriel d’avertissement ^[14]. L’article 33 du RGPD impose une notification à l’autorité de contrôle dans les 72 heures, et l’article 34 une information « dans les meilleurs délais » des personnes concernées en cas de risque élevé ^[38] - un délai déjà largement dépassé pour la majorité des 11,7 millions ^[39] de victimes.

Des experts qui alertent depuis des années

Ce que le récit officiel oublie volontiers: la faille n’avait rien d’imprévisible. Le hacker éthique Baptiste Robert ^[40] alerte depuis des années sur les vulnérabilités des systèmes étatiques. Selon lui, « le niveau global de cybersécurité n’est pas bon, ni dans le public ni dans le privé » ^[41]. Il pointe une cause structurelle: « Aujourd’hui, dix personnes ^[42] doivent parfois protéger 30 000 utilisateurs ^[43]. » Et d’ajouter: « Ce n’est pas une question d’incompétence, mais de complexité. Les équipes font ce qu’elles peuvent avec peu de moyens » ^[44].

Selon plusieurs sources, des rapports publics ont pointé ces dernières années le retard pris par certaines administrations en matière de sécurisation des données personnelles. Et ce n’est pas la première fois qu’un portail public français cède: on se souvient de la fuite massive chez le prestataire de France Travail en 2024, selon plusieurs sources. Aucune de ces affaires n’a déclenché de refonte des pratiques de sécurité dans les portails régaliens. Le piratage « breach3d » n’est pas un coup de tonnerre: c’est l’aboutissement d’années d’avertissements ignorés.

Pourquoi maintenant? Un calendrier qui n’est pas anodin

L’annonce de l’interpellation tombe le jour même où Sébastien Lecornu ^[45], premier ministre, doit se rendre dans les locaux de l’ANTS ^[46] pour dévoiler des annonces sur la lutte contre les cyberattaques ^[47]. Une coïncidence utile: elle permet de présenter une victoire judiciaire au moment où la responsabilité politique est interrogée. Laurent Nuñez ^[48], ministre de l’Intérieur, a saisi le 21 avril ^[49] l’Inspection générale de l’administration pour établir la chaîne de responsabilité ^[50] - aveu implicite d’un dysfonctionnement interne.

Matignon parle d’une « menace plus profonde et moins visible, qui cible les fondements de l’État et vise à fragiliser son action » ^[51]. La communication politique gouvernementale insiste sur la dimension géopolitique. Mais l’auteur présumé n’est ni un service étranger ni un groupe organisé: c’est un collégien de 15 ans ^[2] qui a exploité une faille basique.

Une jeunesse de plus en plus présente dans la cybercriminalité

Le profil n’est pas isolé. Selon Le Figaro, les attaquants identifiés dans les vols de données sont « plutôt des hommes, souvent jeunes, de 13 à 23 ans » ^[52], avec un âge moyen de 17 ans pour les mineurs ^[53]. L’auteur de l’attaque de décembre contre le ministère de l’Intérieur, interpellé en Haute-Vienne, avait 22 ans ^[54]; deux complices, 16 et 20 ans ^[55]. Un hacker présumé de 21 ans a été arrêté en Vendée ^[56], soupçonné dans une série de piratages de fédérations sportives. Le pirate de la Fédération française de tir, en octobre 2025 ^[57], avait 18 ans ^[58] et avait aspiré près de 300 000 fiches ^[59], revendues 10 000 euros sur le dark web ^[60] - utilisées ensuite pour une trentaine de cambriolages ^[61].

Le précédent international existe: en 2022 ^[62], un adolescent britannique de 17 ans ^[63] avait été arrêté pour son rôle présumé dans le groupe Lapsus$, responsable de piratages contre Uber, Microsoft et Samsung ^[64]. Certains logiciels malveillants se vendent quelques dizaines d’euros en cryptomonnaies sur le dark web ^[65] - démocratisation d’outils autrefois réservés à des collectifs aguerris.

Voix dissonante: la France n’est pas plus mal protégée que d’autres

Il faut aussi entendre ce qui contredit le récit du « retard français ». Interrogé sur cette idée, Baptiste Robert ^[40] répond sèchement: « Non, ça, c’est faux. C’est une idée reçue. Des pays comme les États-Unis, la Russie ou l’Ukraine subissent des attaques bien plus massives » ^[66]. Le problème n’est donc pas spécifiquement français - c’est l’asymétrie entre des attaquants qui n’ont besoin que d’une faille et des défenseurs qui doivent toutes les fermer.

La CNIL, qui a enregistré plus de 2 500 notifications de violations de données au premier semestre 2025 ^[67] - un doublement en cinq ans ^[68] - pourrait imposer une amende à l’ANTS si elle estime que les mesures de protection étaient insuffisantes ^[69]. L’article 83 du RGPD prévoit jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires mondial annuel pour défaut de notification ^[70], et jusqu’à 20 millions ou 4 % pour les manquements graves aux droits fondamentaux ^[71].

Ce que les sources ne disent pas

Plusieurs questions cruciales restent sans réponse à ce stade. Le mineur a-t-il agi seul, ou au sein du groupe « ExtaseHunters » dont les revendications accompagnent celles de breach3d ^[32]? Les acheteurs des données sur le dark web ont-ils été identifiés? Combien de campagnes de phishing personnalisées exploitent déjà ces 11,7 millions de profils ^[72]? Et surtout: combien d’autres administrations françaises tournent aujourd’hui avec une faille IDOR du même type, identifiée dans le top 10 des vulnérabilités web depuis plus d’une décennie?

Le danger se mesurera dans les mois à venir, par recoupement avec d’autres fuites - France Travail en 2024 ^[73], et la fuite ayant touché le fichier FICOBA, où 1,2 million d’IBAN auraient été volés ^[74]. Croisées, ces bases permettent de construire une usurpation d’identité particulièrement convaincante ^[75]. Le vrai coût de « breach3d » ne se chiffre pas en lignes volées. Il se chiffrera, demain, en victimes de fraudes que personne n’a encore comptées.