Piratage ANTS : le titre sécurisé qui ne l'est plus (11,7 M de Français touchés)
Agence nationale des titres sécurisés. Chaque mot du nom respire la confiance. Et pourtant, le 15 avril 2026, la plateforme qui centralise les demandes de carte d'identité, passeport, permis de conduire et carte grise de tous les Français a été piratée. Le 21 avril, le ministère de l'Intérieur a confirmé le chiffre : 11,7 millions de comptes sont compromis. Nom, prénom, date de naissance, e-mail, parfois adresse postale et téléphone — tout est désormais en vente sur des forums cybercriminels.
Mais ce qui rend le piratage ANTS particulièrement choquant, c'est ce que l'on a appris dans les jours suivants : les failles exploitées étaient connues depuis des mois. Des chercheurs en sécurité les avaient signalées. L'agence a démenti un premier piratage en septembre 2025 — avant d'être victime du second sept mois plus tard. Voici ce que vous devez savoir, et les gestes concrets pour vous protéger dans les semaines qui viennent.
Ce qu'il s'est passé : la chronologie du piratage ANTS
15 avril 2026 : l'intrusion
Le mardi 15 avril, un attaquant pénètre la plateforme ANTS — renommée France Titres en 2024. Selon une source proche du dossier citée par France 2, l'intrusion exploite une vulnérabilité technique de la plateforme. Les premiers éléments techniques pointent vers une faille IDOR (Insecure Direct Object Reference) : une vulnérabilité classique qui permet à un utilisateur connecté d'accéder aux données d'autres utilisateurs simplement en modifiant un identifiant dans l'URL. C'est précisément la même famille de faille que celle exploitée dans le piratage ÉduConnect quelques semaines plus tôt.
16 avril : la mise en vente sur le dark web
Le lendemain, un pirate publie sur un forum cybercriminel une annonce : il prétend détenir une base contenant les informations de plus de 18 millions de personnes et propose la vente aux plus offrants. Le gouvernement reste silencieux.
20 avril : la reconnaissance officielle
L'ANTS / France Titres publie un communiqué reconnaissant une intrusion « pouvant impliquer une divulgation de données » et annonce avoir « immédiatement lancé des investigations techniques ». Sans donner de volume précis.
21 avril : le ministère de l'Intérieur confirme 11,7 millions
Le mardi soir, le ministère de l'Intérieur corrige le chiffre du pirate — 18 millions surestimés selon les autorités — et annonce officiellement 11,7 millions de comptes concernés. Les pirates gonflent parfois les volumes pour vendre plus cher, il est donc normal que le chiffre officiel soit inférieur. Mais 11,7 M, c'est déjà près d'un Français adulte sur cinq exposé.
22 avril : la bombe technique
C'est ici que l'affaire bascule. Plusieurs chercheurs en sécurité prennent la parole publiquement. Léo Gonzalez, cofondateur de Devensys Cybersecurity, affirme avoir « remonté déjà deux failles de sécurité critiques qui n'ont jamais été corrigées » à l'ANTS bien avant l'attaque. Plus grave encore : il précise qu'une des vulnérabilités était encore active le matin du 22 avril 2026, soit une semaine pleine après la découverte de l'intrusion. On est au-delà de l'erreur technique ; on est dans la défaillance organisationnelle.
Quelles données ont fuité ?
Selon le communiqué officiel de France Titres, le vol concerne :
-
Identifiant de connexion et identifiant unique du compte ANTS
-
Civilité, nom, prénoms
-
Adresse électronique
-
Date de naissance
Dans certains dossiers seulement, s'ajoutent : -
Adresse postale
-
Lieu de naissance
-
Numéro de téléphone
Le ministère insiste : les documents d'identité eux-mêmes (copies de CNI, passeports, photos d'identité) ne sont pas exposés. La plateforme stocke les métadonnées, pas les pièces scannées. C'est la seule bonne nouvelle de ce dossier.
Pourquoi ce piratage est plus grave qu'il n'y paraît
Les failles étaient connues. Et ignorées.
C'est l'information qui rend cette affaire particulièrement difficile à encaisser. Des chercheurs indépendants avaient alerté l'ANTS sur des vulnérabilités critiques avant l'incident. Rien n'a été corrigé. Même après la brèche confirmée, une des failles restait active une semaine plus tard. Ce décalage entre le discours officiel — qui parle depuis des années de « mesures de sécurité renforcées » — et la réalité technique pose la question de la chaîne de responsabilité au sein de l'administration.
La faille IDOR n'est pas une attaque sophistiquée du type zero-day. Elle figure dans le Top 10 OWASP des vulnérabilités web les plus critiques depuis plus de 15 ans. Il existe des outils automatisés qui les détectent. Tout éditeur de logiciel sérieux effectue des tests réguliers pour s'en prémunir. Sa présence sur une plateforme gérant les titres d'identité de tous les Français interroge.
C'est le deuxième piratage ANTS en 7 mois
Déjà en septembre 2025, une première base de données revendiquée comme issue de l'ANTS avait circulé sur le dark web. L'agence avait alors formellement démenti toute intrusion, affirmant que « aucune intrusion n'a été identifiée au sein des systèmes d'information de l'ANTS » et que les données mises en vente « contenaient de nombreuses incohérences ». Sept mois plus tard, la deuxième attaque vient jeter un doute rétrospectif sur ce premier démenti. L'enquête technique en cours dira si les deux incidents sont liés.
Une cible de choix : le passage obligé des Français
L'ANTS n'est pas une plateforme optionnelle. Depuis 2007, c'est le seul canal officiel pour demander une carte d'identité, un passeport, un permis de conduire ou une carte grise. Chaque Français majeur y passe plusieurs fois au cours de sa vie. Cette centralisation forcée crée un actif numérique irrésistible pour les cybercriminels : un fichier qui recoupe identité civile + contact + âge sur plusieurs dizaines de millions de personnes, c'est le Graal du phishing industriel.
Une série française sans précédent
Le piratage ANTS s'inscrit dans une série noire inédite pour les services publics français. Depuis janvier 2026 seulement :
- HubEE (DINUM) — 70 000 dossiers RSA exfiltrés
- FICOBA — 1,2 million de comptes bancaires consultés
- Cegedim Santé — 15 millions de patients exposés
- Urssaf — 12 millions de salariés potentiellement concernés
- OFII, ministère de l'Intérieur, La Poste
- Éducation nationale / COMPAS — 243 000 enseignants
- Éducation nationale / ÉduConnect — 3,5 millions d'élèves mineurs
- Police nationale / e-campus — 176 000 agents
- Et maintenant ANTS — 11,7 millions de Français
Plus de 100 millions de lignes de données de citoyens français ont été compromises sur les quatre premiers mois de 2026. Derrière les chiffres, une même réalité : la dématérialisation obligatoire des services publics a multiplié les cibles plus vite que les défenses.
Les 3 risques concrets pour les 11,7 millions de victimes
Risque n°1 : le phishing ultra-ciblé d'administration
C'est le risque principal et le plus immédiat. Armés de votre nom, prénom, date de naissance, e-mail et parfois adresse postale, les fraudeurs peuvent envoyer des messages d'une crédibilité redoutable. Attendez-vous à recevoir dans les prochaines semaines :
- Des faux e-mails « ANTS » ou « France Titres » vous demandant de « mettre à jour votre dossier suite à l'incident de sécurité »
- Des faux e-mails « ameli.fr », « impots.gouv.fr », « La Poste », « Pôle emploi » reprenant vos coordonnées exactes
- Des faux SMS « votre carte grise / permis est suspendu » avec lien vers un site frauduleux imitant le portail officiel
Ces campagnes de spear phishing peuvent dépasser 50 % de taux de clic quand elles sont bien personnalisées. Une arnaque qui connaît déjà votre prénom, votre date de naissance et votre ville inspire une confiance instinctive que Google ou votre banque n'inspirent pas.
Risque n°2 : l'usurpation d'identité partielle
Avec les données ANTS, un fraudeur dispose d'assez d'éléments pour entamer plusieurs démarches en votre nom, notamment sur des services en ligne peu regardants en matière de vérification d'identité :
- Ouverture de comptes sur des plateformes de petites annonces ou de crypto
- Souscriptions à des services d'abonnement (téléphonie discount, VOD, livraison)
- Demandes de crédit à la consommation sur certains organismes express
La bonne nouvelle : sans la pièce d'identité scannée, l'ouverture d'un compte bancaire ou l'obtention d'un crédit conséquent reste difficile. La mauvaise : il existe toute une zone grise de services numériques où un nom + une date de naissance + une adresse suffisent.
Risque n°3 : l'attaque par credential stuffing
Si vous utilisiez le même mot de passe sur l'ANTS et sur d'autres comptes (boîte mail, Amazon, réseaux sociaux…), le risque est majeur. Le credential stuffing est une technique où les pirates testent automatiquement des millions de couples identifiant-mot de passe volés sur les plus grands sites web. Un mot de passe ANTS réutilisé = une porte d'entrée potentielle sur votre messagerie principale — et à partir de là, sur tout le reste.
Important : les mots de passe ANTS ne figurent pas officiellement dans la fuite. Mais par précaution, tout mot de passe réutilisé doit être considéré comme potentiellement exposé.
5 gestes à adopter maintenant pour vous protéger
1. Considérez que vous êtes concerné
La base de données contient 11,7 millions de comptes. Si vous avez effectué une démarche sur ANTS / France Titres depuis 2018 — demande de permis, passeport, carte d'identité, carte grise, échange de permis étranger — considérez par défaut que vos données sont dans la fuite. Une procédure officielle de notification individuelle est annoncée par le ministère, mais en attendant, adoptez les réflexes ci-dessous.
2. Changez votre mot de passe ANTS immédiatement
Connectez-vous à ants.gouv.fr (attention : tapez l'URL vous-même, ne cliquez sur aucun lien reçu par e-mail) et changez votre mot de passe. Choisissez :
- 14 caractères minimum
- Unique — jamais réutilisé sur un autre compte
- Combinant majuscules, minuscules, chiffres et caractères spéciaux
Si vous utilisiez le même mot de passe ANTS ailleurs (sur votre boîte mail, votre compte Amazon, Pôle emploi, Ameli…), changez-le partout. Un gestionnaire de mots de passe (Bitwarden, KeePassXC, 1Password, Proton Pass) simplifie énormément cette opération.
3. Traitez tout message « administration » comme suspect pendant 6 mois
C'est la règle la plus importante. Pendant le semestre à venir, considérez comme potentiellement frauduleux tout e-mail ou SMS non sollicité prétendument envoyé par :
- ANTS / France Titres
- Ameli.fr / Sécurité sociale
- Impôts.gouv.fr / DGFiP
- Pôle emploi / France Travail
- La Poste / Colissimo
- CAF, ministère de l'Intérieur, préfecture
La règle d'or : ne cliquez jamais sur un lien reçu par e-mail ou SMS. Pour accéder à un service administratif, ouvrez votre navigateur et tapez l'URL directement (ou utilisez vos favoris). Aucune administration française ne vous demandera d'urgence, par SMS, de confirmer vos coordonnées sous peine de suspension.
En cas de message douteux, signalez-le via Signal Spam (e-mails) ou par SMS au 33700 (SMS frauduleux).
4. Activez l'authentification à deux facteurs partout
La 2FA (double authentification) est la seule protection efficace quand votre mot de passe est compromis. Activez-la en priorité sur :
- Votre messagerie principale (Gmail, Outlook, ProtonMail, etc.)
- Vos comptes bancaires
- Ameli, impots.gouv.fr, FranceConnect
- Vos réseaux sociaux
Préférez une application d'authentification (Aegis, 2FAS, Google Authenticator) au code reçu par SMS. Les SMS sont vulnérables au SIM swapping — une technique où les fraudeurs se font transférer votre numéro par l'opérateur pour intercepter vos codes.
5. Surveillez vos comptes en ligne et votre crédit
Pendant les 12 prochains mois, surveillez de près :
- Vos comptes bancaires, y compris les petits prélèvements suspects (voir notre article sur la fraude SEPA)
- Votre dossier Banque de France (FICP) en demandant gratuitement sa communication une fois par an
- Les connexions inhabituelles sur votre messagerie et vos comptes principaux (notifications de sécurité activées)
Vous pouvez aussi vérifier l'exposition de votre e-mail sur Have I Been Pwned — la base ANTS y sera probablement référencée à terme.
Ce que le piratage ANTS révèle sur l'État numérique
Au-delà du cas particulier, le piratage ANTS met en lumière trois problèmes structurels de la cybersécurité publique française :
1. Un budget en baisse. Le rapport parlementaire 2024-2025 notait déjà une baisse de 3 % des crédits de cybersécurité dans la mission « Coordination de la sécurité et de la défense » — pendant que la surface d'attaque et le nombre d'incidents explosaient. L'équation est impossible à tenir.
2. Une gouvernance diffuse. Entre l'ANSSI (recommandations), la DINUM (développement), les ministères (opération) et les prestataires, personne n'a l'autorité claire pour imposer un correctif d'urgence. Résultat : une faille IDOR signalée peut rester ouverte des mois.
3. Un rapport de force déséquilibré avec les chercheurs indépendants. Les chercheurs en sécurité qui remontent des failles (bug bounty, divulgation responsable) se heurtent souvent à un mur administratif. Tant que leurs signalements ne seront pas systématiquement pris en charge par une autorité de recours — à la manière du HackerOne public américain — la France continuera à découvrir ses failles par la fuite plutôt que par la veille.
La transposition de la directive européenne NIS 2, qui aurait dû renforcer les obligations des administrations, reste inachevée. Tant que ça ne change pas, la vigilance individuelle est votre principale ligne de défense.
En résumé : les 4 choses à retenir
- Le piratage ANTS concerne 11,7 millions de Français — soit environ un adulte sur cinq. L'intrusion a eu lieu le 15 avril 2026 via une faille technique classique (probable IDOR) sur la plateforme France Titres.
- Les failles étaient connues : des chercheurs les avaient signalées, une était encore active une semaine après la découverte de l'incident. C'est un échec de gouvernance autant qu'un échec technique.
- Les risques concrets sont le phishing ultra-ciblé (administrations, banque, Ameli…), l'usurpation d'identité partielle sur des services en ligne peu regardants, et le credential stuffing si vous réutilisez vos mots de passe.
- Les 5 gestes essentiels : changer votre mot de passe ANTS, le rendre unique partout, traiter comme suspect tout message « administration » pendant 6 mois, activer la 2FA partout, surveiller vos comptes.
Les 11,7 millions de victimes ne sont pas coupables de négligence. L'ANTS, si. À nous désormais d'appliquer les réflexes qui limiteront les dégâts d'une fuite qui n'aurait jamais dû arriver.
Pour aller plus loin, consultez nos articles sur le piratage ÉduConnect et la sécurité des données de vos enfants et le piratage Basic-Fit et les risques de fraude SEPA. Pour suivre chaque semaine les incidents cyber en France, abonnez-vous à notre veille hebdomadaire.
Sources : communiqué France Titres (20 avril 2026), ministère de l'Intérieur (21 avril 2026), Franceinfo, Silicon, L'Argus, Génération NT (témoignage Devensys Cybersecurity), France 2. ANSSI et CNIL impliquées. Enquête en cours.