12 millions de personnes dans la fuite de données ANTS

Le 20 avril 2026, l'ANTS (France Titres) — l'agence nationale française qui délivre les titres d'identité sécurisés tels que passeports, cartes nationales d'identité, permis de conduire et certificats d'immatriculation — a confirmé une fuite massive de données personnelles depuis son portail de comptes en ligne, moncompte.ants.gouv.fr. L'intrusion a été détectée le 15 avril et révélée les jours suivants, le ministère de l'Intérieur en confirmant l'ampleur le 20 avril.

Les chercheurs en sécurité ont attribué la fuite à une vulnérabilité de type IDOR (Insecure Direct Object Reference) dans l'API du portail : en modifiant un simple identifiant dans une requête, un attaquant pouvait parcourir et récupérer les données d'autres usagers. Le lendemain de la détection, un acteur malveillant utilisant le pseudonyme « breach3d » a mis en vente le jeu de données dérobé sur un forum criminel, revendiquant jusqu'à 18-19 millions d'enregistrements — tandis que le ministère de l'Intérieur a établi le chiffre officiel à 11,7 millions de comptes concernés.

Les données exposées comprenaient :

• Identifiant de connexion, civilité/sexe et identifiant de compte
• Nom complet, date de naissance et lieu de naissance
• Adresse e-mail, adresse postale et numéro de téléphone

Les documents d'identité numérisés et autres pièces jointes téléversés par les usagers à l'appui de leurs demandes de titres n'auraient pas été concernés par la fuite. France Titres a indiqué que les champs exposés ne permettent pas à eux seuls un accès non autorisé à ses portails, tout en appelant les usagers à la plus grande vigilance face aux tentatives d'hameçonnage et aux messages suspects exploitant ces données.

L'agence a corrigé la vulnérabilité et notifié la CNIL et l'ANSSI, et a déposé plainte auprès du parquet de Paris. Les investigations sur la fuite et la mise en vente des données étaient en cours au moment de la divulgation.