19 millions de comptes ANTS dans la nature : 5 leçons pour les PME

Le 15 avril 2026, une intrusion sur le portail ants.gouv.fr (Agence nationale des titres sécurisés, devenue France Titres) est détectée. L'incident est rendu public le 20 avril. Le ministère de l'Intérieur confirme 11,7 millions de comptes concernés : c'est le chiffre officiel. En parallèle, un individu se présentant sous le pseudonyme « breach3d » revendique 19 millions d'enregistrements mis en vente. Cette revendication n'a pas été confirmée par les autorités et doit être traitée comme telle.

Elle s'ajoute à une liste déjà chargée pour le seul premier semestre, à partir des volumes rapportés par la presse spécialisée : Urssaf, EduConnect, FFBB, OFII, Basic-Fit, et en retombées de 2025 France Travail, Bouygues Telecom, Pajemploi. Les volumes précis varient selon les sources ; ce qui compte ici n'est pas le décompte exact mais la régularité du phénomène.

Une PME française n'a évidemment pas le même profil de risque qu'une administration nationale. Mais cinq leçons opérationnelles s'en dégagent qui s'appliquent intégralement aux structures de 20 à 250 salariés.

Leçon 1 · l'identité est le périmètre

Dans la plupart des fuites massives de 2025-2026, le vecteur d'entrée n'est pas une faille technique exotique. C'est un identifiant compromis, un mot de passe réutilisé, un MFA manquant. Pour une PME, cela signifie que la protection des identités est la première ligne de défense, avant même les outils sophistiqués. Concrètement : MFA partout, comptes administrateurs séparés des comptes utilisateurs, gestion centralisée des accès, revue trimestrielle des comptes orphelins.

Leçon 2 · la notification est devenue un test public

Entre la détection de l'incident ANTS le 15 avril et sa révélation publique le 20 avril, cinq jours se sont écoulés. La communication de crise se joue aujourd'hui en heures, sur les réseaux sociaux et dans la presse, pas en jours. Une PME qui ne sait pas qui communique, à qui, dans quel ordre et selon quel script, prend le risque d'aggraver la situation au moment où elle est déjà fragilisée. Préparer ce script à froid, avant l'incident, fait partie de la résilience d'exploitation au même titre que les sauvegardes.

Leçon 3 · la chaîne d'approvisionnement est le maillon réel

Plusieurs fuites de 2025-2026 ont impliqué non pas l'organisation visée directement, mais l'un de ses prestataires ou sous-traitants. Le cas France Travail en 2025 a notamment révélé la dépendance massive à des prestataires informatiques externes dont la sécurité n'était pas auditée au même niveau que l'organisation principale. Une PME qui utilise des services SaaS, une infogérance externe, ou des intégrateurs métier doit auditer la sécurité de ces partenaires. Pas une fois à la signature, régulièrement.

Leçon 4 · les données collectées sans usage sont une dette

L'ANTS, comme beaucoup d'organisations, conservait des données qui n'avaient plus de raison opérationnelle d'exister. Plus la base est volumineuse, plus le vol est massif et coûteux. Pour une PME, le même principe s'applique. Que faites-vous des comptes clients inactifs depuis 5 ans ? Des données prospects jamais convertis depuis 3 ans ? Des fichiers RH d'anciens salariés depuis 7 ans ? Une politique de minimisation et de rétention adaptée réduit mécaniquement la surface d'exposition en cas de fuite.

Leçon 5 · le test de restauration n'est pas un luxe

Dans le cas d'ANTS, la restauration des services a pris plusieurs jours. Pour une PME, l'enjeu est encore plus critique parce que l'arrêt d'activité a un coût direct immédiat. La règle 3-2-1-1-0 (trois copies, deux supports, une copie hors site, une copie immuable, zéro erreur de restauration) n'a de valeur que si le test de restauration est réellement effectué, au moins trimestriellement, et documenté. Une sauvegarde non testée n'est pas une sauvegarde. C'est une promesse.

Que faire ce mois-ci

Trois actions concrètes à boucler avant la fin juillet, dans l'ordre.

Action 1, activer le MFA partout où il manque, en commençant par les comptes administrateurs et les VPN. Délai : 1 à 2 semaines.

Action 2, faire un test de restauration complet d'une VM ou d'un service métier critique. Mesurer le temps, documenter le résultat. Délai : 1 à 3 jours.

Action 3, lister les bases de données contenant des données personnelles (RH, clients, prospects, fournisseurs), identifier celles qui contiennent des données obsolètes, planifier une purge. Délai : 1 semaine pour le diagnostic, 2 à 4 semaines pour l'exécution.

Chez SPMDIGITAL, nous accompagnons ces trois actions dans le cadre d'un sprint cyber de quatre semaines, calibré pour les PME. Si vous voulez profiter de l'été pour avancer, contactez-nous.