Piratage de l'ANTS : agir contre la crise de confiance

Tout un symbole ! En confirmant le 20 avril que le portail de l’ANTS, qui gère les démarches pour obtenir cartes d’identité, passeports ou encore permis de conduire, avait connu un incident de sécurité et une fuite de données, le ministère de l’Intérieur ne pouvait que provoquer la consternation du public. Difficile déjà de faire passer la pilule quand l’entité victime s’appelle justement « Agence nationale des titres sécurisés ». Et le fait que le chiffre massif de 11,7 millions de comptes puisse être concerné par une « divulgation de données » touchant l’un des piliers de l’action étatique, l’identité des citoyens, a aussi marqué les esprits. Quand une cyberattaque frappe une entreprise, par exemple un e-commerçant, le sentiment peut être de l’amertume pour les clients, mais il reste loin de l’atteinte à la confiance qu’amène un problème majeur sur une organisation au rôle systémique. Quand l’ANTS est touchée, c’est l’exemplarité de l’action publique qui en prend un coup, alors que celle-ci est déjà de plus en plus remise en question à d’autres niveaux, politiques ou économiques, ces dernières années.

Pire encore, ce genre de cas amène un sentiment de fatalité pour les citoyens : puisque tout est piratable, qu’est-ce qui est encore digne de confiance ? Avec, derrière, le risque de se résigner au chaos cyber et de se désintéresser des efforts et des pratiques dont on a plus que jamais besoin pour construire notre résilience numérique collective.

L'accumulation de précédents

Il faut dire que le cas de l’ANTS n’est pas isolé. Bercy avait déjà provoqué le malaise en février, en annonçant que les données du fichier national des comptes bancaires (FICOBA) de plus d’un million de personnes avaient été touchées. Et deux mois plus tôt, le ministère de l’Intérieur avait admis, de son côté, que des données sensibles liées aux antécédents judiciaires et aux personnes recherchées par la police, dont les « fiches S », avaient également connu des accès non autorisés. Là encore, des dizaines de millions d’individus étaient concernés. Mois après mois, la liste peut être allongée, et elle n’est évidemment pas l’apanage du secteur public. Toutefois, depuis deux ans, les services gouvernementaux font partie des cibles numéro un des cybercriminels. Le rapport « Anatomy of a Cyber World », édité récemment par Kaspersky Security Services, estime ainsi que ce secteur représente 19% de l’ensemble des incidents « de haute gravité » en 2025, devant l’industrie et les acteurs de la tech. Plus haut que les services financiers !

La députée de Seine-Maritime et vice-présidente de l'Assemblée nationale Marie-Agnès Poussier-Winsback s'est émue de la situation par communiqué. "La cyberattaque contre l'ANTS confirme ce que je dis depuis un an : les données d'identité des Français ne sont pas suffisamment protégées, et quand elles fuient, les victimes se retrouvent seules face à un système administratif cloisonné. Notifier la CNIL après chaque attaque ne suffit pas. Il faut une réponse systémique : un diagnostic interministériel, une coordination effective entre les administrations, et de vraies protections pour les victimes comme par exemple un mécanisme de suspension des procédures de recouvrement à l’encontre des victimes avérées, le temps de la procédure" écrit-elle, en annonçant porter le sujet dans le cadre des questions orales posées au gouvernement.

Les dégâts de l'effet d'annonce

Ces attaques inquiétantes ne sont pas forcément toutes des catastrophes qui rendent les autorités impuissantes. Des enquêtes ont lieu, des suspects peuvent être appréhendés, comme dans le cas du piratage des fiches S. Et les attaquants eux-mêmes ont tout intérêt à gonfler l’impact et le nombre de données dites « touchées ». Ainsi, pour l’ANTS, le pirate annonçant sur un forum détenir 18 millions de fichiers ne laisse voir que quelques exemples concrets. Difficile de savoir exactement ce qui se retrouve réellement dans la nature et ce qui sera concrètement exploité à des fins malfaisantes, notamment pour faciliter le phishing et l’usurpation d’identité.

Mais le problème n’est pas là : l’effet d’annonce, à lui seul, est destructeur. En première intention, il remet fondamentalement en cause la confiance que l’on doit avoir dans des services publics essentiels. La plupart des Français s’arrêteront aux gros titres signalant que 11,7 millions de leurs comptes ont été touchés dans l’un des « coffres-forts » supposés, en tout cas perçus comme tels, de l’État. Rares seront ceux qui iront voir les détails du hold-up ou qui suivront l’affaire et ses impacts réels dans les mois à venir. Les dégâts sont déjà faits.

Et en deuxième lame vient ensuite cet autre effet pervers : l’engourdissement face à la menace. Puisque celle-ci frappe sans cesse, y compris ceux dont on attend qu’ils soient notre bouclier au quotidien, pourquoi s’en préoccuper vraiment ? Le sentiment de fatalité crée du désengagement, un phénomène qui avait déjà été décrit il y a des années par des chercheurs américains qui s’interrogeaient sur les futurs possibles d’un monde où le cybercrime s’intensifierait encore et encore.

Créer de l'engagement et de la confiance

Dans ce contexte, il est plus que jamais essentiel de réagir : en s’indignant des failles de sécurité qui continuent d’exister, en poussant les organisations – notamment les plus systémiques – à investir davantage dans leur sécurité, quitte à sanctionner si les faiblesses ne se résorbent pas. France Travail en sait quelque chose, après avoir été condamné à une amende de 5 millions d’euros pour la fuite de données massive subie par l'organisme en 2024. Mais surtout, il est nécessaire de combattre le feu par le feu : avec une communication cyber à grande échelle, engageante, positive, auprès des citoyens. Afin que ce ne soient pas seulement les nombreux incidents majeurs de sécurité – ils ne manqueront pas d’avoir encore lieu dans les années à venir – qui occupent toujours les « unes » et les esprits. Avec un message : agir, se défendre et traduire en justice est possible. Pour que la confiance que nous demandons d'avoir dans les services numériques d'aujourd'hui et de demain ne soit pas usurpée.