Adolescent vole 11,7 millions de comptes ANTS : 200M€ mobilisés
Publié le 11/08/2026
Le 15 avril 2026, les équipes techniques de France Titres détectent une intrusion sur le portail moncompte.ants.gouv.fr. L'auteur présumé de cette compromission n'est pas un groupe criminel structuré ni une puissance étrangère : c'est un adolescent français de 15 ans, qui a réussi à exfiltrer les données personnelles de 11,7 millions d'usagers grâce à une faille d'une banalité confondante.
Une faille IDOR au coeur d'une infrastructure d'État critique
La technique exploitée porte un nom précis : IDOR, pour Insecure Direct Object Reference. Concrètement, l'application web autorisait l'accès aux données d'un usager en modifiant un simple identifiant dans une requête HTTP. Aucun mécanisme de contrôle ne vérifiait que la personne connectée était bien habilitée à consulter les informations demandées. Une ligne de code incorrecte, une vérification absente, et 11,7 millions de profils devenaient accessibles.
L'OWASP, organisation de référence mondiale en sécurité applicative, classe ce type de vulnérabilité dans la catégorie Broken Access Control, en tête de son Top 10 depuis 2021. Ce n'est donc pas une faille obscure ou récente : c'est le risque le mieux documenté, le plus enseigné dans toutes les formations de développement sécurisé, et pourtant aucun audit n'avait détecté son existence sur la plateforme avant la mise en production.
France Titres gère des titres d'identité essentiels pour l'ensemble des citoyens français : cartes d'identité, passeports, permis de conduire, certificats d'immatriculation. La sensibilité des données hébergées rendait cet oubli particulièrement préjudiciable. Les informations compromises incluent des noms, identifiants, numéros de téléphone et adresses. L'agence n'a pas confirmé si des numéros de documents officiels figuraient dans la fuite.
Ce n'est pas un cas isolé. La même classe de vulnérabilité a frappé ÉduConnect (3,5 millions d'élèves concernés), puis Tchap, la messagerie sécurisée de l'administration française, et plus récemment la plateforme Jeveuxaider.gouv.fr. À chaque fois, la conception même de l'application était en cause, pas un logiciel tiers ou une compromission de la chaîne d'approvisionnement.
Cinq jours pour informer, deux semaines pour réagir politiquement
La chronologie de l'incident révèle autant que la faille elle-même. Voici les grandes étapes de cette séquence d'avril 2026 :
| Date | Événement |
|---|---|
| 15 avril 2026 | Détection de l'intrusion sur moncompte.ants.gouv.fr |
| 15-20 avril 2026 | Notification de la CNIL, de l'ANSSI et de la procureure de Paris |
| 20 avril 2026 | Communication publique du ministère de l'Intérieur |
| 30 avril 2026 | Annonce du plan cyber de 200 millions d'euros par Sébastien Lecornu |
Le délai de cinq jours entre la détection et l'annonce publique satisfait formellement aux 72 heures imposées par le RGPD pour la notification aux autorités. Mais lorsque le ministère de l'Intérieur a publié son communiqué le 20 avril, les données circulaient déjà sur des forums underground. L'adolescent, opérant sous le pseudonyme breach3d, avait mis en vente une base qu'il revendique à 18 à 19 millions d'enregistrements, contre 11,7 millions confirmés officiellement. L'écart tient probablement aux doublons et aux comptes inactifs.
Le ministre de l'Intérieur Laurent Nuñez a saisi l'Inspection générale de l'administration pour reconstituer la chaîne de responsabilité interne. L'ANSSI et la procureure de la République de Paris ont ouvert une enquête. Aucune arrestation n'avait été annoncée à la date de publication de cet article, malgré l'identification de l'auteur présumé comme citoyen français mineur.
Le 30 avril, le Premier ministre Sébastien Lecornu s'est rendu dans les locaux de France Titres pour annoncer un plan de renforcement sans précédent : 200 millions d'euros dédiés à la cybersécurité des infrastructures publiques. Ce budget cible les audits applicatifs systématiques, le recrutement de profils spécialisés et la remise à niveau des plateformes les plus exposées. Moins de deux semaines après la révélation publique, la réponse politique était sur la table.
La France, deuxième pays le plus piraté au monde : ce que dit le contexte
L'affaire ANTS n'est pas un accident isolé. Selon les données publiées par Surfshark, 23,5 millions de comptes français ont été compromis au premier trimestre 2026, soit une hausse de 108,6 % par rapport au trimestre précédent. Ce chiffre positionne la France au deuxième rang mondial des pays les plus touchés, derrière les États-Unis (60,3 millions de comptes exposés sur la même période).
La liste des incidents récents est éloquente :
- France Titres : 11,7 millions de comptes exposés (avril 2026)
- ÉduConnect : 3,5 millions d'élèves concernés
- Tchap, Jeveuxaider.gouv.fr, l'Agence du service civique
- L'Insee : compromission révélée en mai 2026, touchant 12 800 agents
Les dix violations les plus notables recensées en France depuis 2023 totalisent au moins 145 millions d'enregistrements exposés, selon le Center for Strategic and International Studies. Cette accumulation ne reflète pas seulement une recrudescence des attaques : elle révèle une surface d'exposition structurellement élargie par la numérisation rapide des services publics, sans que la sécurité applicative ait suivi le même rythme.
Un facteur aggravant mérite attention : la directive européenne NIS 2, dont la transposition en droit français était attendue avant octobre 2024, n'est toujours pas intégrée. La loi Résilience, censée y remédier, reste bloquée depuis vingt mois. Ce vide juridique concerne directement 15 000 entités critiques françaises, au moment même où les sanctions européennes pour non-conformité se précisent. Le plan de 200 millions d'euros constitue une réponse immédiate, mais il ne suffira pas à combler ce retard réglementaire si la transposition de NIS 2 reste en suspens. C'est là le vrai chantier prioritaire pour éviter qu'un prochain adolescent, armé d'une simple URL modifiée, ne referme définitivement le dossier.