Piratage de l'ANTS : des millions d'usagers exposés à un risque massif de phishing

Le ministère de l'Intérieur a confirmé le 20 avril 2026 une cyberattaque visant le portail de l'Agence nationale des titres sécurisés (ANTS), qui centralise les démarches liées aux cartes d'identité, passeports et permis de conduire. L'intrusion, détectée le 15 avril, a permis l'exfiltration des données personnelles de plusieurs millions d'usagers. La CNIL a été notifiée, le Parquet de Paris saisi — et l'incident relance la question de la résilience des grands systèmes d'information de l'État.

Ce qui s'est passé

L'accès non autorisé a visé la base des comptes usagers d'ants.gouv.fr. Les données compromises incluent, selon le ministère : nom, prénoms, date de naissance, adresse électronique, identifiant de connexion et identifiant unique du compte ANTS. Dans certains dossiers, s'ajoutent l'adresse postale, le lieu de naissance et le numéro de téléphone.

En revanche, les pièces jointes déposées lors des démarches — copies de cartes d'identité, passeports, justificatifs de domicile — n'auraient pas été impactées. Le ministère précise que « les données divulguées ne permettent pas, à elles seules, d'accéder directement aux comptes des usagers ». Une enquête interne a été lancée, en parallèle d'un signalement à la CNIL au titre de l'article 33 du RGPD et d'un avis à la Procureure de la République de Paris au titre de l'article 40 du Code de procédure pénale.

Pourquoi c'est important

Ce piratage s'inscrit dans une série noire pour les systèmes publics français. En janvier 2026, le FICOBA (fichier national des comptes bancaires) avait été accessible à la suite de l'usurpation des identifiants d'un fonctionnaire de Bercy : 1,2 million de comptes concernés. En avril, ÉduConnect exposait à son tour les données d'élèves. La fuite ANTS confirme que les plateformes d'identité numérique de l'État sont devenues une cible privilégiée — et que leur compromission ouvre la voie à des attaques d'ingénierie sociale massives.

Le risque principal est connu : phishing ciblé et usurpation d'identité. Les attaquants disposent désormais d'une base suffisamment précise pour fabriquer des emails et SMS crédibles, prétendument envoyés par l'ANTS, FranceConnect ou l'administration fiscale, afin de soutirer mots de passe, identifiants bancaires ou documents d'identité complémentaires. Le scénario est bien documenté dans notre guide sur l'identification d'un piratage de données personnelles.

Ce que ça change pour les organisations

Même si l'attaque vise un acteur public, elle rappelle trois obligations directement transposables à toute entité privée qui traite des données personnelles à l'échelle :

1. Notifier la CNIL dans les 72 heures. L'article 33 du RGPD impose une notification documentée dès qu'une violation est susceptible d'engendrer un risque pour les droits et libertés des personnes. Le ministère de l'Intérieur a respecté ce délai — et c'est précisément ce qui est attendu des responsables de traitement privés.

2. Informer individuellement les personnes concernées. Lorsque le risque est élevé, l'article 34 oblige à prévenir chaque personne touchée, en des termes clairs, et à lui indiquer les mesures qu'elle peut prendre. L'ANTS a opté pour une notification individuelle par email ou via le compte utilisateur : c'est le niveau attendu.

3. Documenter la réponse à incident. Chronologie de détection, périmètre exact, mesures correctives, décisions de communication : tout doit être consigné dans le registre des violations. Notre guide dédié à la gestion d'une violation de données détaille la procédure complète, du premier signal jusqu'au post-mortem.

Côté communication, les recommandations à relayer aux personnes concernées sont classiques : ne cliquer sur aucun lien non sollicité, vérifier l'authenticité des messages reçus, activer la double authentification sur tous les comptes publics (notamment FranceConnect), et signaler toute tentative de fraude au dispositif cybermalveillance.gouv.fr.

Ce que Leto pense de cette décision

La rapidité de la notification CNIL et du signalement judiciaire est à saluer — mais la répétition des incidents sur les infrastructures d'identité de l'État (FICOBA, ÉduConnect, ANTS en quelques mois) pose une question qui dépasse la conformité : celle de la cartographie et de la minimisation des accès. L'article 33 est un constat d'échec autant qu'un outil de transparence ; la vraie bataille se joue en amont, dans la segmentation des bases, la rotation des secrets et la supervision des accès privilégiés. Pour les DPO, la leçon est simple : une procédure de notification impeccable ne remplace jamais un plan de réduction de la surface d'attaque.

Sources :
• Silicon.fr — Piratage de l'ANTS : des millions d'usagers exposés (20 avril 2026)
• Portail ANTS — ants.gouv.fr
• CNIL — Les violations de données personnelles