Fuite de données ANTS : 11,7 millions de Français exposés, le hacker met la base en vente

1. L’ANTS, c’est quoi ? Le rôle méconnu de cette agence clé

L’Agence nationale des titres sécurisés (ANTS), également connue sous le nom France Titres, est un organisme public placé sous la tutelle du ministère de l’Intérieur. Fondée en 2007, elle joue un rôle discret mais absolument central dans la vie administrative de chaque Français.

C’est elle qui gère les demandes et la délivrance de :

• 🪪 La carte nationale d’identité (CNI biométrique)
• 📗 Le passeport électronique et biométrique
• 🚗 Le permis de conduire
• 📄 Les titres de séjour pour les ressortissants étrangers
• 🚙 Le certificat d’immatriculation (carte grise)

En pratique, toute personne ayant effectué une démarche administrative en ligne via le portail moncompte.ants.gouv.fr depuis 2007 est potentiellement concernée par cette fuite. Ce n’est donc pas une agence marginale : c’est le cœur numérique de l’identité administrative des Français.

2. L’incident du 15 avril 2026 : chronologie et faits confirmés

Voici le déroulé des événements tel qu’il a pu être reconstitué à partir des déclarations officielles et des sources spécialisées :

3. « Breach3d » : le hacker qui a mis les données en vente

L’individu à l’origine de la revendication se fait appeler « breach3d ». Son mode opératoire est désormais classique dans le milieu de la cybercriminalité : après une intrusion réussie, il publie une annonce sur un forum spécialisé (accessible via le dark web) en fournissant des échantillons gratuits pour crédibiliser son offre, puis propose la base complète à la vente.

Selon les informations relayées par FrenchBreaches, le cybercriminel affirme détenir entre 18 et 19 millions d’enregistrements. Ce chiffre dépasse le bilan officiel actuel de 11,7 millions — un écart qui peut s’expliquer par la présence de doublons, d’anciens comptes désactivés ou par la méthode de comptage employée par l’attaquant lui-même.

4. Quelles données ont été exposées ?

Le ministère de l’Intérieur a dressé une liste des données a priori compromises pour les comptes particuliers. Sous réserve des conclusions de l’enquête technique en cours, il s’agit de :

Bonne nouvelle relative : aucune donnée bancaire ni mot de passe en clair ne figure dans la liste confirmée. En revanche, la combinaison nom + date de naissance + e-mail est plus que suffisante pour lancer des campagnes de phishing ciblées ou tenter des usurpations d’identité.

5. La faille technique : une vulnérabilité IDOR

Selon les informations rapportées par FrenchBreaches — non encore officiellement confirmées par l’ANTS —, la faille exploitée serait de type IDOR (Insecure Direct Object Reference).

En termes simples : dans une requête envoyée au serveur, un identifiant numérique (user_id=12345) permettait d’accéder au profil d’un utilisateur. Or, il suffisait de modifier ce numéro (user_id=12346) pour accéder aux données d’un autre utilisateur — sans aucun contrôle d’autorisation.

L’exploitation d’une IDOR à cette échelle suggère soit une absence de tests de sécurité approfondis avant le déploiement, soit un défaut de maintenance sur une fonctionnalité existante. Dans les deux cas, cette découverte est particulièrement embarrassante pour une agence traitant des données aussi sensibles.

6. Risques concrets pour les citoyens français

Cette fuite ne se résume pas à une statistique abstraite. Pour les personnes concernées, les conséquences peuvent être très concrètes dans les semaines et mois qui viennent :

7. Enquête judiciaire, OFAC et réponse institutionnelle

La réponse institutionnelle s’est enclenchée sur plusieurs fronts simultanément :

• Enquête judiciaire : le parquet de Paris a ouvert une enquête. Les investigations ont été confiées à l’Office anti-cybercriminalité (OFAC), la principale unité de police judiciaire spécialisée dans la lutte contre les cybercriminels en France.
• ANSSI : l’Agence nationale de la sécurité des systèmes d’information apporte un soutien technique à l’ANTS pour comprendre l’étendue de la compromission et sécuriser les systèmes.
• CNIL : saisie conformément à l’obligation de notification RGPD, la Commission nationale de l’informatique et des libertés peut infliger des sanctions pouvant atteindre 4 % du chiffre d’affaires mondial — ou, s’agissant d’une entité publique, une amende significative comme les 5 millions d’euros infligés à France Travail en janvier 2026.
• Inspection générale de l’administration (IGA) : le ministre Laurent Nuñez l’a saisie pour établir précisément la chaîne de responsabilité interne.

À la date du 24 avril 2026, aucune arrestation n’a été annoncée publiquement. On ignore si la base de données a trouvé preneur ou circule déjà plus largement. L’ANTS poursuit la notification individuelle des particuliers concernés par e-mail.

8. Un contexte alarmant : la série noire des fuites d’État

La fuite ANTS ne surgit pas dans un vide. Elle s’inscrit dans une tendance lourde qui frappe les administrations françaises depuis plusieurs années. Voici les incidents les plus significatifs :

Ce tableau illustre une réalité brutale : les Français qui ont effectué des démarches en ligne au cours des dernières années ont, pour beaucoup d’entre eux, été touchés par au moins une de ces fuites. La question n’est plus vraiment « suis-je concerné ? » mais « combien de fois ? ».

La France n’est pas un cas isolé en Europe — l’Allemagne (ELSTER), la Belgique (SPF) et l’Italie (INPS) ont également connu des incidents — mais la fréquence et l’ampleur des fuites françaises soulèvent des questions sérieuses sur la gouvernance de la cybersécurité publique et les budgets alloués à la sécurisation des SI d’État.

9. Que faire si vous êtes concerné ?

Que vous ayez reçu un e-mail de l’ANTS ou non, si vous avez un jour utilisé le portail moncompte.ants.gouv.fr, voici les mesures à prendre sans attendre :

10. Conclusion

La compromission de l’ANTS constitue un échec de cybersécurité d’une ampleur inédite pour les services d’identité de l’État français. Avec potentiellement 11,7 millions de comptes exposés — et jusqu’à 19 millions selon le hacker — et une faille technique aussi élémentaire qu’une IDOR, cet incident pose des questions fondamentales sur les pratiques de développement sécurisé et les audits réguliers au sein des agences gouvernementales.

Au-delà de la réponse judiciaire et technique en cours, cette affaire illustre l’urgence d’un changement de culture en matière de cybersécurité publique : des budgets adéquats, des tests d’intrusion réguliers, des équipes formées — et une transparence bien plus rapide vis-à-vis des citoyens dont les données sont en jeu.

Pour l’heure, la priorité reste la protection individuelle : changez vos mots de passe, activez le 2FA et restez en alerte. L’État protège mal vos données ; protégez-les vous-même.