ANTS piratée : 19M Français exposés sur le dark web

Les faits

L'Agence nationale des titres sécurisés (ANTS), rattachée au ministère de l'Intérieur et chargée de la production des titres officiels français — carte nationale d'identité, passeport, permis de conduire et titres de séjour —, a détecté le 15 avril 2026 un incident de sécurité majeur sur son portail ants.gouv.fr. L'agence a publiquement confirmé la compromission le 22 avril, sept jours après les premières alertes. Entre-temps, le 16 avril, un acteur malveillant opérant sous le pseudonyme « breach3d » avait mis en vente sur un forum du dark web un jeu de données présenté comme l'intégralité de la base usagers. Avec près de 19 millions de comptes concernés, ce que les experts désignent déjà comme l'affaire « ANTS piratage 19 millions » figure parmi les plus vastes fuites de données publiques recensées en France. Voici ce que révèle l'analyse de l'incident et les mesures à prendre.

Selon les extraits publiés par l'attaquant, les données concernent à la fois les comptes particuliers et professionnels et incluent les noms complets, les dates de naissance, les adresses postales, les emails, les numéros de téléphone, les identifiants de compte uniques ainsi que des métadonnées de sexe et d'état civil. L'incident a été notifié à la CNIL au titre de l'article 33 du RGPD, et le ministère a déposé plainte au parquet de Paris au titre de l'article 40 du Code de procédure pénale.

Impact et exposition

Le dataset ne contient pas de numéros de pièce d'identité ni de pièces justificatives scannées selon les éléments disponibles, mais la combinaison identité civile + email + téléphone + adresse postale suffit à alimenter des campagnes de phishing hautement ciblées. Les autorités françaises (CERT-FR, DGSI) ont alerté sur le risque immédiat : usurpation d'identité administrative, faux avis de renouvellement de titre, fausses convocations préfectorales, SIM swapping ciblé. Le jeu n'a pas encore été diffusé gratuitement ; il reste sous offre de vente, ce qui laisse une fenêtre étroite pour prévenir les victimes probables.

Recommandations

• Pour les citoyens concernés : vigilance renforcée sur tout email ou SMS faisant référence à l'ANTS, au renouvellement de carte d'identité ou de permis. Ne jamais cliquer sur un lien reçu par message, passer uniquement par ants.gouv.fr saisi à la main.
• Pour les DPO et RSSI d'administrations partenaires de l'ANTS : vérifier les flux d'intégration (API, webhooks) et révoquer toute clé d'API active avant fin avril.
• Pour les opérateurs télécoms : activer les mécanismes anti-SIM-swap et les vérifications d'identité renforcées sur les demandes de portabilité.
• Pour les banques et fintech : ajuster les modèles de détection de fraude pour intégrer les signaux issus de ce corpus (combinaisons identité/adresse/email cohérentes mais utilisées à des fins frauduleuses).

Contexte : une série noire pour les données administratives françaises

Cette fuite s'inscrit dans une séquence préoccupante d'incidents touchant les opérateurs publics français. En 2024, France Travail avait révélé une brèche affectant jusqu'à 43 millions de demandeurs d'emploi passés et présents, exploitée via des identifiants de conseillers compromis. La même année, l'Assurance Maladie confirmait une fuite similaire touchant environ 33 millions d'assurés, liée à des accès usurpés chez des professionnels de santé libéraux. L'incident ANTS s'ajoute donc à une liste d'organismes dépositaires de données d'identité civile ayant subi des compromissions massives en moins de deux ans, ce qui alimente un marché noir de plus en plus riche en profils français complets, agrégeables entre eux pour bâtir des dossiers d'usurpation d'identité très détaillés.

Le profil de l'attaquant « breach3d » correspond à un schéma désormais classique sur les forums clandestins spécialisés dans la revente de bases administratives : mise en vente progressive par lots, échantillons gratuits pour prouver l'authenticité du jeu, puis négociation privée avec des acheteurs ciblant spécifiquement la fraude documentaire ou le SIM swapping. Les experts en threat intelligence soulignent que le délai entre la mise en vente (16 avril) et la confirmation publique (22 avril) reste comparable aux standards du secteur, mais que la fenêtre de six jours a déjà pu permettre à des acheteurs early-access d'exploiter les données avant toute alerte officielle.

Un précédent qui interroge la sécurité des sous-traitants publics

Comme pour France Travail et l'Assurance Maladie, l'hypothèse d'un accès via un prestataire tiers ou un poste d'agent compromis (plutôt qu'une faille applicative directe sur ants.gouv.fr) est privilégiée par plusieurs observateurs, sans confirmation officielle à ce stade de l'enquête. Ce mode opératoire, basé sur le vol d'identifiants légitimes, contourne la plupart des protections périmétriques classiques et renforce l'argument en faveur d'une authentification multifacteur systématique et d'une supervision renforcée des accès à privilèges pour tout agent manipulant des données d'état civil. La CNIL, déjà mobilisée sur les dossiers France Travail et Assurance Maladie, dispose ainsi d'un troisième cas comparable pour étayer une éventuelle doctrine de sanction applicable aux opérateurs de titres régaliens.