En avril 2026, le portail de l’ANTS, l’Agence Nationale des Titres Sécurisés a été piratée. Cette agence gère les demandes de carte grise pour les véhicules, les titres d’identité : permis de conduire, carte d’identité, passeport de passeport et l’application France Identité. Entre 18 et 19 millions de données de Français sont potentiellement dans la nature.
Ces données précises, actualisées et confirmées par l’Etat ont une valeur conséquente et peuvent permettre des arnaques « spear-phishing » très élaborées. Il faut donc être d’autant plus vigilant
Le spear phishing : une arnaque sur mesure, conçue juste pour vous.
Le phishing (ou hameçonnage) classique consiste à envoyer un même courriel ou un format de mail légèrement personnalisé à un large public.
Le spear phishing (ou harponnage) vise des individus spécifiques et crée une arnaque à partir des données connues sur cette personne. C’est un mail qui mentionne nom, adresse, plaque d’immatriculation ou un service récemment utilisé.
Avec la fuite de l’ANTS, ce sont des données confirmée et validée par l’Etat qui sont disponibles pour les hackers. Ce premier « profil » pourra rapidement être enrichi avec un agent IA qui ira collecter et croiser les données disponibles sur Internet.
Quels scénarios d’attaques sont susceptibles d’être activés ?
Les scénarios d’attaques sont nombreux et limités à la seule imagination des arnaqueurs :
- Un mail provenant de votre employeur pour confirmer une prime de partage de la valeur ajoutée
- Un email d’un fournisseur habituel indiquant une évolution de RIB
- Le commerçant du coin qui demande de cliquer pour laisser un avis ou un j’aime afin de l’aider à gagner en visibilité
- etc.
Le scénario auquel tout le monde peut penser, notamment avec les données de carte grise, est un faux mail ou un faux courrier papier de l’ANTAI (Agence Nationale de Traitement Automatisé des Infractions) :
L’attaquant connait votre adresse. Eventuellement que vous êtes en vacances, (Ah cette habitude d’en faire profiter sa famille et ses amis en postant ses photos de vacances sur les réseaux sociaux). Vous recevez un avis de stationnement irrégulier 35€ à régler sous 15 jours, sous peine de majoration. Ce peut être un léger excès de vitesse également. Le nom, l’adresse de l’infraction et la plaque d’immatriculation sont cohérents. Le format graphique de l’ANTAI est impeccable.
La somme est modique. L’urgence est créée sous peine de majoration. La situation est crédible. Un clic sur le lien ou le scan d’un QR Code. La page qui s’ouvre ressemble à celle de l’ANTAI. Des coordonnées bancaires à rentrer. Une page confirme le paiement.
Mais il n’y avait ni contravention, ni page ANTAI.
Uniquement un formulaire qui vient de capter vos coordonnées bancaires…
4 points essentiels à garder en tête après cette énième fuite de données
Au-delà de la fuite de données de l’ANTS, il convient de garder en tête ces points essentiels :
- Le message contient un grand nombre de données personnelles exactes et cohérentes, vous concernant ? Cela ne signifie pas que l’email est sûr. Ça n’a jamais été le cas. Mais il y aura de moins en moins d’incohérence.
- L’expéditeur ne se fait pas passer pour l’ANTS ou de l’ANTAI ? Ce ne sera pas forcément le cas. Les données peuvent être utilisés dans d’autres mises en scène.
- L’attaque ne passera pas forcément par un mail. Ce peut être un SMS, un appel téléphonique, quelqu’un qui demande à vérifier certaines informations. Cela peut également être un courrier papier, souvent avec un QR code falsifié. La mécanique est identique. Seul le canal de diffusion change.
- L’attaque ne se fera pas immédiatement. Elle peut avoir lieu dans 3 mois, 6 mois, 2 ans. Les données seront encore fiables. Mais vous aurez oublié cette fuite de données.
Comment s’y préparer et limiter les risques ?
- Une règle essentielle à mettre en pratique : Ne jamais cliquer sur un lien dans un mail ou un SMS, Ne jamais scanner un QR code dans un courrier papier. Il faut passer par un moteur de recherche et rechercher le site officiel. Ainsi les adresses frauduleuses seront évitées.
- Activer la double authentification sur l’ensemble des comptes sensibles. C’est une protection essentielle lorsqu’un identifiant est compromis.
- Utiliser systématiquement des données bancaires temporaires (via votre espace bancaire). Ce qui limite fortement les risques si vous entrez vos coordonnées dans une fausse interface.
