# Piratage ANTS et fuites de données : l'échec cyber de l'État


# Piratage de l'ANTS et fuites de données : pourquoi l'État français échoue en cybersécurité

Le **piratage de l'ANTS**, révélé au printemps 2026, a exposé les données d'identité de **11,7 millions de Français**. Il n'est pourtant que l'épisode le plus visible d'une série noire : depuis le début de l'année, la France enregistre **plus de trois vols de données d'importance majeure par jour**, au point d'être devenue le deuxième pays le plus touché au monde par les fuites de données.

Ce constat contraste violemment avec les discours politiques sur la souveraineté numérique. Comment un pays au septième rang mondial des puissances économiques, avec 3 600 milliards de dollars de PIB, peut-il être incapable d'endiguer la fuite de nos vies privées ? Comment un seul adolescent a-t-il pu faire plier un ministère avec une faille enseignée en première semaine d'école d'informatique ?

Cet article analyse, chiffres et sources à l'appui, les causes structurelles de l'échec de la **cybersécurité de l'État français** : la chronologie du fiasco de l'ANTS, la faille IDOR exploitée, l'hécatombe des fuites de 2026, la lenteur de détection, la gouvernance grippée et la misère budgétaire des ministères. Sans oublier ce qui fonctionne encore, et ce qui pourrait changer.

{{< admonition abstract "En bref" >}}
- **11,7 millions** de comptes ANTS exfiltrés par un adolescent de 15 ans grâce à une faille IDOR élémentaire.
- **Un mois** de silence entre la détection (15 mars 2026) et la confirmation publique (13 avril).
- **43 millions** de personnes touchées chez France Travail, **33 millions** chez Viamedis et Almerys, **15 millions** chez Cegedim Santé.
- **284 jours** en moyenne pour détecter et contenir une intrusion en France, contre 186 en Italie.
- **1 % à 5 %** des budgets informatiques consacrés à la cyber dans les ministères, contre 10 % recommandés par l'ANSSI.
- **NIS2** toujours pas transposée, deux ans après l'échéance européenne.
{{< /admonition >}}

{{< youtube NKRA_-nwanE >}}

## L'affaire ANTS (France Titres) : chronique d'un fiasco d'État

France Titres, ex-Agence nationale des titres sécurisés (ANTS), gère les données d'identité les plus sensibles des Français : passeports, permis de conduire, cartes grises. C'est précisément cet organisme qui a subi, en mars 2026, la fuite la plus embarrassante de l'année.

### Un mois de dérive silencieuse

| Date | Événement |
|---|---|
| 15 mars 2026 | Des ingénieurs de France Titres détectent un pic d'activité réseau anormal. Réflexe initial de l'administration : silence radio complet pendant un mois, le temps de chercher la faille en interne. |
| 13 avril 2026 | Le couperet tombe : l'ANTS confirme officiellement que des millions de données citoyennes ont été exfiltrées. |
| 15 avril 2026 | Notification officielle de la CNIL et saisine de l'ANSSI. L'agence envoie un email d'avertissement aux usagers, conclu par une formule lunaire : « Vous n'avez ainsi aucune démarche à accomplir ». |
| 16 avril 2026 | Le choc sur le dark web : un cybercriminel opérant sous le pseudonyme « breach3d » met en vente la base sur un forum criminel et revendique 18 à 19 millions d'enregistrements. Le chercheur Seblatombe, fondateur de FrenchBreaches, confirme publiquement la validité des données. |
| 21 avril 2026 | Bilan officiel du ministère de l'Intérieur : **11,7 millions de comptes** piratés. Laurent Nuñez saisit en urgence l'Inspection générale de l'administration (IGA). |
| 25 avril 2026 | L'Office anti-cybercriminalité (OFAC) remonte la piste numérique de « breach3d ». Fin de cavale : le pirate est arrêté chez lui, en Corse. |

Les données exposées sont celles qui alimentent les usurpations d'identité : noms, prénoms, dates et lieux de naissance, adresses email, numéros de téléphone et identifiants uniques. Dire aux victimes qu'elles n'ont « aucune démarche à accomplir » revient à ignorer que ces informations circulent désormais dans les circuits du phishing et de la fraude.

### Le profil du pirate : un adolescent de 15 ans face à la République

Le profil de l'auteur est très loin des clichés hollywoodiens. Pas d'agent d'une puissance étrangère, ni de génie du code militaire : un **adolescent de 15 ans**, scolarisé et socialement isolé, un « script kiddie » autodidacte qui passe ses journées sur des canaux Discord et Telegram.

Sa motivation relève de l'ego virtuel : recherche d'adrénaline, de buzz et de reconnaissance auprès de ses pairs. Une métaphore d'avocat résume bien le phénomène : « Pour ces jeunes, pirater une infrastructure d'État, c'est comme faire un Top 1 sur Fortnite ». Le phénomène est national : le SIRASCO recense **31 interpellations similaires** de jeunes hommes de 13 à 23 ans sur la période. Mis en examen le 29 avril 2026 par le parquet de Paris, l'adolescent encourt malgré son âge jusqu'à sept ans d'emprisonnement et 300 000 euros d'amende.

### La faille technique : l'IDOR, la honte absolue de la cybersécurité

Comment un adolescent a-t-il plié un ministère ? Aucune vulnérabilité sophistiquée de type zero-day n'a été utilisée. La brèche repose sur une faille logique élémentaire : une **IDOR** (Insecure Direct Object Reference), c'est-à-dire une référence directe à un objet sans contrôle d'autorisation.

{{< admonition example "L'IDOR en pratique" >}}
1. Le pirate se connecte à son propre compte usager, parfaitement légitime.
2. Il observe la requête envoyée au serveur : `moncompte.ants.gouv.fr/api/usager?id=12345`.
3. Il modifie manuellement le chiffre dans l'URL : `id=12346`.
4. Le serveur lui renvoie instantanément les données privées de l'usager suivant, **sans vérifier s'il en a le droit**.
5. Un simple script automatisé incrémente ensuite les identifiants et aspire 11,7 millions de fiches en continu.
{{< /admonition >}}

Cette erreur d'architecture est si basique qu'elle est enseignée en **première semaine d'école informatique** pour être évitée. C'est aussi l'un des tout premiers contrôles d'un [test d'intrusion applicatif](https://trackflaw.com/services) : vérifier que chaque ressource accessible via un identifiant est bien protégée par un contrôle d'autorisation côté serveur.

## L'hécatombe quantitative : un siphonnage de masse

Le piratage de l'ANTS n'est pas un cas isolé, c'est le point culminant d'une série noire. Depuis début 2026, la quasi-totalité de la population active française a vu ses informations personnelles de base compromises.

### Les méga-fuites qui ont terrassé la France

- **France Travail (ex-Pôle Emploi)** : 43 millions de personnes touchées, soit toute la population active sur vingt ans.
- **Viamedis et Almerys** : 33 millions de Français victimes du vol de leur numéro de sécurité sociale via le tiers payant.
- **Cegedim Santé (février 2026)** : 15 millions de patients exposés, historique de facturation et données administratives.
- **ÉduConnect (avril 2026)** : 3,5 millions d'élèves et de familles piratés, avec exactement la **même faille IDOR** que l'ANTS.
- **FICOBA (Bercy, janvier 2026)** : 1,2 million de comptes bancaires compromis par simple vol des identifiants d'un agent.

### Le paradoxe des volumes et de la lenteur française

La France notifie moins d'incidents bruts que ses voisins, signe d'un manque de culture de la détection. Mais une fois touchée, elle affiche une lenteur de réaction dramatique.

| État | Violations notifiées (2024) | Violations notifiées (2025) | Délai moyen de détection et de confinement |
|---|---|---|---|
| Pays-Bas | 33 471 | 39 773 | Non spécifié |
| Allemagne | 27 829 | 34 467 | Non spécifié |
| France | environ 4 700 | 5 629 | **284 jours** |
| Italie | Non spécifié | Non spécifié | 186 jours |
| Royaume-Uni | Non spécifié | Non spécifié | 210 à 284 jours |

Conséquence directe de ce délai de 284 jours : les attaquants disposent de **neuf mois** pour revendre, exploiter et diffuser les données avant que l'État ne ferme la vanne.

## L'ANSSI et la gouvernance grippée de l'État

Si la situation est celle-là, l'État n'y est pas pour rien. Elle résulte d'un enchaînement de décisions gouvernementales tardives ou inabouties.

### Les aveux de Vincent Strubel au Sénat

Le **4 mai 2026**, devant une commission d'enquête sénatoriale, le directeur général de l'ANSSI brise le tabou de la souveraineté :

- il dénonce des « angles morts » majeurs de la sécurité nationale ;
- le chiffrement des données ne protège pas du droit extraterritorial américain (Cloud Act) ;
- l'ANSSI considère désormais comme « crédible » le risque de coupure unilatérale de services cloud critiques par des géants étrangers ;
- le label SecNumCloud n'est plus présenté comme un bouclier magique, mais comme un outil très partiel.

### Le fiasco législatif de la directive NIS2

La directive européenne NIS2 doit imposer des règles de sécurité strictes à plus de **15 000 entités critiques** françaises. Son calendrier illustre l'inertie nationale : échéance de transposition manquée le 17 octobre 2024, rappel à l'ordre et avis motivé de la Commission européenne en mai 2025, projet de loi bloqué à l'Assemblée nationale par les instabilités politiques, adoption finale repoussée à fin 2026. Soit **deux ans de retard**.

### La misère budgétaire des ministères

Les budgets cyber des ministères français oscillent entre **1 % et 5 %** de leurs enveloppes informatiques, alors que l'ANSSI recommande un plancher minimal de **10 %** pour garantir une défense moderne. Fin avril 2026, Sébastien Lecornu annonce le déblocage en urgence de **200 millions d'euros** pour financer des « audits flashs » et déployer de l'IA de détection. De l'aveu même de la ministre déléguée au Numérique, ce n'est qu'un pansement temporaire qui ne rattrapera pas dix ans de dette technique accumulée.

{{< admonition tip "Un audit flash ne suffit pas" >}}
Un audit ponctuel photographie la sécurité d'un système à un instant T, alors que sa surface d'attaque change tous les jours. C'est pour cela que nous avons créé [Flawfence](https://flawfence.com) : une cartographie continue des actifs exposés, du shadow IT et des vulnérabilités, avec des agents IA qui reproduisent le raisonnement d'un auditeur offensif. Et quand un test d'intrusion humain reste nécessaire, [nos auditeurs](https://trackflaw.com/commande) interviennent.
{{< /admonition >}}

## Ce qui fonctionne : un écosystème privé solide mais étouffé

Tout n'est pas noir. L'écosystème industriel français privé est l'un des meilleurs d'Europe et pèse plus de **8 milliards d'euros**, avec des acteurs de classe mondiale comme Orange Cyberdefense, Thales ou Eviden, et des fleurons souverains capables de chiffrer et de détecter les menaces avec brio : Stormshield, Wallix, Sekoia.

La régulation est également redoutable. La CNIL est l'une des autorités les plus sévères d'Europe : la France est au **deuxième rang européen** pour le montant global des sanctions RGPD, avec plus d'un milliard d'euros d'amendes cumulées. Mais la loi punit après coup, et cela ne compense pas le manque de réflexes techniques opérationnels des administrations.

### Le facteur humain, le vrai maillon faible

**60 %** des failles de sécurité en France impliquent directement une erreur humaine : mot de passe faible, clic de trop sur un phishing, configuration oubliée ou accès administrateur temporaire jamais révoqué. L'ingénierie sociale reste la clé d'entrée de **80 %** des attaques d'ampleur. Aucune technologie ne protégera l'État si ses agents continuent d'ouvrir la porte aux attaquants.

## Pourquoi la cybersécurité de la France est-elle si mauvaise ? Les chiffres clés

| Chiffre | Ce qu'il dit |
|---|---|
| 1 % à 5 % | Budget cyber des ministères, contre un standard minimal recommandé de 10 % : l'État sous-investit massivement. |
| 284 jours | Temps moyen pour détecter et contenir une intrusion, plus de neuf mois, contre 186 jours en Italie. |
| 3 vols par jour | Rythme des fuites majeures subies par la France depuis le début de 2026. |
| 2e pays le plus touché | Rang de la France pour les fuites de données au premier trimestre 2026. |
| 43 M, 33 M, 11,7 M | France Travail, mutuelles, ANTS : aucun citoyen n'a été épargné. |
| 15 000 postes | Experts cyber manquants en France d'ici 2030. |

Ces statistiques n'expliquent pas tout. La pénurie de compétences est aggravée par des salaires publics peu attractifs et des exigences hors normes, en pleine concurrence avec l'intelligence artificielle. Et près de 60 % des failles proviennent d'une simple erreur ou manipulation interne.

## Questions fréquentes

### Suis-je concerné par le piratage de l'ANTS ?

Si vous avez effectué une démarche en ligne sur ants.gouv.fr (passeport, carte d'identité, permis, carte grise) et que vous possédiez un compte usager, vos données d'identité font probablement partie des 11,7 millions d'enregistrements exfiltrés. Redoublez de vigilance face aux emails et SMS se réclamant de l'administration.

### Qu'est-ce qu'une faille IDOR ?

Une IDOR (Insecure Direct Object Reference) est une vulnérabilité d'autorisation : l'application expose des ressources via un identifiant prévisible (numéro d'usager, de facture, de dossier) sans vérifier que l'utilisateur connecté a le droit d'y accéder. Elle figure dans la catégorie « Broken Access Control », première du classement OWASP Top 10.

### Que faire après une fuite de données ?

Changer les mots de passe des comptes concernés, activer la double authentification, surveiller ses relevés bancaires et ses démarches administratives, et se méfier de toute sollicitation utilisant les données fuitées pour paraître légitime. Les victimes peuvent également déposer plainte et signaler l'incident à la CNIL.

### Qu'est-ce que la directive NIS2 ?

NIS2 est la directive européenne sur la sécurité des réseaux et des systèmes d'information. Elle impose aux entités essentielles et importantes (énergie, santé, transports, administrations, numérique) des mesures de gestion des risques, des obligations de notification d'incident et des sanctions pouvant atteindre 2 % du chiffre d'affaires mondial.

## À retenir

La France ne manque ni de talents ni d'industriels de premier plan. Elle a cruellement manqué de budget et de vision stratégique. Une note d'espoir tout de même : l'enveloppe d'urgence de 200 millions d'euros débloquée après le piratage de l'ANTS, et entre 15 000 et 18 000 entreprises et administrations qui vont être légalement obligées de muscler leurs défenses sous peine d'amendes colossales.

En 2026, la cybersécurité n'est plus une option technique ni une corvée administrative. **C'est une arme de souveraineté nationale, et il est grand temps que l'État arrête de subir.**

## Sources

- RGPD Kit, [Piratage ANTS 2026 : bilan complet, hacker, données et RGPD](https://www.rgpdkit.fr/blog/piratage-ants-2026-bilan-complet-rgpd)
- Mac4Ever, [200 millions débloqués pour la cybersécurité en France, mais ça ne suffira pas](https://www.mac4ever.com/securite/196002-200-millions-debloques-pour-la-cybersecurite-en-france-mais-ca-ne-suffira-pas)
- info.gouv.fr, [France Titres : le point sur l'incident de sécurité](https://www.info.gouv.fr/actualite/france-titres-le-point-sur-l-incident-de-securite)
- France Titres (ANTS), [Incident de sécurité relatif au portail ants.gouv.fr](https://ants.gouv.fr/toute-l-actualite/incident-de-securite-relatif-au-portail-antsgouvfr)
- Leto, [Cyberdélinquance française : un profil jeune et isolé derrière les fuites de données](https://www.leto.legal/news/cyberdelinquance-francaise-jeune-isolee-fuites-donnees-2026)
- i-lead consulting, [Cyberattaques France 2026 : la liste à jour](https://www.i-leadconsulting.com/cyberattaques-france-2026/)
- All IT Network, [Les fuites de données en France : les plus ciblés de l'UE ?](https://all-it-network.com/fuites-de-donnees-france-vs-ue-statistiques-2026/)
- ISI Sec, [Cybersécurité news : menaces, acteurs et tendances clés en 2026](https://isisec.net/technologie/cybersecurite-news/)
- Solutions Numériques, [Commission d'enquête : l'ANSSI met en garde contre les angles morts de la souveraineté numérique](https://www.solutions-numeriques.com/commission-denquete-lanssi-met-en-garde-contre-les-angles-morts-de-la-souverainete-numerique/)
- Ornisec, [Directive NIS 2 : point de situation](https://www.ornisec.com/directive-nis-2-vers-une-cybersecurite-renforcee-en-europe-point-de-situation-06-25/)
- Make IT Safe, [NIS 2 : obligations, sanctions et stratégies de conformité](https://www.makeitsafe.fr/directive-nis2-renforcement-cybersecurite-entites-essentielles-ue/)
- Cybermalveillance.gouv.fr, [Guide cybersécurité des communes et intercommunalités](https://www.cybermalveillance.gouv.fr/medias/2025/09/anssi_amf-guide-cybersecurite_communes-et-intercommunalites.pdf)
- Groupe Factoria, [Statistiques cyberattaques 2025](https://www.factoria-groupe.fr/statistiquecyberattaque-pxl-36_22_221.html)
- Digitemis, [Stratégie cybersécurité 2026 : décryptage du plan national](https://www.digitemis.com/strategie-cybersecurite-2026-les-nouveaux-piliers-de-la-resilience/)