Le 15 avril 2026, un adolescent français exploite une faille IDOR sur le portail France Titres et accède aux données de 11,7 millions de comptes, déclenchant un plan cyber étatique de 200 millions d’euros.
L’intrusion détectée le 15 avril 2026 sur le portail moncompte.ants.gouv.fr restera comme l’une des compromissions les plus humiliantes qu’ait subies l’administration française. Cinq jours plus tard, le ministère de l’Intérieur reconnaissait officiellement l’exposition des données personnelles de 11,7 millions d’usagers de l’Agence nationale des titres sécurisés, désormais baptisée France Titres. L’organisme gère l’ensemble des titres d’identité et de circulation du pays : cartes d’identité, passeports, permis de conduire, cartes grises.
L’auteur présumé, qui opère sous le pseudonyme « breach3d », revendique pour sa part une base comprise entre 18 et 19 millions d’enregistrements, qu’il a mise en vente sur des forums cybercriminels. La technique employée ne relevait d’aucune sophistication : une simple faille IDOR, erreur de conception que l’OWASP classe au premier rang de ses dix risques applicatifs mondiaux depuis 2021. Pas de rançongiciel, pas de malware, juste une requête HTTP modifiée. L’attaquant avait 15 ans.
Le 30 avril, le Premier ministre Sébastien Lecornu s’est rendu dans les locaux de France Titres pour annoncer un plan de rattrapage sans précédent : 200 millions d’euros consacrés à la cybersécurité des infrastructures d’État. L’incident survient alors que la France vient de basculer au rang de deuxième pays le plus piraté au monde, avec 23,5 millions de comptes compromis au seul premier trimestre 2026.
La Corse maintenue en vigilance orange canicule : 34 degrés attendus ce dimanche, orages au centre
Chronologie d’une fuite détectée en quinze jours
Le piratage s’est déroulé sur une séquence courte. L’intrusion a été détectée le 15 avril 2026 sur le portail usager de France Titres. Cinq jours plus tard, le 20 avril, le ministère de l’Intérieur publiait un communiqué officiel confirmant l’accès non autorisé aux données de 11,7 millions de comptes[1]. Entre ces deux dates, l’agence a saisi la CNIL, l’ANSSI et la procureure de la République de Paris, conformément aux obligations du RGPD qui impose une notification dans un délai de 72 heures.
Le ministre de l’Intérieur Laurent Nuñez a saisi l’Inspection générale de l’administration pour établir la chaîne de responsabilité. Ce délai de communication, bien que conforme sur le plan réglementaire, a nourri une partie de la controverse publique : l’annonce est intervenue alors que des données circulaient déjà sur des forums underground.
| Date | Événement |
|---|---|
| 15 avril 2026 | Détection de l’intrusion sur moncompte.ants.gouv.fr |
| 15-20 avril 2026 | Notification CNIL, ANSSI, procureure de Paris |
| 20 avril 2026 | Communication publique du ministère de l’Intérieur |
| 30 avril 2026 | Annonce du plan cyber de 200 millions d’euros par Sébastien Lecornu |
Source : Tech Insider
Éclipse du 12 août : 10 000 lunettes gratuites pour les Franciliens dans les bases de loisirs
L’attaquant n’a laissé aucune trace de chiffrement ni de demande de rançon. Il s’agissait d’une exfiltration pure, à des fins de revente.
Une faille IDOR, premier risque applicatif mondial
La mécanique de l’attaque repose sur une vulnérabilité IDOR, pour Insecure Direct Object Reference. Concrètement, l’application web permettait d’accéder aux données d’un usager en modifiant un simple identifiant dans l’URL ou dans une requête HTTP. Aucun contrôle d’accès ne vérifiait que l’utilisateur connecté était bien autorisé à consulter les informations demandées.
L’OWASP, référence mondiale en matière de sécurité applicative, classe ce type de faille dans la catégorie « Broken Access Control », en tête de son Top 10 depuis 2021. Autrement dit, le risque le plus documenté, le plus enseigné et le plus facilement évitable a suffi à faire tomber la plateforme d’identité de l’État français.
L’incident n’est pas isolé. La même classe de vulnérabilité a frappé ÉduConnect, exposant 3,5 millions d’élèves, puis Tchap, la messagerie chiffrée de l’État. À chaque fois, la faille résidait dans la conception même de l’application, pas dans un logiciel tiers compromis ou dans une chaîne d’approvisionnement infectée.
Pourquoi la faille IDOR reste le premier risque en France
11,7 millions de comptes, mais quelle nature de données ?
Le ministère de l’Intérieur a confirmé l’exposition de 11,7 millions de comptes. Les données compromises incluent des informations personnelles : noms, identifiants, numéros de téléphone, adresses. Selon le Center for Strategic and International Studies, la base mise en vente sur des forums underground comporterait entre 11 et 18 millions d’enregistrements[5].
L’écart entre le chiffre officiel et les revendications du pirate s’explique probablement par des doublons ou des comptes inactifs. France Titres n’a pas précisé si des données de titres eux-mêmes (numéros de passeport, de permis ou de carte d’identité) figuraient dans la fuite. L’agence a en revanche appelé les citoyens à redoubler de vigilance face aux tentatives de hameçonnage ciblé, une conséquence classique des fuites à grande échelle.
La France au deuxième rang mondial des pays piratés
L’affaire ANTS intervient dans un contexte de dégradation rapide. Selon l’étude de surveillance des violations de données publiée par Surfshark, 23,5 millions de comptes français ont été compromis au premier trimestre 2026, en hausse de 108,6 % par rapport au trimestre précédent[3]. Ce chiffre place la France au deuxième rang mondial, derrière les États-Unis qui totalisent 60,3 millions de comptes exposés sur la même période.
La série d’incidents s’est enchaînée : l’ANTS en avril, ÉduConnect avec 3,5 millions d’élèves touchés, Tchap, la plateforme Jeveuxaider.gouv.fr, l’Agence du service civique. En mai 2026, l’Insee a révélé une compromission touchant 12 800 agents. Les dix plus grosses violations recensées en France depuis 2023 ont exposé au moins 145 millions d’enregistrements[4].
Ce classement ne reflète pas seulement une augmentation du nombre d’attaques : il traduit aussi une surface d’exposition élargie, avec la numérisation accélérée des services publics et une culture de la sécurité applicative encore en retard sur les standards internationaux.
Un plan cyber de 200 millions d’euros annoncé dans l’urgence
Le 30 avril, le Premier ministre Sébastien Lecornu a annoncé, depuis les locaux de France Titres, un plan de renforcement de la cybersécurité de l’État doté de 200 millions d’euros. Ce budget vise à financer des audits applicatifs systématiques, le recrutement de profils spécialisés et la mise à niveau des plateformes les plus critiques.
L’annonce intervient moins de deux semaines après la révélation publique de la fuite. La rapidité de la réponse politique témoigne de l’ampleur de l’onde de choc : une administration centrale compromise par un adolescent de 15 ans, avec une technique répertoriée depuis une décennie.
Le plan s’inscrit dans un calendrier réglementaire européen tendu. La directive NIS 2, qui devait être transposée en droit français avant octobre 2024, ne l’est toujours pas. La loi Résilience, censée l’intégrer, est bloquée depuis vingt mois. Ce retard expose les 15 000 entités critiques françaises à un vide juridique alors même que les sanctions européennes pour non-conformité se précisent.
Qui est l’auteur de l’attaque ?
Les autorités françaises ont identifié l’auteur présumé comme un citoyen français de 15 ans. Aucune information publique n’a été communiquée sur son profil, ses motivations ou son environnement. L’ANSSI et la procureure de Paris ont ouvert une enquête, mais aucune arrestation n’a été annoncée à ce stade.
Le pseudonyme « breach3d » circule sur plusieurs forums cybercriminels, où la base de données ANTS a été mise en vente. La revendication de 18 à 19 millions d’enregistrements, supérieure au chiffre officiel, pourrait s’expliquer par l’inclusion de doublons, de comptes inactifs ou par une stratégie de valorisation commerciale de la fuite.
L’affaire pose une question de fond sur la capacité de détection précoce des administrations françaises. La faille IDOR exploitée aurait dû être identifiée lors d’un audit de sécurité classique, avant toute mise en production.
Cyberattaque ANTS 2026 : les faits marquants
- Le 15 avril 2026, France Titres détecte une intrusion sur moncompte.ants.gouv.fr
- 11,7 millions de comptes exposés via une faille IDOR, première vulnérabilité applicative mondiale
- L'auteur présumé, 15 ans, revendique 18 à 19 millions d'enregistrements mis en vente
- Le 30 avril, Sébastien Lecornu annonce un plan cyber de 200 millions d'euros
- La France au 2e rang mondial des pays piratés : 23,5 millions de comptes au T1 2026
- Même classe de faille sur ÉduConnect, Tchap, Jeveuxaider.gouv.fr et l'Insee en 2026
Sources
4 sources · 4 faits vérifiés
