Piratage de l'ANTS : 12 millions de comptes exposés, un mineur arrêté et 200 millions d'euros débloqués pour la cybersécurité de l'État

La brèche ouverte le 15 avril 2026 dans le portail de l'Agence nationale des titres sécurisés (ANTS) est l'une des fuites de données publiques les plus importantes jamais enregistrées en France. Près de 12 millions de comptes d'usagers ont été compromis par l'exploitation d'une faille élémentaire de contrôle d'accès. Un mineur de 15 ans a été arrêté. En réponse, le Premier ministre Sébastien Lecornu s'est rendu le 30 avril dans les locaux de l'agence pour annoncer le déblocage de 200 millions d'euros dédiés à la sécurisation des systèmes d'information de l'État, dans un contexte où une feuille de route d'urgence avait déjà été imposée à l'ensemble des ministères dès le 9 avril.

Les faits

L'incident a été détecté le 15 avril 2026 sur le portail ants.gouv.fr, qui centralise les demandes de titres d'identité et de véhicules pour les particuliers et les professionnels. La vulnérabilité exploitée est de type IDOR (Insecure Direct Object Reference) : le système ne vérifiait pas les droits d'accès lors de la consultation des profils utilisateurs, permettant à tout requérant de modifier un simple identifiant dans l'URL ou l'API pour accéder aux données d'un autre compte. Des scripts automatisés ont été utilisés pour exfiltrer les données de manière séquentielle à grande échelle.

Le ministère de l'Intérieur a confirmé que 11,7 millions de comptes sont concernés. Une base de données comportant 18 à 19 millions de lignes a été mise en vente sur des forums cybercriminels, dont l'authenticité et le périmètre exacts restent à ce stade non confirmés par les autorités. Le portail a été placé sous maintenance le 24 avril ; la date de réouverture n'était pas connue au 27 avril.

Sur le plan judiciaire, l'Office anti-cybercriminalité (OFAC) a alerté les équipes de l'ANTS en début d'avril, déclenchant l'ouverture d'une enquête par l'unité cybercriminalité du Parquet de Paris. Le 25 avril, un mineur de 15 ans a été interpellé, suspecté d'être l'auteur sous le pseudonyme "breach3d". Le Parquet de Paris a officialisé l'arrestation le 30 avril, avec une demande d'information judiciaire et de contrôle judiciaire. Les infractions reprochées relèvent des "atteintes à un système de traitement automatisé des données", passibles de sept ans d'emprisonnement et de 300 000 euros d'amende. Par ailleurs, un individu de 21 ans a été arrêté séparément pour des attaques visant des fédérations sportives et des établissements d'enseignement. La CNIL a ouvert une enquête et une notification a été transmise à la Procureure de la République de Paris.

Analyse stratégique

La faille IDOR est une vulnérabilité documentée depuis des décennies, classée parmi les risques prioritaires de l'OWASP (Open Web Application Security Project). Son exploitation sur un portail traitant les demandes de millions de documents d'identité et de véhicules soulève des questions directes sur les pratiques d'audit, de recette et de maintenance des systèmes d'information publics. L'absence de mécanisme de vérification des droits d'accès sur un périmètre aussi sensible constitue un déficit de conception, et non une défaillance conjoncturelle.

La chronologie révèle une autre tension : la feuille de route de sécurité numérique signée par Lecornu le 9 avril imposait des mesures d'urgence à l'ensemble des ministères. La brèche à l'ANTS, détectée le 15 avril, intervient donc moins d'une semaine après cette injonction. Cela indique soit que le portail n'était pas encore dans le périmètre traité, soit que les délais d'exécution n'étaient pas compatibles avec la rapidité des attaquants.

Le déblocage de 200 millions d'euros annoncé le 30 avril s'inscrit dans un cadre plus large. La Stratégie nationale de cybersécurité 2026-2030, publiée par le Secrétariat général de la défense et de la sécurité nationale (SGDSN) en janvier 2026, prévoit une enveloppe totale de l'ordre d'un milliard d'euros, dont 720 millions de financement public. Cette stratégie est structurée en cinq piliers et quatorze objectifs, avec comme ambition déclarée de faire de la France le premier bassin de talents cyber en Europe. Les 200 millions annoncés le 30 avril constituent une mobilisation d'urgence, distincte dans sa temporalité mais cohérente dans son orientation avec ce cadre stratégique préexistant.

La composition de la réunion convoquée par Lecornu à l'ANTS mérite attention : outre le ministre de l'Intérieur Laurent Nunez, étaient présents la ministre de l'Éducation Edouard Geffray, le ministre des Comptes publics David Amiel et la ministre déléguée au numérique Anne Le Hénanff. Cette configuration interministérielle signale que la réponse dépasse le seul périmètre de l'ANTS et vise une montée en sécurité transversale de l'administration numérique française.

Impact sectoriel

Pour les 12 millions d'usagers concernés, le risque immédiat est celui du phishing ciblé et de l'ingénierie sociale. La combinaison de noms, prénoms, dates de naissance et adresses électroniques constitue un jeu de données suffisant pour construire des campagnes d'hameçonnage crédibles usurpant des services de l'État. Le risque s'étend à l'usurpation d'identité dans les procédures administratives dématérialisées, notamment celles liées aux documents d'identité et aux véhicules.

Pour la CNIL, l'incident crée une obligation de notification et devrait se traduire par une procédure d'enquête dont les suites pourraient alimenter une jurisprudence sur la responsabilité de l'État en tant que responsable de traitement. Pour les prestataires et intégrateurs des systèmes d'information publics, un durcissement des exigences contractuelles de sécurité et des audits de code est à anticiper.

Pour l'écosystème cyber français dans son ensemble, l'incident illustre la cohérence de la stratégie 2026-2030 en termes de diagnostic, mais en révèle aussi l'urgence opérationnelle. La menace ne se limite pas aux acteurs étatiques étrangers : un mineur équipé de scripts automatisés suffit à compromettre une infrastructure critique traitant des données de titre national à l'échelle de millions d'usagers.

La brèche de l'ANTS concentre plusieurs paradoxes de la cybersécurité publique française : une vulnérabilité technique basique, un attaquant mineur, un périmètre de données sensibles de premier ordre et une réponse budgétaire significative intervenant après les faits. Les 200 millions d'euros annoncés le 30 avril ne referment pas la faille de confiance ouverte par cet incident ; ils en fixent le prix minimum de réparation. La véritable mesure de l'efficacité des plans à venir sera la capacité à détecter et corriger ce type de défaut avant, et non après, son exploitation.