ANTS / France Titres : 11,7 millions de comptes exposés, une faille IDOR évoquée mais jamais confirmée

L’Agence nationale des titres sécurisés (ANTS, désormais France Titres), qui gère en France la délivrance des cartes d’identité, passeports, permis de conduire et cartes grises, a détecté le 15 avril 2026 un incident de sécurité sur son portail moncompte.ants.gouv.fr. Le ministère de l’Intérieur a confirmé publiquement la fuite autour des 20-21 avril 2026, sans en décrire la cause technique. Selon l’attaquant et plusieurs analyses relayées par la presse spécialisée, la compromission reposerait sur une faille de type IDOR (Insecure Direct Object Reference) sur l’API du portail : en modifiant un identifiant dans les requêtes, il serait devenu possible d’accéder aux données d’autres usagers sans contrôle d’autorisation côté serveur. Ce mécanisme n’a pas été confirmé officiellement : dans sa réponse à une question parlementaire, publiée le 13 mai 2026, le ministre délégué Jean-Didier Berger ne décrit pas la faille et indique que les investigations en cours devront faire « toute la lumière » sur d’éventuels manquements.

Le ministère de l’Intérieur indique que les données exposées comprennent l’identifiant de connexion, la civilité, le nom, les prénoms, l’adresse e-mail, la date de naissance et l’identifiant unique du compte ; selon les profils, l’adresse postale, le lieu de naissance et le numéro de téléphone pourraient également être concernés, ainsi que, pour les comptes professionnels, les numéros d’habilitation ou d’agrément. Les autorités précisent que les données biométriques et les pièces justificatives téléversées (copies de titres, justificatifs de domicile) ne seraient pas affectées, et que les éléments divulgués ne permettraient pas d’accès illégitime aux comptes nominatifs.

Sur l’ampleur, deux chiffres circulent. Le ministère de l’Intérieur a confirmé environ 11,7 millions de comptes concernés le 21 avril, chiffre précisé à 11,67 millions dans la réponse du Gouvernement du 13 mai (chiffre officiel retenu ici). L’attaquant, se présentant sous le pseudonyme « breach3d », revendique de son côté jusqu’à 18-19 millions d’enregistrements, allégation non confirmée officiellement à ce stade. Le périmètre touche des personnes physiques résidant en France ainsi que des comptes professionnels.

Conformément à l’article 33 du RGPD, l’incident a été notifié à la CNIL. Un signalement a été transmis à la procureure de la République de Paris (article 40 du code de procédure pénale) et une enquête judiciaire a été ouverte, l’Office anti-cybercriminalité (OFAC) étant chargé des investigations. L’ANSSI et l’Inspection générale de l’administration ont également été saisies. Une réinitialisation de mot de passe a été imposée aux usagers, et le portail a été fermé le 24 avril à 19 h 30 pendant treize jours, le temps de le sécuriser et d’y déployer une identification multifacteur. Le Gouvernement a par ailleurs confirmé l’interpellation d’un adolescent de 15 ans, placé sous contrôle judiciaire.