Fuite de données sur le portail ANTS : des milliers d'usagers potentiellement concernés
Encore une fuite de données ! Après Educonnect ( notre article du 15 avril 2026 ), plusieurs fuites liées au système Compas ou encore l'application de gestion des établissements du premier degré dans l'enseignement catholique, c'est au tour de l'Agence nationale des titres sécurisés. L'ANTS a détecté le 15 avril 2026 un incident de sécurité susceptible d'avoir entraîné la divulgation de données personnelles issues de comptes particuliers et professionnels du portail ants.gouv.fr. Le ministère de l'Intérieur a rendu l'information publique lundi 20 avril 2026 dans un communiqué de presse.
Les données potentiellement compromises comprennent des éléments d'identification – identifiant de connexion, civilité, nom, prénoms, adresse électronique, date de naissance, identifiant unique de compte – ainsi que, pour certains comptes, des informations complémentaires telles que l'adresse postale, le lieu de naissance ou le numéro de téléphone. Le ministère précise que les pièces jointes transmises dans le cadre des démarches administratives ne sont pas concernées, et que les données exposées ne permettent pas d'accès illégitime aux comptes.
Une précision à moitié rassurante car le risque réside dans le croisement de plusieurs fuites de données, qui permettrait de constituer une base de données et de reconstituer des profils.
L'incident a pris une dimension judiciaire : le parquet de Paris a confirmé avoir reçu un signalement de l'ANTS daté du 16 avril, faisant état d'une mise en vente sur le darkweb de données issues du portail. Les investigations ont été confiées à l'Office anti-cybercriminalité (OFAC). Conformément au RGPD, l'incident a par ailleurs été notifié à la Cnil et l'Anssi a été alertée.
Les usagers concernés font l'objet d'une information personnalisée. Le ministère leur recommande la plus grande vigilance face à d'éventuels messages suspects (SMS, appel, email) se présentant comme émanant de l'ANTS, et rappelle que toute mise en vente ou diffusion des données constitue une activité illégale.
Rappelons que l'authentification multifacteur, dont l'absence est à l'origine de plusieurs fuites va être généralisée d'ici deux ans (notre article du 13 avril 2026). Pour les systèmes d'information "à enjeux" d'ici le 28 février 2027, et sur tous les autres, un an après.
