Piratage de l'ANTS : un hacker de 17 ans se rend aux gendarmes

Il se fait appeler "NormalLeVrai". Ce hacker de 17 ans a revendiqué l'attaque informatique contre l'ANTS, l'agence qui gère les titres d'identité en France, ainsi que celle visant l'opérateur SFR. Après l'arrestation d'un de ses complices, il s'est rendu de lui-même à la gendarmerie il y a quelques jours, selon un reportage diffusé par Franceinfo en novembre 2026.

L'adolescent a d'abord avoué les faits à son père.

« Je savais qu'il était doué, mais pas à ce point. La connerie, elle est faite. Maintenant, t'assumes. », Le père du hacker, cité par Franceinfo.

Un apprenti du bâtiment devenu revendeur de données

Déscolarisé après la troisième, NormalLeVrai est devenu apprenti dans le bâtiment et a appris l'informatique seul, sur Internet, le soir après ses journées de chantier.

Il affirme avoir amassé jusqu'à 150 000 euros en crypto-monnaie en revendant des données volées. Le piratage de l'ANTS a exposé les données de 12 millions de Français, rappelle Franceinfo. L'intéressé encourt 7 ans de prison et 300 000 euros d'amende.

« Au moment des faits, on ne se rendait pas compte. C'est vrai qu'avec du recul, c'est une bêtise d'adolescent qui n'est vraiment pas à reproduire. », NormalLeVrai, adolescent de 17 ans, auteur revendiqué de l'attaque de l'ANTS.

Un profil type : mineur, isolé, actif sur les forums

Ce cas n'est pas isolé. Une note du Sirasco, le service de renseignement sur la criminalité organisée, a analysé 31 individus mis en cause pour des faits commis entre septembre 2023 et janvier 2026, rapporte Les Numériques. L'âge moyen des pirates responsables de fuites de données en France y est établi à 17 ans.

« hommes jeunes, entre 13 et 23 ans, majoritairement mineurs », Note du Sirasco, Service d'information, de renseignement et d'analyse stratégique sur la criminalité organisée.

Ces profils vivent en France, principalement en zone urbaine, ne se rencontrent pas physiquement et se coordonnent sous pseudonyme sur des forums. L'enquête sur l'ANTS avait déjà conduit, le 30 avril 2026, soit plusieurs mois avant la reddition de NormalLeVrai, au placement en garde à vue d'un mineur de 15 ans. Quelques jours avant cette garde à vue, un Vendéen de 21 ans était mis en examen et placé en détention provisoire, soupçonné de centaines d'attaques contre des fédérations sportives et des sites gouvernementaux.

La revente alimente le circuit. En octobre 2025, la base de données de la Fédération française de tir, avec les informations personnelles de 300 000 personnes, était proposée 10 000 euros. Ces fichiers alimentent ensuite d'autres délits, du cambriolage ciblé à l'escroquerie téléphonique, selon le Sirasco.

Les chiffres de la cybercriminalité en France

Deux de ces indicateurs résument à eux seuls l'exposition des petites structures :

Part des TPE, PME et ETI dans les attaques par rançongiciel (2024, Anssi)
37 %   ██████████████████▌                      

Hausse du nombre d'entreprises assistées en un an (Cybermalveillance.gouv.fr, 2025)
+73 %  ████████████████████████████████████▌    

Échelle commune 0-100. Attention : la première barre est une part,
la seconde une évolution annuelle. Les deux grandeurs ne s'additionnent pas.

Selon l'Insee, 68 % des infractions enregistrées en 2019 relevaient de l'accès illégal à un système informatique, et 29 % d'une interférence avec un système ou des données. L'institut précise que les entreprises ne déposent pas systématiquement plainte, ce qui sous-estime le phénomène.

Ce que ça change pour votre entreprise

Les TPE et PME ne sont pas des cibles secondaires. France Num rappelle qu'elles représentaient 37 % des attaques par rançongiciel recensées en 2024 par l'Anssi. Le rapport d'activité 2025 de Cybermalveillance.gouv.fr fait état d'une hausse de 73 % du nombre d'entreprises assistées en un an.

Les données revendues sur les forums servent ensuite à l'usurpation d'identité et à la fraude au président, deux attaques qui passent souvent par un simple appel téléphonique ou un courriel usurpant un dirigeant.

Trois réflexes concrets ressortent de ces affaires :

• vérifier qui, chez vos prestataires et opérateurs, détient vos fichiers clients, puisque les fuites récentes touchent des tiers, pas seulement l'entreprise elle-même ;
• activer la double authentification sur les accès administrateurs, premier point d'entrée des accès illégaux recensés par l'Insee ;
• déposer plainte et signaler l'incident, la sous-déclaration étant explicitement pointée par l'institut.

Questions fréquentes des dirigeants

Comment savoir si les données de mon entreprise figurent dans une fuite ? Surveillez les adresses électroniques professionnelles sur les services publics de vérification de fuites et activez les alertes proposées par votre hébergeur ou votre prestataire informatique. Interrogez aussi directement vos fournisseurs : en cas de violation de données, ils ont l'obligation de prévenir leurs clients concernés. Enfin, le portail Cybermalveillance.gouv.fr oriente vers un diagnostic et, si besoin, vers un prestataire référencé.

Que faire dans les 48 heures après une fuite de données clients ? Isolez les systèmes touchés, changez les mots de passe et conservez les journaux de connexion, qui serviront de preuves. Préparez sans attendre la notification à la CNIL, à adresser dans les 72 heures suivant la prise de connaissance de la violation, et évaluez si les personnes concernées doivent être informées individuellement. En parallèle, faites intervenir un prestataire de réponse à incident pour qualifier l'étendue de la compromission.

Suis-je responsable si la fuite vient de mon prestataire ? En tant que responsable de traitement, vous restez l'interlocuteur de la CNIL et des personnes dont les données ont fuité, même lorsque l'incident s'est produit chez un sous-traitant. Le prestataire doit vous alerter sans délai et peut voir sa responsabilité engagée au titre du contrat et du RGPD. D'où l'importance de prévoir, dans chaque contrat, les obligations de sécurité, de notification et de réversibilité.

Où déposer plainte et signaler un incident ? La plainte se dépose en gendarmerie ou au commissariat, avec l'ensemble des éléments techniques conservés. Le signalement et l'accompagnement passent par Cybermalveillance.gouv.fr, qui met en relation avec des prestataires de proximité. La notification à la CNIL, elle, est une démarche distincte et obligatoire dès lors que des données personnelles sont concernées.