Piratage ANTS : que s’est-il passé ?

Encore une cyberattaque contre un service en ligne de l’Etat français. Encore des millions d’informations dans la nature. Le portail France Titres de l’Agence nationale des titres sécurisés (ANTS) a été la cible d’un piratage massif en avril 2026. Cet incident a entraîné l’exfiltration des données personnelles de 19 millions de Français soit environ un tiers de la population du pays.

L’ANTS gère les démarches liées aux titres d’identité (carte d’identité, passeport, titre de séjour), permis de conduire et immatriculation de véhicule. Autant dire que tout résident français est concerné.

Une faille technique basique

L’intrusion a été rendue possible par une vulnérabilité de type IDOR (Insecure Direct Object Reference) mais dont la simplicité a surpris les experts en cybersécurité. Concrètement, il suffisait de modifier un chiffre dans l’adresse URL des requêtes envoyées à l’API du site pour accéder au profil d’un autre citoyen. Le système ne réalisait aucun contrôle d’autorisation côté serveur et permettait ainsi de consulter librement des dossiers qui n’appartenaient pas à l’utilisateur connecté.

Le hacker identifié sous le pseudonyme « breach3d » a qualifié cette faille de « vraiment stupide » et il a raison. C’est de la négligence et de l’incompétence à ce niveau.

Ce qui a été volé

Le Ministère de l’Intérieur l’avoue, les données personnelles dérobées sur le portail ANTS sont nombreuses :

• Identifiant de connexion
• Civilité
• Nom
• Prénoms
• Adresse e-mail
• Date de naissance
• Adresse postale
• Lieu de naissance
• Numéro de téléphone

Et devant l’ampleur de 19 millions de comptes, c’est l’une des plus grandes fuites de données administratives jamais enregistrées en France.

L’Etat a donc admis la faille et le vol, ce qui donne d’autant plus de valeur à ces informations pour une revente par les pirates.

Quoi faire maintenant

Rien, il n’y a rien d’autre à faire que de rester vigilant quand on reçoit un mail, un SMS ou un appel téléphonique car entre les spams et scams habituels, on doit aussi faire face aux tentatives plus sournoises aidées par l’intelligence artificielle : message vocal de faux livreur, photo d’un colis avec son propre nom dessus, fausse facture qui contient un virus, etc. Le hameçonnage ciblé est la nouvelle méthode bien plus efficace et donc difficile à démasquer. La vigilance reste le seul moyen de se protéger quand les organisations qui détiennent nos données personnelles ne sont pas fiables…