ANTS piratée : 19 millions de Français touchés par une faille

Publié le 10/05/2026

Avril 2026 : l'Agence Nationale des Titres Sécurisés (ANTS) reconnaît officiellement une fuite de données massive. 19 millions de citoyens français se retrouvent exposés à cause d'une vulnérabilité qualifiée de "basique" par les experts en cybersécurité. Derrière ce chiffre vertigineux se cachent des questions qui dérangent — qui est responsable, qui paie, et surtout — que risquent concrètement les personnes concernées ?

Une faille de sécurité élémentaire au cœur d'un portail d'État

Le portail de l'ANTS traite chaque année des dizaines de millions de demandes liées aux documents officiels : permis de conduire, cartes grises, titres d'identité. C'est précisément cette centralisation des données sensibles qui en fait une cible prioritaire. Selon les premières analyses techniques publiées après l'incident, la brèche exploitée n'était pas sophistiquée — elle relevait d'une configuration incorrecte des accès, un type de vulnérabilité que tout auditeur de sécurité compétent aurait dû détecter.

La responsabilité du prestataire externe chargé du développement du portail est clairement engagée. Mais réduire l'affaire à une simple faute technique serait réducteur. La pression calendaire exercée par les donneurs d'ordre — fonctionnels pressés de livrer un outil opérationnel — conduit régulièrement à sauter des étapes critiques d'audit et de validation. Ce scénario, loin d'être rare dans les marchés publics informatiques, explique une bonne part des incidents récurrents que subit l'administration française.

Le contexte international aggrave le tableau. Depuis le déclenchement du conflit en Ukraine en 2022, le volume d'attaques informatiques visant les infrastructures publiques européennes a bondi de façon spectaculaire. Les institutions françaises figurent parmi les cibles les plus visées. Cela ne suffit pas à excuser une faille élémentaire, mais cela replace l'incident dans une réalité géopolitique que l'on ne peut pas ignorer.

Usurpation d'identité : le citoyen seul face aux conséquences

Parmi les données potentiellement compromises figurent des informations permettant une usurpation d'identité complète : noms, adresses, numéros de pièces d'identité. Les personnes qui effectuent des démarches en ligne — comme renouveler leur permis de conduire à Paris via le portail ANTS — ont pu voir leurs données exposées sans le savoir.

Le danger concret est bien documenté. En cas d'usurpation d'identité, c'est la victime qui doit prouver qu'elle n'est pas l'auteur de crédits frauduleux ou d'infractions commises en son nom. La charge de la preuve repose sur l'innocent, non sur l'institution qui a failli. Des procédures judiciaires s'étalant sur dix à quinze ans, des dizaines de milliers d'euros de frais d'avocats, des vies professionnelles et personnelles brisées : voilà ce que risquent concrètement les 19 millions de Français touchés.

Quant aux sanctions infligées aux organismes publics fautifs, leur portée réelle est quasi nulle. Les amendes prononcées par la CNIL sont payées avec des fonds publics : l'argent transite d'une poche de l'État à une autre, sans jamais indemniser les victimes ni provoquer de réforme structurelle. Cette hypocrisie institutionnelle mérite d'être nommée clairement.

Vers une identité numérique de confiance : leçons d'autres systèmes

Des voix s'élèvent pour réclamer bien davantage que des correctifs techniques ponctuels. Les experts les plus engagés plaident pour un chantier d'envergure : refonte complète de l'architecture des systèmes d'identité numérique sur un modèle Zero Trust — principe selon lequel aucun accès n'est accordé sans vérification systématique, même à l'intérieur du réseau.

L'Estonie fait figure de référence. Son système X-Road, couplé à une carte d'identité cryptographique, permet à chaque citoyen de consulter en temps réel qui a accédé à ses données et d'en bloquer l'accès si nécessaire. Ce modèle existe, fonctionne, et prouve qu'une identité numérique sécurisée n'est pas une utopie. Comparer la taille du pays à la France pour invalider l'approche revient à ignorer que les principes cryptographiques ne dépendent pas du nombre d'habitants.

• Adopter une architecture Zero Trust pour tous les portails publics traitant des données sensibles
• Rendre obligatoires les audits de sécurité indépendants avant toute mise en production
• Créer un droit à l'indemnisation automatique en cas de fuite de données provenant d'un service public
• Permettre aux citoyens de consulter et contrôler l'accès à leurs données d'identité en temps réel

Les résidents des Bouches-du-Rhône comme ceux de toute autre région qui utilisent les services de l'ANTS pour renouveler leur permis de conduire dans les Bouches-du-Rhône méritent des garanties concrètes, pas des communiqués rassurants.

La vraie question que pose cette affaire n'est pas celle des sanctions — elle est celle de la volonté politique. Chaque fuite non corrigée structurellement est une prochaine fuite annoncée. Ne rien faire parce que le chantier est immense, c'est accepter que les 68 millions de Français soient exposés, l'un après l'autre, à des risques dont ils ne sont en rien responsables — et dont l'État, lui, l'est pleinement.