Pas besoin d’être un hacker chevronné pour mettre à mal un système d’État. C’est ce qu’a démontré, lors d’un événement public organisé par Surfshark, le chercheur en cybersécurité Clément Domingo, alias SaxX. Sa reconstitution du piratage de l’ANTS a montré une faille d’une simplicité déconcertante : modifier un seul chiffre dans l’adresse du portail suffisait à ouvrir l’accès aux données d’autres utilisateurs. Pas de compétence technique particulière requise. Le jeune homme à l’origine de l’attaque, 19 ans, a ensuite utilisé un chatbot IA pour générer un script capable d’extraire massivement les données du site. Un script qui aurait dû déclencher un blocage. Il n’en a rien été. Le vrai problème n’est pas le hacker « Très mauvaise hygiène en matière de cybersécurité », résume SaxX à propos des responsables du portail. La formule est sévère, mais elle pointe juste : ce n’est pas la sophistication de l’attaquant qui pose question ici, c’est l’absence de contrôles élémentaires côté défense. Une validation d’accès mal pensée. Un script automatisé non détecté à grande échelle. Deux failles basiques, deux conséquences disproportionnées. Et le profil même de l’attaquant interroge. Plus de mythe du hacker russe ou chinois surarmé. « Ils sont Français », note SaxX — un constat qui déplace le centre de gravité de la menace. Des outils accessibles, une faille triviale, et l’ampleur des dégâts dépend uniquement de ce que le système était censé empêcher. Rien de plus. Une trajectoire qui ne s’inverse pas 40,8 millions de comptes français déjà compromis depuis le début de l’année 2026, selon Surfshark. Contre 40,7 millions sur l’intégralité de 2025. L’année n’est pas terminée. Ce chiffre, à lui seul, dit où va la courbe. Ce que ça implique pour les responsables de sécurité L’épisode ANTS doit rappeler une évidence trop souvent reléguée au second plan : les contrôles d’accès basiques — vérification d’autorisation par requête, limitation de débit, détection de scripts automatisés — restent la première ligne de défense, bien avant les dispositifs sophistiqués. Un attaquant motivé n’a pas besoin de compétences avancées si la base n’est pas solide. Pour les DPO et RSSI, c’est aussi un signal sur l’usage croissant de l’IA générative côté attaquants : un outil conversationnel grand public a suffi à produire un script d’extraction fonctionnel. Cette dimension mérite désormais d’être intégrée aux analyses de risque, au même titre que les vecteurs d’attaque plus classiques.
