Imprimerie Nationale : fuite du logiciel qui traite les titres sécurisés français

Le 18 avril 2026, IN Groupe — entreprise publique française anciennement connue sous le nom d'Imprimerie Nationale, qui conçoit les cartes nationales d'identité, les passeports électroniques, les permis de conduire et des solutions d'identité numérique sécurisée pour la France et de nombreux gouvernements étrangers — est cité dans une annonce publiée sur un forum cybercriminel proposant à la vente un logiciel interne attribué au groupe.

L'acteur malveillant met en vente ce qu'il décrit comme « Smart Card Middleware Desktop », un composant logiciel présenté comme s'inscrivant dans l'écosystème français des titres sécurisés. Selon l'annonce, ce logiciel gère l'interaction avec les cartes à puce, les certificats numériques, le cycle de vie des clés cryptographiques et des équipements matériels sécurisés spécialisés. Le vendeur le présente comme offrant un aperçu du fonctionnement interne de l'infrastructure d'identité plutôt que comme une fuite de données personnelles.

Les capacités décrites pour le composant divulgué incluraient :

• La gestion et le provisionnement des cartes à puce
• L'accès aux certificats racine et le traitement des certificats numériques
• La gestion du cycle de vie des clés cryptographiques
• Des modules de signature électronique
• L'interaction avec des composants matériels sécurisés

Le vecteur d'attaque reste incertain, et ce matériel pourrait provenir de développements anciens, d'un sous-traitant tiers, d'un poste de travail compromis, ou être sorti de son contexte. Aucune fuite de données personnelles n'a été confirmée et le risque tient surtout à une exposition architecturale susceptible d'aider des adversaires à étudier le système et à rechercher des vulnérabilités dans l'infrastructure d'identité française. À ce stade, IN Groupe n'a pas confirmé publiquement l'authenticité du matériel ni si ses systèmes ont été directement compromis, laissant le statut de l'incident inconnu. Cette vente est distincte de la fuite de données de l'ANTS (Agence Nationale des Titres Sécurisés) signalée en France quelques jours plus tard, vers le 20 avril 2026.