La cyberattaque ANTS a visé le 15 avril 2026 le portail de l’Agence nationale des titres sécurisés, qui gère les demandes de carte d’identité, de passeport et de permis de conduire. Le ministère de l’Intérieur l’a confirmée le 20 avril, selon franceinfo.
Dans un point d’étape publié le 21 avril, le ministère a chiffré à 11,7 millions le nombre de comptes touchés, sous réserve des conclusions des investigations. L’attaquant revendique de son côté 18 à 19 millions d’enregistrements mis en vente sur un forum cybercriminel. Les autorités n’ont pas confirmé ce chiffre.
| Point | Ministère de l’Intérieur | Attaquant |
|---|---|---|
| Volume | 11,7 millions de comptes, sous réserve des investigations | 18 à 19 millions d’enregistrements |
| Cause | Non communiquée | Faille de type IDOR dans l’API de moncompte.ants.gouv.fr |
| Pièces jointes | Divulgation exclue à ce stade, comme celle des données biométriques | Pas d’élément publié |
Une violation notifiée à la CNIL et signalée à la justice
Selon le communiqué du ministère, l’incident a pu entraîner la divulgation de données des comptes particuliers et professionnels du portail ants.gouv.fr. La Commission nationale de l’informatique et des libertés (CNIL) a reçu une notification au titre de l’article 33 du RGPD, et l’Agence nationale de la sécurité des systèmes d’information (ANSSI) a été alertée.
Le ministère a aussi transmis un signalement à la procureure de la République de Paris, en application de l’article 40 du code de procédure pénale, en vue de l’ouverture d’une enquête.
Enfin, le ministre de l’Intérieur, M. Laurent Nuñez, a saisi l’Inspection générale de l’administration (IGA) pour établir la chaîne de responsabilité. La séquence suit donc le schéma attendu d’une violation majeure : autorité de protection des données, autorité de cybersécurité, justice pénale, puis enquête administrative interne.
Fuite de données ANTS : ce qui est exposé et l’usage qu’en feront les escrocs
Pour les comptes particuliers, les informations exposées comprennent l’identifiant de connexion, la civilité, les nom et prénoms, la date de naissance, l’adresse électronique et l’identifiant unique de compte. S’y ajoutent, lorsque l’usager les avait renseignés, l’adresse postale, le lieu de naissance et le numéro de téléphone. Pour les comptes professionnels, le vol peut aussi porter sur la raison sociale ou le numéro Siren, d’après franceinfo.
Le ministère précise que ces données ne permettent pas d’accéder illégitimement au compte nominatif. D’après franceinfo, le mot de passe des usagers n’a en effet pas été consulté. Ces données suffisent toutefois à bâtir un hameçonnage ciblé : un message qui cite votre nom, votre date de naissance et votre démarche en cours paraît crédible. Les escrocs peuvent ainsi se faire passer pour l’ANTS, FranceConnect ou l’administration fiscale, voire tenter une usurpation d’identité. Elles gagnent aussi en valeur une fois recoupées avec d’autres fuites.
Cyberattaque ANTS : la faille IDOR revendiquée par l’attaquant
Selon les déclarations de l’attaquant, qui se présentait sous le pseudonyme « breach3d », l’intrusion reposerait sur une vulnérabilité de type IDOR (Insecure Direct Object Reference) dans l’API du portail moncompte.ants.gouv.fr, rapporte Clubic. Aucune source officielle n’a confirmé cette cause.
Une faille IDOR se comprend simplement. L’application transmet un identifiant, par exemple un numéro de compte, et le serveur renvoie les données correspondantes sans vérifier que le demandeur a le droit de les voir. Il suffit alors de modifier ce numéro pour lire le compte d’un autre usager.
Si cette version se confirme, le défaut relève d’un contrôle d’autorisation absent côté serveur. Or l’article 32 du RGPD impose des mesures techniques et organisationnelles adaptées au risque : tests d’intrusion, revue de code et contrôles d’accès sur chaque API exposée. Notre fiche Article 32 RGPD : obligation de sécurité des données détaille ces mesures.
RGPD et NIS 2 : ce que l’incident impose à l’administration
La notification à la CNIL doit intervenir dans les meilleurs délais, et si possible 72 heures au plus tard après la prise de connaissance de la violation. Si la violation peut engendrer un risque élevé pour les personnes, l’article 34 impose en plus d’informer chaque usager.
La directive NIS 2 classe les entités de l’administration publique centrale parmi les entités essentielles. Toutefois, à la date de cet article, sa transposition en France attend toujours son examen à l’Assemblée nationale, selon Next. Une fois la loi adoptée, l’obligation de sécuriser les systèmes et de notifier les incidents à l’ANSSI s’en trouvera renforcée.
Usagers : comment reconnaître un faux message de l’ANTS
Partez du principe que les réseaux cybercriminels relient désormais votre adresse électronique à un profil ANTS. Par conséquent, tout message qui se réclame d’une administration mérite un contrôle. Ne cliquez jamais sur le lien d’un courriel ou d’un SMS : tapez vous-même l’adresse du site officiel, qui se termine par ants.gouv.fr, et vérifiez-la avant toute saisie.
Activez ensuite la double authentification sur FranceConnect, sur votre espace fiscal et sur votre messagerie principale.
DPO : les contrôles à reprendre sur vos propres API
L’incident vaut avertissement pour tout organisme qui expose un portail. Cartographiez d’abord vos API exposées et documentez les flux entre systèmes. Testez ensuite régulièrement les contrôles d’accès, en particulier la vérification des droits sur chaque identifiant transmis. L’OWASP, fondation de référence en sécurité applicative, classe d’ailleurs le contrôle d’accès défaillant au premier rang de son Top 10 de 2021 et cite la consultation du compte d’autrui par simple changement d’identifiant. Refusez donc l’accès par défaut, accordez le moindre privilège et vérifiez les droits côté serveur. Formez aussi vos développeurs à ces vulnérabilités. Tenez enfin à jour votre registre des violations et votre procédure de notification, en vous appuyant sur notre tuto pour notifier une violation de données personnelles.
Pour les traitements qui portent des identifiants administratifs, l’analyse d’impact (AIPD) permet d’anticiper ce scénario avant la crise. Si l’information des personnes devient nécessaire, notre article Communication d’une violation de données : aider les personnes notifiées vous aide à rédiger un message utile. DPO Suite, l’application de conformité de DPO PARTAGE, centralise le registre des violations et les AIPD.
Sources
La confirmation de l’attaque par le ministère figure dans l’article de franceinfo L’Agence nationale des titres sécurisés a été visée par une attaque informatique.
Le chiffre de 11,7 millions de comptes et l’exclusion des pièces jointes proviennent de Fuite de données sur le portail de l’ANTS : près de 12 millions de comptes concernés.
franceinfo détaille les données, le signalement à la procureure et la saisine de l’IGA dans Ce que l’on sait de la fuite de données de l’ANTS.
Le Monde Informatique a couvert l’incident dans Permis, CNI, passeports : vol de données après la cyberattaque de l’ANTS.
L’OWASP décrit le contrôle d’accès défaillant et les références directes non sécurisées dans A01 Broken Access Control, OWASP Top 10:2021.
Clubic relaie la revendication de l’attaquant dans L’ANTS piratée à cause d’une faille basique.
Le texte de la directive NIS 2 figure sur EUR-Lex, Directive (UE) 2022/2555, et l’état de sa transposition dans l’article de Next Caramba, encore raté : la transposition de NIS2 est de nouveau repoussée.
EUR-Lex publie les articles 32, 33 et 34 du RGPD dans Règlement (UE) 2016/679.
