ANTS / France Titres : 11,7 millions de comptes exposés - l'autopsie

Le 21 avril 2026, le ministère de l’Intérieur a mis un chiffre sur l’« incident de sécurité » du portail ants.gouv.fr : « 11,7 millions de comptes seraient concernés ». Neuf jours plus tard, le parquet de Paris révélait l’autre versant de l’affaire : « entre 12 et 18 millions de lignes de données » proposées à la vente sur des forums cybercriminels par un hacker surnommé « breach3d » — et la garde à vue d’un adolescent de 15 ans, présumé innocent, soupçonné d’y avoir contribué.

Deuxième volet de notre série « Autopsies d’attaques » après le dossier France Travail, cette enquête reconstitue l’affaire à partir des seules sources primaires : communiqués du ministère de l’Intérieur, communiqué du parquet de Paris, alertes officielles de l’ANTS, de l’ANTAI et de la DGCCRF. Et elle raconte une histoire en deux actes que les communiqués, pris isolément, ne racontent pas : avant d’être victime d’une fuite, l’ANTS était déjà l’appât favori de tout un écosystème de phishing. La fuite d’avril 2026 ne crée pas ce risque — elle le suralimente.

À retenir

• L’ampleur : « 11,7 millions de comptes seraient concernés » par la divulgation de données du portail ants.gouv.fr (ministère de l’Intérieur, point d’étape du 21 avril 2026) ; le parquet de Paris évoque « entre 12 et 18 millions de lignes de données » proposées à la vente sur des forums cybercriminels (communiqué du 30 avril 2026). Des lignes ne sont pas des comptes : les deux chiffres coexistent, chacun avec sa source.
• Les données : des données d’identification — identifiant de connexion, civilité, nom, prénoms, adresse électronique, date de naissance, identifiant unique du compte, et le cas échéant adresse postale, lieu de naissance, téléphone. Les pièces jointes et les données de biométrie sont exclues à ce stade des investigations, et ces données « ne permettent pas d’accès illégitime au compte nominatif sur le portail » (ministère de l’Intérieur, 20-21 avril 2026).
• La chronologie : activité inhabituelle confirmée sur le réseau le 13 avril 2026 (parquet), incident détecté le mercredi 15 avril (ministère), parquet avisé le 16 avril, annonce publique le 20 avril, garde à vue le 25 avril, information judiciaire le 29 avril.
• Le vecteur : non divulgué officiellement. Ni le ministère ni le parquet ne précisent le mode opératoire ; les investigations visent à « déterminer précisément l’origine de l’incident et son ampleur ».
• Le suspect : un mineur de 15 ans, placé en garde à vue le 25 avril 2026, soupçonné de s’être dissimulé sous le pseudonyme « breach3d ». Sa mise en examen et son placement sous contrôle judiciaire ont été requis par le parquet le 29 avril — le communiqué ne les dit pas prononcés. Il est présumé innocent.
• La leçon : la fuite alimente directement l’écosystème de faux sites carte grise, fausses amendes et faux courriels « ANTS » que l’ANTAI, l’ANTS et la DGCCRF documentaient dès 2024-2025. L’État lui-même appelle les usagers à « la plus grande vigilance » face aux messages « émanant en apparence de l’ANTS » : la boucle est bouclée.

Le dossier en chiffres

11,7 M

de comptes concernés

Ministère de l'Intérieur, 21 avril 2026

12 à 18 M

de lignes de données proposées à la vente

Parquet de Paris, 30 avril 2026

5 jours

entre la détection (15 avril) et l'annonce publique (20 avril)

Ministère de l'Intérieur, 20 avril 2026

10 jours

de la détection à une garde à vue

Parquet de Paris, 30 avril 2026

Chronologie

Chronologie

Le fil des événements

1. 18 octobre 2024

   L'ANTAI alerte sur les fausses amendes

   « Depuis plusieurs mois, des SMS, courriels ou courriers frauduleux vous proposent de régulariser ou contester des amendes impayées sur de faux sites administratifs en collectant illicitement vos données personnelles ou vos coordonnées bancaires. » Les faux sites collectent « numéro fiscal, numéro permis de conduire, carte d'identité ou passeport, certificat de cession ou destruction de véhicule… ».

   Source — ANTAI, actualité du 18/10/2024

2. 7 et 12 janvier 2025

   Les professionnels de l'automobile hameçonnés

   Des courriels frauduleux intitulés « Contrôle de conformité - Statut de votre AGRÉMENT SIV » et « Contrôle de Conformité - Vérification de VOTRE CLÉ SIV » sont diffusés, avec une adresse d'expéditeur usurpant dgfip.finances.gouv.fr, pour voler les accès au système d'immatriculation des véhicules.

   Source — ANTS / France Titres, alerte du 14/01/2025

3. 14 janvier 2025

   L'ANTS publie son alerte officielle

   « Une opération de hameçonnage "phishing" visant à récupérer indûment les données d'accès au SIV des professionnels de l'automobile habilités est en cours. » L'agence rappelle qu'« aucun service de l'Etat ne demandera aux professionnels de l'automobile habilités des informations relatives à leurs habilitations ou agrément SIV, certificats numériques ou codes secrets ».

   Source — ANTS / France Titres, 14/01/2025

4. 10 février 2025

   La DGCCRF documente les faux sites gouvernementaux

   Bercy Infos consacre une fiche aux « sites miroirs » qui imitent les administrations. La carte grise et le permis de conduire figurent parmi les démarches ciblées : « certains sites facturent l'immatriculation d'un véhicule alors que la démarche peut être réalisée sur le site officiel de l'Agence nationale des titres sécurisés (ANTS) ».

   Source — DGCCRF / Bercy Infos Particuliers, 10/02/2025

5. Avril 2026

   12 à 18 millions de lignes en vente

   « L'OFAC (Office anti-cybercriminalité) avait été informé en avril d'une cyberattaque au préjudice de l'agence. » Entre 12 et 18 millions de lignes de données étaient proposées à la vente sur des forums cybercriminels par un hacker surnommé « breach3d », écrit le parquet.

   Source — Parquet de Paris, communiqué du 30/04/2026

6. 13 avril 2026

   Activité inhabituelle sur le réseau

   « L'ANTS confirmait une activité inhabituelle sur son réseau le 13 avril 2026, et l'authenticité des données revendues. »

   Source — Parquet de Paris, communiqué du 30/04/2026

7. 15 avril 2026

   Détection de l'incident

   « Mercredi 15 avril 2026, l'agence nationale des titres sécurisés (ANTS) a détecté un incident de sécurité pouvant impliquer une divulgation de données issues de comptes particuliers et professionnels du portail ants.gouv.fr. »

   Source — Ministère de l'Intérieur, communiqué du 20/04/2026

8. 16 avril 2026

   Le parquet de Paris ouvre une enquête

   La section de lutte contre la cybercriminalité du parquet de Paris, avisée, ouvre immédiatement une enquête des chefs d'accès et maintien frauduleux dans un système de traitement automatisé de données personnelles mis en œuvre par l'État et d'extraction frauduleuse de données — « délits faisant encourir la peine de 7 ans d'emprisonnement et 300 000 euros d'amende ».

   Source — Parquet de Paris, communiqué du 30/04/2026

9. Semaine du 13 avril 2026

   Premiers courriels aux usagers

   « Une communication à l'attention directe des usagers a débuté la semaine passée », indique le point d'étape du 21 avril : au 21 avril, tous les titulaires d'un compte professionnel concerné ont été informés par courriel ; l'information des particuliers est en cours.

   Source — Ministère de l'Intérieur, point d'étape du 21/04/2026

10. 20 avril 2026

    L'annonce publique

    Le ministère de l'Intérieur publie son communiqué : incident notifié à la CNIL au titre de l'article 33 du RGPD, signalement transmis à la procureure de la République de Paris en application de l'article 40 du code de procédure pénale, ANSSI alertée.

    Source — Ministère de l'Intérieur, communiqué du 20/04/2026

11. 21 avril 2026

    11,7 millions de comptes

    Point d'étape : « 11,7 millions de comptes seraient concernés. » L'enquête judiciaire est « depuis confiée à l'Office Anti-Cybercriminalité » ; le ministre de l'Intérieur « saisit en parallèle l'Inspection générale de l'administration pour établir la chaîne de responsabilité dans cet incident sérieux ». Changement du mot de passe demandé à la prochaine connexion.

    Source — Ministère de l'Intérieur, point d'étape du 21/04/2026

12. 22 avril 2026

    info.gouv.fr récapitule — avec une coquille

    Le portail du Gouvernement publie sa page « France Titres : le point sur l'incident de sécurité » (modifiée le 24 avril). Elle situe par erreur la détection « le 15 mars » — les communiqués du ministère de l'Intérieur des 20 et 21 avril indiquent bien le mercredi 15 avril 2026.

    Source — info.gouv.fr, 22/04/2026 ; ministère de l'Intérieur, 20-21/04/2026

13. 25 avril 2026

    Un adolescent de 15 ans en garde à vue

    « Le 25 avril, un mineur âgé de 15 ans a été placé en garde à vue, soupçonné d'avoir contribué à la fuite de données au préjudice de l'ANTS. » Les investigations ont conduit les enquêteurs à le soupçonner de s'être dissimulé sous le pseudonyme « breach3d ». Il est présumé innocent.

    Source — Parquet de Paris, communiqué du 30/04/2026

14. 29 avril 2026

    Information judiciaire ouverte

    « Une information judiciaire a été ouverte le 29 avril 2026 par le parquet de Paris. La mise en examen et le placement sous contrôle judiciaire du mineur ont été requis » — requis par le parquet, non prononcés dans le communiqué. « Les investigations se poursuivent désormais sous la direction du juge d'instruction. »

    Source — Parquet de Paris, communiqué du 30/04/2026

15. 30 avril 2026

    Le parquet communique

    Communiqué de presse de la procureure de la République de Paris, Laure Beccuau, récapitulant l'enquête, la garde à vue et l'ouverture de l'information judiciaire.

    Source — Parquet de Paris, 30/04/2026

16. 9 juillet 2026

    Cybermalveillance.gouv.fr rappelle les pièges

    Le dispositif national publie « Faire ses démarches administratives en ligne en évitant les pièges » : arnaques au paiement, piratage de compte et hameçonnage — « aucune administration ne vous contactera pour vous demander vos informations personnelles et bancaires, des copies de documents d'identité ou vos mots de passe ».

    Source — Cybermalveillance.gouv.fr, 09/07/2026

Acte 1 : l’ANTS, appât favori des escrocs (2024-2025)

Pour comprendre ce que la fuite d’avril 2026 change vraiment, il faut d’abord mesurer ce qui existait avant. L’Agence nationale des titres sécurisés — rebaptisée France Titres — gère les démarches en ligne de la carte grise, du permis de conduire et des titres d’identité. Des démarches obligatoires, anxiogènes, souvent payantes : le terrain de chasse idéal.

Les fausses amendes et les faux sites (ANTAI, octobre 2024)

Le 18 octobre 2024, l’ANTAI — l’agence qui gère les amendes — publiait une alerte au titre sans ambiguïté, « Attention aux SMS, courriels et sites frauduleux ! » : « Depuis plusieurs mois, des SMS, courriels ou courriers frauduleux vous proposent de régulariser ou contester des amendes impayées sur de faux sites administratifs en collectant illicitement vos données personnelles ou vos coordonnées bancaires. » L’agence signalait même de faux courriers papier — avis de contravention et lettres de rappel — renvoyant vers des sites frauduleux conçus pour collecter « numéro fiscal, numéro permis de conduire, carte d’identité ou passeport, certificat de cession ou destruction de véhicule… ». Et elle rappelait une règle simple : « l’ANTAI n’envoie jamais de SMS ».

Les professionnels de l’automobile ciblés (ANTS, janvier 2025)

Le 14 janvier 2025, c’est l’ANTS elle-même qui alertait : « Une opération de hameçonnage “phishing” visant à récupérer indûment les données d’accès au SIV des professionnels de l’automobile habilités est en cours. » Les courriels, diffusés les 7 et 12 janvier 2025, portaient des objets administratifs très crédibles — « Contrôle de conformité - Statut de votre AGRÉMENT SIV », « Contrôle de Conformité - Vérification de VOTRE CLÉ SIV » — et usurpaient une adresse d’expéditeur en dgfip.finances.gouv.fr, prétendument signés « ANTS - Expertise et Services, Service Vérification ».

La cible mérite qu’on s’y arrête : pas les particuliers, mais les professionnels habilités au SIV, le système d’immatriculation des véhicules. Autrement dit, les garages, concessionnaires et prestataires qui détiennent des accès privilégiés au système. Le parallèle avec l’affaire France Travail, où l’attaque est passée par les comptes d’un partenaire, est frappant : dans les deux cas, les attaquants visent le maillon habilité, pas la forteresse. L’ANTS le rappelait alors : « Aucun service de l’Etat ne demandera aux professionnels de l’automobile habilités des informations relatives à leurs habilitations ou agrément SIV, certificats numériques ou codes secrets. »

Les « sites miroirs » (DGCCRF, février 2025)

Le 10 février 2025, Bercy Infos publiait la synthèse de la DGCCRF sur les faux sites gouvernementaux : « des pages Web qui imitent les sites officiels d’administrations publiques, afin de vous faire croire que vous accédez à un service public et ainsi vous voler de l’argent ou vos informations personnelles ». Parmi les démarches ciblées, la fiche citait explicitement la carte grise — « certains sites facturent l’immatriculation d’un véhicule alors que la démarche peut être réalisée sur le site officiel de l’Agence nationale des titres sécurisés (ANTS) » — et le permis de conduire, avec ses « frais abusifs » pour la consultation des points ou un duplicata.

La DGCCRF décrivait aussi la mécanique d’usurpation d’identité des institutions : de faux emails « officiels », ornés d’« un en-tête ou un logo Marianne et drapeau français », prétendument envoyés par la Sécurité sociale, la DGFIP, la CAF ou la Police nationale — le même procédé que nous documentions pour les faux emails impots.gouv.

Fin 2025, le décor est donc planté : autour des titres sécurisés gravite un écosystème rodé de faux sites, de fausses amendes et de faux courriels, officiellement documenté par trois administrations. Il ne lui manque qu’une chose pour changer d’échelle : des données fraîches et fiables sur les personnes qui ont réellement un compte ANTS.

Acte 2 : la fuite (avril 2026)

Ce que disent les communiqués officiels

Le 20 avril 2026, le ministère de l’Intérieur publie son communiqué : « Mercredi 15 avril 2026, l’agence nationale des titres sécurisés (ANTS) a détecté un incident de sécurité pouvant impliquer une divulgation de données issues de comptes particuliers et professionnels du portail ants.gouv.fr. »

Le périmètre des données, « sous réserve des investigations en cours », est précis : « identifiant de connexion, civilité, nom, prénoms, adresse électronique, date de naissance, identifiant unique du compte ; et le cas échéant, d’autres données qui ne sont pas systématiquement présentes dans les comptes : adresse postale, lieu de naissance, téléphone ». Le communiqué circonscrit aussi ce qui n’a pas fuité : « La divulgation des données ne concerne pas les données complémentaires transmises dans le cadre de la réalisation des différentes démarches, telles que les pièces jointes. Ces données personnelles ne permettent pas d’accès illégitime au compte du portail. »

Le lendemain, 21 avril, le point d’étape donne le chiffre : « 11,7 millions de comptes seraient concernés. » Et il ajoute une exclusion importante : « À ce stade, les investigations menées excluent la divulgation de données complémentaires transmises dans le cadre de la réalisation des différentes démarches, telles que les pièces jointes et les données de biométrie. »

Ce que dit la justice

Le communiqué de la procureure de la République de Paris, Laure Beccuau, daté du 30 avril 2026, éclaire l’amont de la détection : « L’OFAC (Office anti-cybercriminalité) avait été informé en avril d’une cyberattaque au préjudice de l’agence. Entre 12 et 18 millions de lignes de données étaient proposées à la vente sur des forums cybercriminels, par un hacker surnommé “breach3d”. L’ANTS confirmait une activité inhabituelle sur son réseau le 13 avril 2026, et l’authenticité des données revendues. »

Autrement dit : c’est la mise en vente des données qui matérialise l’affaire, et l’agence confirme à la fois une activité inhabituelle sur son réseau — dès le 13 avril selon le parquet, l’incident étant détecté le 15 selon le ministère — et l’authenticité de ce qui circule sur les forums.

La suite judiciaire est rapide. « La section de lutte contre la cybercriminalité du parquet de Paris, avisée le 16 avril 2026, avait immédiatement ouvert une enquête » pour accès et maintien frauduleux dans un système de traitement automatisé de données personnelles mis en œuvre par l’État et extraction frauduleuse de données — des « délits faisant encourir la peine de 7 ans d’emprisonnement et 300 000 euros d’amende ». Le 25 avril, « un mineur âgé de 15 ans a été placé en garde à vue, soupçonné d’avoir contribué à la fuite de données ». Les investigations ont conduit les enquêteurs « à soupçonner le mineur de s’être dissimulé sous le pseudonyme “breach3d” ».

Le 29 avril, une information judiciaire est ouverte : « La mise en examen et le placement sous contrôle judiciaire du mineur ont été requis » pour des faits d’atteintes (accès, maintien, extraction, transmission, détention, entrave au fonctionnement) à un système de traitement automatisé de données personnelles mis en œuvre par l’État, et de détention d’équipement ou de programme permettant de commettre ces atteintes. Précision essentielle : le communiqué dit que la mise en examen a été requise par le parquet, pas qu’elle a été prononcée par le juge d’instruction. Le suspect est mineur — aucun élément permettant de l’identifier ne doit être diffusé, et il est présumé innocent. Dix jours séparent la détection de l’incident de cette garde à vue.

Ce que personne ne dit : le vecteur

Sur le mode opératoire de l’intrusion, les sources officielles sont muettes. Le communiqué du 20 avril indique seulement que les investigations « visent à déterminer précisément l’origine de l’incident et son ampleur » et que « des mesures de renforcement de la sécurité pour assurer la continuité des services du portail et la protection des données ont été mises en place ». À la date de publication de cet article, aucun vecteur technique n’a été confirmé publiquement — ni par le ministère, ni par le parquet, ni par la CNIL. Nous nous en tenons donc aux faits établis, et la chaîne d’attaque ci-dessous est construite sur ce qui est documenté : l’écosystème préexistant, la mise en vente, la détection, la réaction.

La chaîne d’attaque : ce qui est documenté

Chaîne d'attaque

Comment l'intrusion s'est déroulée

Reconstitution à visée défensive — chaque maillon compris est un maillon que l’on peut casser.

1. 01

   Un écosystème d'appâts déjà en place

   Dès 2024-2025, faux sites carte grise et permis, fausses amendes et courriels usurpant l'ANTS ou la DGFIP ciblent particuliers et professionnels — documentés par l'ANTAI (18/10/2024), l'ANTS (14/01/2025) et la DGCCRF (10/02/2025).

2. 02

   Une intrusion au vecteur non divulgué

   Les sources officielles ne précisent pas le mode opératoire : les investigations « visent à déterminer précisément l'origine de l'incident et son ampleur » (ministère de l'Intérieur, 20/04/2026). Aucun vecteur technique n'a été confirmé publiquement.

3. 03

   La mise en vente sur les forums

   Entre 12 et 18 millions de lignes de données sont proposées à la vente sur des forums cybercriminels par un hacker surnommé « breach3d » ; l'OFAC en est informé en avril (parquet de Paris, 30/04/2026).

4. 04

   Confirmation et détection

   L'ANTS confirme une activité inhabituelle sur son réseau le 13 avril et l'authenticité des données revendues (parquet, 30/04/2026) ; l'incident est détecté le 15 avril (ministère, 20/04/2026).

5. 05

   La réaction institutionnelle

   Notification CNIL (article 33 RGPD), signalement article 40 à la procureure de Paris, ANSSI alertée, enquête confiée à l'OFAC, Inspection générale de l'administration saisie (ministère, 20 et 21/04/2026).

6. 06

   La boucle de rétroaction phishing

   Les données d'identification divulguées crédibilisent précisément les arnaques de l'acte 1 : l'État lui-même recommande « la plus grande vigilance » face aux messages « émanant en apparence de l'ANTS » (ministère, 20/04/2026).

Ce que cette chaîne a d’inhabituel, c’est son premier et son dernier maillon. L’affaire ANTS ne commence pas le 13 avril 2026 : elle commence dans un écosystème criminel qui, depuis des mois, avait fait des titres sécurisés son fonds de commerce. Et elle ne s’arrête pas à la mise en vente : chaque ligne de données revendue est une munition pour les campagnes suivantes. Le communiqué ministériel du 20 avril le dit à sa manière : « Aucune intervention n’est attendue de la part des usagers. Nous leur recommandons cependant de faire preuve de la plus grande vigilance quant aux prochains messages suspects ou inhabituels qu’ils pourraient recevoir (SMS, appel, email, etc.) émanant en apparence de l’ANTS. » Quand le principal conseil officiel après une fuite est « méfiez-vous des messages qui semblent venir de nous », c’est que la fuite a changé de nature : elle est devenue un problème de phishing.

Les données compromises

Reprenons la liste ministérielle : identifiant de connexion, civilité, nom, prénoms, adresse électronique, date de naissance, identifiant unique du compte — et, pour une partie des comptes, adresse postale, lieu de naissance et téléphone.

Pas de mot de passe utilisable, pas de données bancaires mentionnées, pas de pièces jointes ni de biométrie : à première vue, une fuite « bénigne » comparée aux 25 Go de France Travail. Ce serait une lecture dangereuse, pour deux raisons.

D’abord, le contexte vaut de l’or. Savoir qu’une adresse email précise correspond à un titulaire de compte ANTS, avec son état civil complet et son téléphone, permet de fabriquer le message frauduleux parfait : la relance de « dossier carte grise incomplet », le « permis de conduire prêt à être expédié », la « photo d’identité non conforme ». Chaque donnée vraie insérée dans le message — votre nom exact, votre date de naissance — augmente sa crédibilité. C’est le mécanisme de tout email frauduleux efficace : le vrai au service du faux.

Ensuite, l’écosystème de l’acte 1 est prêt à consommer ces données. Les faux sites carte grise décrits par la DGCCRF, les fausses amendes de l’ANTAI, les faux courriels « ANTS - Expertise et Services » : toute cette infrastructure d’escroquerie existait avant la fuite. Elle disposait d’appâts ; elle dispose désormais d’un fichier de 11,7 millions de cibles qualifiées. C’est la définition même d’une boucle de rétroaction : le phishing visait l’ANTS, la fuite de l’ANTS nourrit le phishing.

Enfin, sur les chiffres, la prudence s’impose dans les deux sens. Les « 12 à 18 millions de lignes » du parquet ne contredisent pas les « 11,7 millions de comptes » du ministère : une ligne n’est pas un compte (doublons, enregistrements multiples, champs éclatés), et une annonce sur un forum criminel est aussi un argument commercial, que son auteur a intérêt à gonfler. Les investigations sur « l’ampleur » exacte étaient toujours en cours à la date des communiqués.

La réponse de l’État

Notification, signalement, saisines

Sur le volet réglementaire et judiciaire, le communiqué du 20 avril déroule la mécanique complète : « Conformément à l’article 33 du règlement relatif à la protection des données personnelles (RGPD), l’incident a été notifié à la commission nationale de l’informatique et des libertés (CNIL) et un signalement a été transmis à la Procureure de la République de Paris en application de l’article 40 du code de procédure pénale en vue de l’ouverture d’une enquête. L’Agence nationale de la sécurité des systèmes d’information (ANSSI) a été alertée. »

Le point d’étape du 21 avril ajoute deux éléments. L’enquête judiciaire a été « depuis confiée à l’Office Anti-Cybercriminalité » — l’OFAC, le service de police spécialisé. Et le ministre de l’Intérieur « saisit en parallèle l’Inspection générale de l’administration pour établir la chaîne de responsabilité dans cet incident sérieux, la sûreté numérique étant un enjeu collectif majeur » : au-delà de l’enquête pénale sur l’attaquant, une enquête administrative interne sur les responsabilités.

L’information des usagers

L’information directe des usagers a commencé la semaine du 13 avril : au 21 avril, « l’ensemble des usagers disposant d’un compte professionnel concerné par l’incident a été informé par courriel », l’information des particuliers étant « toujours en cours de réalisation ». Le serveur vocal de l’ANTS a été modifié pour intégrer l’incident comme motif d’appel, et les capacités de traitement des appels augmentées. Côté consignes : aucune démarche obligatoire, « nonobstant le changement du mot de passe du compte à la prochaine connexion, dans un souci d’hygiène numérique renforcée », et la vigilance face aux messages semblant émaner de l’ANTS.

Comparée à l’affaire France Travail — détection le 29 février 2024, annonce publique le 13 mars —, la séquence ANTS est rapide : détection le mercredi 15 avril, communiqué national le lundi 20, chiffrage public le 21, et une garde à vue dès le 25. On notera aussi la promesse de méthode : « Dans un souci de transparence sur l’action publique menée, des points d’étape seront effectués chaque fois que nécessaire. »

Une note sur les dates

Deux pièges de dates guettent quiconque documente cette affaire. Primo, la page récapitulative d’info.gouv.fr (publiée le 22 avril, modifiée le 24) écrit que France Titres a détecté l’incident « le 15 mars dernier » — une coquille manifeste : les deux communiqués du ministère de l’Intérieur, sources primaires, datent la détection du « mercredi 15 avril 2026 » (le 15 mars 2026 était d’ailleurs un dimanche). Secundo, le parquet évoque une « activité inhabituelle » sur le réseau confirmée par l’ANTS « le 13 avril », deux jours avant la « détection » ministérielle du 15 : les deux formulations ne sont pas contradictoires — confirmer un signal réseau n’est pas encore qualifier un incident de sécurité — mais illustrent pourquoi chaque date doit être citée avec sa source.

Ce qu’une PME doit en retenir

Une fuite d’État, un suspect adolescent, l’OFAC et l’IGA : tout cela peut sembler loin d’une entreprise de 20 ou 200 personnes. Les mécanismes sous-jacents, eux, ne le sont pas du tout.

1. Votre fuite est le phishing de demain — celui de vos clients

La leçon centrale du dossier ANTS : une fuite de « simples » données d’identification arme des campagnes de phishing contre les personnes fichées. Si votre base clients fuit, ce sont vos clients qui recevront de faux emails à votre en-tête, citant leurs vraies commandes. Préparez ce scénario dans votre plan de réponse : qui informe les clients, dans quel délai, avec quel message de vigilance ? Le ministère l’a fait en cinq jours, avec un chiffre au sixième — c’est le standard auquel vous serez comparé, et c’est aussi ce qu’exige l’article 34 du RGPD quand le risque est élevé.

2. Surveillez ce qui se vend — la fuite se voit souvent dehors avant dedans

Dans cette affaire, l’OFAC est informé d’une mise en vente sur des forums cybercriminels, et l’ANTS confirme ensuite l’activité inhabituelle et l’authenticité des données. La surveillance externe (mentions de votre domaine, identifiants de vos salariés dans les dumps, annonces citant votre marque) est un capteur de détection à part entière, complémentaire de vos journaux internes — dont l’affaire France Travail a montré ce qu’il en coûte de ne pas les regarder.

3. Votre marque est un appât : traitez le typosquatting comme un risque de sécurité

L’ANTS était usurpée bien avant d’être piratée. Vos clients aussi peuvent recevoir des factures au nom de votre entreprise, vos fournisseurs des « changements de RIB » signés de votre comptable. Surveillez les dépôts de domaines proches du vôtre, et verrouillez l’usurpation de votre domaine email : SPF, DKIM et DMARC correctement configurés — l’alerte ANTS de janvier 2025 le montre, avec une adresse DGFIP usurpée en expéditeur. En cas de doute sur un message reçu, notre analyseur d’en-têtes email permet de vérifier ce que le canal technique raconte vraiment.

4. Minimisez ce que vous stockez : on ne vous vole pas ce que vous n’avez pas

La fuite ANTS est « limitée » aux données d’identification parce que les pièces jointes et la biométrie n’étaient pas concernées — et c’est ce qui sépare un incident sérieux d’une catastrophe. Posez-vous la question pour chaque champ de votre CRM et chaque document conservé : en avons-nous encore besoin ? Un scan de pièce d’identité gardé « au cas où » est un passif, pas un actif.

5. Entraînez vos équipes sur les scénarios « administration »

Relance URSSAF, amende à régler, dossier carte grise du véhicule de société, « contrôle de conformité » : les prétextes administratifs fonctionnent parce qu’ils sont crédibles, urgents et impersonnels — et l’acte 1 de ce dossier prouve qu’ils sont massivement industrialisés, y compris contre les professionnels. Le facteur humain est impliqué dans 62 % des violations de données (Verizon DBIR 2026 — voir nos statistiques du phishing en France). La simulation de phishing sur ces scénarios précis reste le moyen le plus direct de mesurer, puis de réduire, la vulnérabilité réelle de vos équipes.

Verdict

Le dossier ANTS restera comme un cas d’école, pour trois raisons. Par son objet, d’abord : le portail qui délivre les titres sécurisés de la République — cartes grises, permis, pièces d’identité — c’est-à-dire l’infrastructure même de la confiance administrative. Par sa temporalité judiciaire, ensuite : dix jours entre la détection et une garde à vue, un record dans les annales des méga-fuites françaises — même si l’instruction, s’agissant d’un mineur présumé innocent dont la mise en examen a seulement été requise, ne fait que commencer.

Par sa structure en boucle, surtout. L’histoire officielle de cette affaire, mise bout à bout, se lit ainsi : des escrocs usurpent l’ANTS pendant deux ans ; l’ANTS subit une fuite ; l’État recommande aux victimes de se méfier… des messages qui semblent venir de l’ANTS. Chaque fuite de données d’identification renforce l’écosystème d’usurpation qui, souvent, l’a précédée. C’est vrai pour une agence d’État à 11,7 millions de comptes ; c’est vrai, à l’échelle, pour n’importe quelle entreprise et son fichier clients.

Retrouvez cet incident et plus de 100 autres dans notre base de données des cyberattaques en France.

FAQ

Suis-je concerné par la fuite ANTS ? Potentiellement, si vous avez un compte particulier ou professionnel sur ants.gouv.fr : « 11,7 millions de comptes seraient concernés » (ministère de l’Intérieur, 21 avril 2026). L’information des usagers par courriel est engagée ; aucune démarche n’est attendue, hormis le changement de mot de passe à la prochaine connexion et une vigilance renforcée face aux messages semblant émaner de l’ANTS.

Quelles données ont fuité ? Des données d’identification : identifiant de connexion, civilité, nom, prénoms, email, date de naissance, identifiant du compte, et pour certains comptes adresse postale, lieu de naissance, téléphone. Pièces jointes et biométrie exclues à ce stade ; pas d’accès illégitime possible au compte selon le ministère.

Comment reconnaître un faux site carte grise ? Vérifiez l’URL (le site officiel est ants.gouv.fr ; méfiance envers .com, .net et les variantes), les paiements inattendus pour des démarches gratuites, les mentions légales et la qualité du site — et ne vous fiez ni aux premiers résultats sponsorisés des moteurs de recherche, ni au cadenas HTTPS (DGCCRF, 10 février 2025).

Que risque-t-on avec les données volées ? Du phishing, du smishing et du vishing ultra-ciblés : les données d’identification permettent de fabriquer de faux messages « ANTS » crédibles renvoyant vers les faux sites documentés dès 2024-2025, pour voler cette fois données bancaires et documents d’identité.

Qui est soupçonné ? Un adolescent de 15 ans, placé en garde à vue le 25 avril 2026, soupçonné de s’être dissimulé sous le pseudonyme « breach3d ». Sa mise en examen a été requise par le parquet le 29 avril — non prononcée dans le communiqué. Il est présumé innocent (parquet de Paris, 30 avril 2026).

11,7 millions ou 12 à 18 millions ? 11,7 millions de comptes concernés (ministère, 21 avril) ; 12 à 18 millions de lignes proposées à la vente (parquet, 30 avril). Une ligne n’est pas un compte, et les investigations sur l’ampleur exacte se poursuivent.

---

Sources :

• Ministère de l’Intérieur, « Incident de sécurité relatif au portail ants.gouv.fr », communiqué de presse, 20 avril 2026 : interieur.gouv.fr — version archivée du 21/04/2026 (consultées le 05/09/2026)
• Ministère de l’Intérieur, « Incident de sécurité relatif au portail ants.gouv.fr : point d’étape du 21 avril 2026 », 21 avril 2026 : interieur.gouv.fr — version archivée du 22/04/2026 (consultées le 05/09/2026)
• Gouvernement, « France Titres : le point sur l’incident de sécurité », info.gouv.fr, publié le 22 avril 2026, modifié le 24 avril 2026 : info.gouv.fr (consulté le 05/09/2026). Note : cette page situe la détection « le 15 mars » ; il s’agit d’une coquille — les communiqués du ministère de l’Intérieur des 20 et 21 avril 2026 datent la détection du mercredi 15 avril 2026.
• Parquet du tribunal judiciaire de Paris, communiqué de presse de la procureure de la République, « interpellation fuite de données ANTS », 30 avril 2026 : tribunal-de-paris.justice.fr (PDF) (consulté le 05/09/2026)
• ANTS / France Titres, « Envoi de courriels frauduleux à destination des professionnels habilités à l’automobile », 14 janvier 2025 : ants.gouv.fr (consulté le 05/09/2026)
• DGCCRF / Bercy Infos Particuliers, « Démarches administratives en ligne : comment repérer un faux site gouvernemental ? », 10 février 2025 : economie.gouv.fr (consulté le 05/09/2026)
• ANTAI, « Attention aux SMS, courriels et sites frauduleux ! », 18 octobre 2024 : antai.gouv.fr (consulté le 05/09/2026)
• Cybermalveillance.gouv.fr, « Faire ses démarches administratives en ligne en évitant les pièges », 9 juillet 2026 : cybermalveillance.gouv.fr (consulté le 05/09/2026)
• Verizon, Data Breach Investigations Report 2026 : verizon.com (consulté le 05/09/2026)

Note : les communiqués officiels sont fréquemment dépubliés au fil des refontes de sites ; les liens archive.org ci-dessus garantissent l’accès aux versions citées. Le suspect étant mineur, cet article ne reprend aucun élément d’identification le concernant, conformément à la loi. Le vecteur technique de l’intrusion n’ayant été confirmé par aucune source officielle, cet article s’abstient de le qualifier.