L’Agence nationale des titres sécurisés (ANTS) a été victime en avril 2026 d’une intrusion majeure. Détectée le 15 avril, cette attaque a compromis les données de 11,7 millions de comptes utilisateurs. Contrairement aux cyberattaques sophistiquées par rançongiciel, cette intrusion a exploité une faille IDOR (Insecure Direct Object Reference), une vulnérabilité permettant à un tiers d’accéder directement à des ressources sans vérification d’autorisation appropriée.
Les données compromises incluaient les noms, prénoms, dates de naissance, adresses électroniques, identifiants de connexion et identifiants uniques de comptes. Pour certains dossiers, l’adresse postale, le lieu de naissance et le numéro de téléphone ont également été exposés. Heureusement, les mots de passe, les données biométriques et les scans de pièces d’identité n’ont pas été compromis, limitant ainsi les risques d’usurpation d’identité immédiate.
Cette incident illustre comment une faille technique apparemment mineure peut avoir des conséquences exponentielles sur millions de citoyens. ANTS gère les passeports, cartes d’identité, permis de conduire et cartes grises de tous les Français : les données compromises peuvent servir à des usages malveillants tels que l’usurpation d’identité, le phishing ciblé ou la vente sur le dark web.
Conformité RGPD et mesures de sécurité
L’article 32 du RGPD impose aux organismes de mettre en place « des mesures techniques et organisationnelles appropriées pour assurer un niveau de sécurité adapté au risque ». Cette attaque démontre que l’insuffisance de contrôles d’accès et de tests de pénétration réguliers constitue une violation de ces obligations fondamentales.
L’article 33 du RGPD exigeait une notification à la CNIL dans les 72 heures. Détectée le 15 avril, l’intrusion a été révélée le 20 avril au gouvernement, déclenchant des mesures de transparence envers les citoyens affectés.
Articulation avec NIS2
Cette attaque soulève des questionnements importants sur la transposition française de la directive NIS2. ANTS, en tant qu’entité critique gérant les données d’identification, tombera sous le champ d’application de NIS2 une fois transposée en droit français. NIS2 impose des obligations de gouvernance de la cybersécurité et de test de résilience face aux incidents de sécurité.
Conseils pratiques pour les organisations
Pour éviter des incidents similaires, les organisations doivent mettre en place un programme de tests de pénétration réguliers et documentés pour identifier les failles IDOR, implémenter des mécanismes de contrôle d’accès robustes basés sur les principes du « moindre privilège », appliquer un chiffrement des données sensibles en transit et au repos, former les développeurs aux vulnérabilités courantes (OWASP Top 10), maintenir un inventaire actualisé des données personnelles traitées et de leurs emplacements, établir un plan de réponse aux incidents documenté et testé.
