Cyberattaque ANTS : 11,7M de comptes exposés

Publié le 03/07/2026

Le 15 avril 2026, les équipes techniques de l'Agence nationale des titres sécurisés détectent une intrusion sur le portail moncompte.ants.gouv.fr. Cinq jours plus tard, le ministère de l'Intérieur le confirme : 11,7 millions de comptes usagers ont été compromis. Ce piratage de l'ANTS, qui gère passeports, cartes d'identité, permis de conduire et certificats d'immatriculation, constitue l'un des incidents de sécurité les plus graves jamais subis par un service régalien français. Ce qui frappe d'emblée, c'est la banalité du mécanisme exploité : aucun logiciel malveillant sophistiqué, aucun rançongiciel. Une simple faille de contrôle d'accès a suffi.

Une faille IDOR à l'origine du piratage de France Titres

Derrière l'acronyme IDOR (Insecure Direct Object Reference) se cache une vulnérabilité élémentaire, pourtant redoutablement efficace. Le principe est simple : l'application expose un identifiant de dossier dans l'URL et vérifie que l'utilisateur est connecté, mais pas qu'il a le droit d'accéder à cet objet précis. En modifiant cet identifiant dans la requête, il devient possible de consulter les données d'un autre usager. En automatisant cette manipulation sur des millions d'enregistrements, un seul individu peut exfiltrer une base entière.

L'auteur présumé n'est pas un expert en sécurité informatique chevronnée. Le 29 avril 2026, un mineur de 15 ans, opérant sous le pseudonyme « breach3d », est interpellé et mis en examen. Il aurait ensuite proposé à la vente entre 18 et 19 millions d'enregistrements sur des forums cybercriminels, un chiffre supérieur aux 11,7 millions officiellement reconnus. Cet écart s'explique probablement par le fait qu'un même individu peut posséder plusieurs dossiers (passeport, permis, carte grise) et que la base vendue agrège peut-être d'autres données. La règle d'analyse retient le chiffre conservateur confirmé par la source responsable du traitement.

L'OWASP classe ce type de défaillance en première position de son Top 10 des risques applicatifs web depuis 2021. Que cette vulnérabilité ait prospéré sur une plateforme d'identité de l'État soulève une question directe : pourquoi des audits de code systématiques n'ont-ils pas détecté l'anomalie en amont ? La parade technique est pourtant documentée : vérification de l'autorisation au niveau de l'objet, remplacement des identifiants séquentiels par des UUID opaques, et rate limiting pour bloquer les boucles automatisées.

Cette fuite reste moins grave que celle de France Travail de mars 2024, qui avait touché potentiellement 43 millions de personnes et exposé des numéros de sécurité sociale. Mais toute personne ayant effectué une démarche via l'ANTS, que ce soit pour un renouvellement de permis de conduire à Reims ou n'importe quel autre titre officiel, doit considérer ses données de contact comme potentiellement exposées.

Les conséquences concrètes pour les 11,7 millions d'usagers concernés

Le risque immédiat ne réside pas dans un accès direct aux comptes ANTS, les mots de passe n'ayant pas fuité. Le vrai danger prend la forme d'une vague d'hameçonnage ciblé, dit spear phishing. Armé d'un nom réel, d'une date de naissance exacte et d'une adresse e-mail valide, un fraudeur peut rédiger des messages d'une crédibilité troublante, en usurpant l'identité de l'ANTS, de FranceConnect ou de l'administration fiscale. L'objectif : récupérer ce qui manque encore, mots de passe et coordonnées bancaires.

Le phénomène de recoupement aggrave le tableau. Les données ANTS, croisées avec d'autres fuites récentes touchant des services publics et privés, permettent de reconstituer des profils très détaillés. C'est la logique de la fuite qui nourrit la suivante, particulièrement marquée en France depuis que le pays a atteint la deuxième place mondiale des États les plus ciblés par les cyberattaques début 2026.

Voici les réflexes à adopter sans délai si vous êtes concerné :

1. Changer immédiatement votre mot de passe ANTS et tous les comptes partageant ce même mot de passe.
2. Ne jamais cliquer sur un lien reçu par e-mail ou SMS prétendant venir de l'administration : accéder directement au site officiel.
3. Activer l'authentification à deux facteurs sur vos comptes bancaires et de messagerie.
4. Surveiller vos relevés et signaler toute activité suspecte sur cybermalveillance.gouv.fr.
5. Déposer plainte en cas d'usurpation d'identité avérée.

Par ailleurs, le délai de cinq jours entre la détection de l'intrusion et la communication officielle a alimenté la controverse, le RGPD imposant une notification à la CNIL sous 72 heures. La CNIL a bien été saisie, tout comme l'ANSSI et le parquet de Paris. Mais cette affaire révèle une asymétrie : les sanctions financières prévues par le règlement européen (jusqu'à 4 % du chiffre d'affaires pour une entreprise privée) perdent leur efficacité face à l'État, où amende et budget public se confondent.

La réponse politique et ce qu'elle change vraiment

Le 30 avril 2026, le Premier ministre Sébastien Lecornu se déplace dans les locaux de l'ANTS pour annoncer un plan cyber de 200 millions d'euros, mobilisables dès la semaine suivante. Trois axes structurent cette enveloppe : sécurisation des applications publiques par des audits de code et une refonte des systèmes d'authentification, déploiement d'outils de détection d'intrusion et de SOC mutualisés, et anticipation de la cryptographie post-quantique.

Sur le plan institutionnel, le gouvernement annonce la fusion de la DINUM et de la DITP pour créer une autorité numérique placée directement auprès du Premier ministre. Sa mission sera de standardiser et sécuriser des infrastructures aujourd'hui morcelées entre ministères. Ce plan s'inscrit dans le prolongement de la stratégie nationale de cybersécurité 2026-2030, dont il accélère certains volets sous la pression des événements.

Reste la question du fond. Deux cents millions d'euros peuvent-ils combler des décennies de sous-investissement ? Beaucoup d'analystes y voient une mesure de rattrapage plus qu'une transformation structurelle. La leçon technique de cette affaire est d'abord une leçon de développement sécurisé : investir dans la détection de pointe sans corriger les défauts de contrôle d'accès élémentaires revient à sécuriser une maison en laissant une fenêtre grande ouverte. Pour les usagers ayant géré un dossier de permis de conduire à Mont-de-Marsan ou toute autre démarche administrative en ligne, cette affaire rappelle que la vigilance numérique n'est plus une option, mais une nécessité quotidienne. Le Cyber Resilience Act européen, entrant pleinement en vigueur le 11 septembre 2026, renforcera les obligations de notification pour tous les acteurs, publics comme privés.