CFE-CGC Orange

La cyberattaque de l’Agence nationale des titres sécurisés nous concerne

Rédigé par Emmanuel DUDRAGNE le . Publié dans Numérique.

L’incident de sécurité survenu le 15 avril 2026 sur le portail de l’Agence Nationale des Titres Sécurisés (ANTS) qui gère notamment le renouvellement des cartes d’identité et passeports, ne doit pas être analysé comme une simple fuite de données supplémentaire. Il constitue un signal faible devenu fort : la fraude liée à l’identité numérique a changé de nature. Elle s’industrialise, se structure et s’appuie désormais sur l’assemblage de données exactes issues de multiples sources.

Cette évolution engage directement la responsabilité des entreprises de services… et celle de l’employeur envers ses personnels.

  1. Une cyberattaque sur le site de l’ANTS ?

Mi-avril 2026, l’ANTS a détecté un incident de sécurité lié à une faille applicative sur le portail mon compte.ants.gouv.fr. Selon le communiqué du ministère de l'Intérieur du 21 avril 2026, cette faille a permis l'accès non autorisé à des données personnelles de 11,7 millions de comptes (1).

https://www.interieur.gouv.fr/actualites/communiques-de-presse/point-detape-du-21-avril-2026-concernant-lincident-de-securite-relatif-au-portail-antsgouvfr

Les informations compromises confirmées portent essentiellement sur l’identité civile et les coordonnées : nom, prénoms, date de naissance, adresse email, téléphone, parfois adresse postale ou lieu de naissance.

Le ministère de l’Intérieur a confirmé que les mots de passe et les données bancaires n’étaient, à ce stade, pas directement compromis. Cette précision, bien que rassurante, ne doit pas masquer l’essentiel : une identité administrative complète constitue déjà une matière première de très grande valeur pour les réseaux de fraude.

La fraude moderne ne repose plus sur le vol d’un secret unique, mais sur la combinaison de fragments d’informations issues de différentes fuites, enrichies par du phishing et de l’ingénierie sociale. C’est ce changement de paradigme qu’illustre l’affaire ANTS (2).

https://cyber.gouv.fr/actualites/panorama-de-la-cybermenace-2025/?utm

  1. Impact sur le particulier : Suis-je concerné comme citoyen ?

Être concerné par la fuite ANTS ne signifie pas automatiquement qu’un abonnement ou un crédit sera frauduleusement ouvert dès le lendemain. En revanche, cela accroît fortement la crédibilité de tentatives d’escroquerie ciblées.

Les risques identifiés sont notamment :

  • Des campagnes d’hameçonnage personnalisées (emails, SMS, appels) se faisant passer pour l’ANTS, une mairie, une banque ou un opérateur ;
  • Des changements de coordonnées ou d’adresse frauduleux ;
  • La souscription indue de contrats (télécoms, énergie, assurance, services) lorsque les données ANTS sont croisées avec des coordonnées bancaires issues d’autres fuites ;
  • La constitution, à moyen terme, d’un « profil d’identité complet » utilisable pour des tentatives de crédit ou d’usurpation durable.

Plus les données utilisées sont exactes, plus la fraude devient crédible et difficile à détecter, y compris pour les services de contrôle.

  1. Impact sur le personnel : Suis-je concerné comme personnel Orange ?

Oui, directement. Les vendeurs, conseillers clients et agents de support sont en première ligne face à cette mutation de la fraude. Les fraudeurs peuvent désormais se présenter avec des dossiers qui « tiennent la route » : identité exacte, coordonnées cohérentes, justificatifs plausibles, discours maîtrisé.

Or, nos systèmes et procédures restent majoritairement fondés sur des contrôles unitaires : vérifier une pièce, un IBAN, un SMS de validation, une adresse. La fraude, elle, raisonne en système : elle exploite les failles faibles, les angles morts organisationnels et la pression commerciale ou relationnelle (3).

https://www.banque-france.fr/system/files/2025-09/OSMP-2024_VF.pdf

Le risque pour le personnel est double :

  • Être abusé malgré le respect des procédures en vigueur ;
  • Se retrouver exposé sur le plan disciplinaire, voire pénal, alors même qu’il n’a agi ni par négligence ni par complaisance.

Cette situation n’est ni soutenable ni acceptable sur le long terme.

  1. Un point de vigilance essentiel : la lutte contre la fraude ne peut pas reposer sur la seule responsabilité individuelle du personnel

Le personnel ne doit pas être mis en situation de :

  • Arbitrer seul un doute complexe sans possibilité d'escalade claire ;
  • Être tenu responsable d'une fraude construite à partir de données exactes issues de fuites externes ;
  • Subir une pression commerciale qui entre en contradiction avec un doute légitime sur l'identité d'un client ;
  • Craindre une sanction pour avoir interrompu ou refusé une opération en cas de soupçon raisonnable.

À l'inverse, l'employeur doit garantir :

  • Des règles d'escalade simples, connues et non stigmatisantes ;
  • Une traçabilité des décisions qui protège le personnel ;
  • Un principe clair : le respect des procédures protège le collaborateur.

Pour rappel plus général, l’article L.4121-1 du Code du travail dit que l’employeur doit prendre les mesures nécessaires pour assurer la sécurité et protéger la santé physique et mentale des travailleurs. Cette obligation inclut l’organisation du travail, la mise en place de procédures adaptées et la prévention des risques professionnels, y compris ceux liés aux tentatives de fraude et aux pressions exercées sur les salariés.

  1. Impact sur Orange : Comment l’entreprise est-elle concernée ?

Pour Orange, l’enjeu dépasse largement la cybersécurité technique. Il engage la responsabilité de l’employeur sur plusieurs plans :

  • Prévention : reconnaître que des données exactes peuvent servir à des fraudes, et en adapter les dispositifs de contrôle ;
  • Organisation : concevoir des processus qui ne reposent pas uniquement sur la vigilance individuelle mais sur des mécanismes collectifs et outillés ;
  • Protection des personnels : garantir qu’un personnel respectant les procédures ne puisse être tenu seul responsable d’une fraude systémique.

Durcir les contrôles sans adapter les outils, la formation et les règles de responsabilité reviendrait à déplacer le risque vers le terrain. À l’inverse, une politique claire de protection des personnels est un facteur de sécurité globale : un collaborateur sécurisé est un collaborateur plus vigilant.

Pour aller plus loin : vigilance collective et limites des solutions miracles

L’incident ANTS relance le débat sur certaines solutions présentées comme ultimes, notamment la biométrie. Une donnée biométrique reste une signature unique : si elle est compromise, elle ne peut être changée (4).

https://www.cnil.fr/fr/biometrie-disposition-de-particuliers-quels-sont-les-principes-respecter

Elle doit être considérée comme un élément de contrôle parmi d’autres, et non comme une garantie absolue.

Face à la professionnalisation de la fraude, la seule réponse efficace repose sur un triptyque : outillage adapté, organisation protectrice et vigilance collective. C’est à ce prix que l’entreprise protège à la fois ses clients … et ses personnels.

Pour en savoir plus :

Numérique

A la une

Dernières vidéos

En ce moment

Dans vos établissements

Dans les médias

Nos coordonnées

CFE-CGC Orange
10-12 rue Saint Amand
75015 Paris Cedex 15
   
nous contacter
01 46 79 28 74
01 40 45 51 57

Vos services

Evènements & Presse

Epargne

Formation

Siège : CFE-CGC Orange - 89 Bd de Magenta, 75010 PARIS - SIRET 50803050900030 - 9420Z
Mentions Légales - Protection des données - Accès rédacteur