Par Yasmine Douadi - experte en cybersécurité et PDG de RiskIntel Média et du Risk Summit Jusqu'à 19 millions de Français sont concernés par le piratage de l'Agence Nationale des Titres Sécurisés (ANTS). Bien au-delà du sinistre, cette affaire révèle une contradiction profonde : l'État centralise des données qu'il est structurellement incapable de protéger et prépare pourtant une loi qui en exigera des millions de plus. Ce dernier piratage compromet les données couvrant l'état civil, les identifiants du site, les adresses électroniques, postales et numéros de téléphone. Tout circule désormais sur le dark web, mis en vente par un pirate dissimulé derrière la photo de Pablo Escobar. La litanie des fuites de données invite en général le public à une forme d'apathie. Les commentateurs, dont je fais partie, insistent quant à eux sur la nécessaire résilience de la société française et sur les bonnes pratiques à adopter pour se défendre face au tsunami d'arnaques...
Par Yasmine Douadi - experte en cybersécurité et PDG de RiskIntel Média et du Risk Summit
Jusqu'à 19 millions de Français sont concernés par le piratage de l'Agence Nationale des Titres Sécurisés (ANTS). Bien au-delà du sinistre, cette affaire révèle une contradiction profonde : l'État centralise des données qu'il est structurellement incapable de protéger et prépare pourtant une loi qui en exigera des millions de plus.
Ce dernier piratage compromet les données couvrant l'état civil, les identifiants du site, les adresses électroniques, postales et numéros de téléphone. Tout circule désormais sur le dark web, mis en vente par un pirate dissimulé derrière la photo de Pablo Escobar.
La litanie des fuites de données invite en général le public à une forme d'apathie. Les commentateurs, dont je fais partie, insistent quant à eux sur la nécessaire résilience de la société française et sur les bonnes pratiques à adopter pour se défendre face au tsunami d'arnaques en ligne qui se prépare. Mais cette énième actualité pose une question plus profonde sur le rôle régalien de l'État dans le cyberespace. Car s'il est impossible d'écarter à 100 % tout risque cyber, est-il nécessaire de multiplier les opportunités pour les pirates de capter un grand volume de données en les centralisant aux mêmes endroits?
Le site de l'ANTS n'est pas une création des cybercriminels, pas plus que celui de France Travail ou les fichiers FICOBA. La fuite ayant affecté France Travail a concerné les données de 43 millions de personnes, soit la quasi-totalité de la population active en mars 2024. On nous assurait que FICOBA était une forteresse imprenable, avant qu'un acteur malveillant n'en extraie 1,2 million d'IBAN en usurpant les identifiants d'un simple fonctionnaire. La sécurité des données en France tient donc du discours tandis que les fuites, elles, tiennent des faits.
La vérification d'âge comme jackpot pour pirates
C'est dans ce contexte que le législateur a choisi de bâtir l'un des dispositifs les plus intrusifs jamais imaginés : la vérification généralisée de l'âge pour accéder aux réseaux sociaux. Adoptée en première lecture par l'Assemblée nationale le 26 janvier 2026, la proposition de loi prévoit d'interdire l'accès aux réseaux sociaux aux moins de 15 ans dès septembre. L'intention est louable car qui pourrait décemment s'opposer à la protection des enfants? Le mécanisme est cependant un désastre annoncé.
Car que demande-t-on concrètement aux Français? De scanner leur pièce d'identité et de l'envoyer à un «tiers de confiance», un prestataire privé chargé de vérifier leur âge avant de transmettre une attestation anonymisée au réseau social concerné. On appelle cela le double anonymat», un vocable rassurant qui masque une réalité bien plus triviale : la concentration, chez quelques acteurs privés, de millions de documents d'identité numérisés. Autrement dit, on crée de toutes pièces une île au trésor pour les pirates du monde entier.
L'État ne peut pas toutfaire ettout centraliser
La cyber-résilience théorisée depuis longtemps par les experts ne consiste pas uniquement à survivre après une cyberattaque. Elle consiste à adopter des systèmes anti-fragiles, qui tiennent et minimisent les impacts en cas d'intrusion en segmentant un réseau, en divisant les bases de données ou en réduisant les droits d'accès au strict minimum. Face à la cybermenace, c'est la société dans son ensemble qui doit être envisagée comme un système résilient. L'État semble prendre le chemin inverse.
De quel droit l'État peut-il contraindre ses citoyens à divulguer massivement et de façon centralisée des données biométriques qu'il est, par essence, incapable de protéger ?Il ne peut à la fois nous protéger et nous exposer dans le même mouvement quasi schizophrénique. Ce risque n'est pas virtuel. Quand les données des détenteurs de crypto-monnaies fuitent, et elles fuitent, ce ne sont pas des abstractions qui se retrouvent exposées : ce sont des vies et des familles ciblées par des cambrioleurs ou des kidnappeurs. La vraie question n'est donc pas de savoir si le système de vérification d'âge sera piraté. La vraie question est : quand ?