Fuite de données ANTS

[Cygne06]

Les mails commencent a arriver dans les boites mails:


Bonjour,

Le 15 avril dernier, l’agence nationale des titres sécurisés (ANTS) a eu connaissance d’un incident de sécurité sur son site.

Cet incident a entraîné un accès non autorisé à certaines données personnelles associées à votre compte usager dont :
- les données relatives à votre état civil (nom et prénom) ;
- les identifiants de connexion (identifiant de compte et adresse mail) ;
- et d’autres données présentes uniquement dans certains comptes (adresse postale et numéro de téléphone).

Dès la détection de l’incident, des investigations techniques ont été menées par les services compétents et toutes les mesures nécessaires ont été prises.

Les données transmises dans le cadre de vos démarches de passeport, carte d’identité, permis de conduire et carte grise (numéro de demande, statut de demande, pièces justificatives, photographies) ne sont, par ailleurs, pas concernées par cet incident.

Vous n’avez ainsi aucune démarche à accomplir.

Au regard des données personnelles concernées, il est cependant possible que vous receviez prochainement des appels ou des courriels indésirables. Aussi, nous vous recommandons de redoubler de vigilance, de ne jamais communiquer vos informations personnelles et de nous signaler toute activité inhabituelle sur votre compte via le formulaire dont le lien figure à la fin de ce message.


Conformément à l’article 33 du règlement relatif à la protection des données personnelles (RGPD), l’incident a été notifié à la commission nationale de l’informatique et des libertés (CNIL). Le ministère de l’Intérieur a, par ailleurs, transmis un signalement à la Procureure de la République de Paris en application de l’article 40 du code de procédure pénale en vue de l’ouverture d’une enquête.


Nous vous assurons que la sécurité de vos données constitue notre priorité et restons à votre écoute.


Pour toute information complémentaire, nous vous invitons à nous contacter via le formulaire de contact.


Cordialement,


France Titres, l’agence nationale des titres sécurisés

 

[pchmartin]

France Connect cela permet de se connecter à l'ANTS donc les codes d'acces de France Connect sont egalement compromis ?

Je me suis aussi posé la question, mais je ne pense pas

Il y a d'abord une procédure d'identification avec l'application d'authentification choisie: par exemple les Impots
Si ok, l'appli Impots transmet à l'ANTS le fait que l'utilisateur est xxxxx .. (ca se fait classiquement avec un EAI comme tout dialogue inter-applications ici OpenID Connect ) .. il n'y a pas transmission de mot de passe .. et il n'y a pas d'identification à France Connect proprement dite

Par contre, ca a un sens de changer le mot de passe de l'ANTS par précaution

 

[Philbox]

Les mails commencent a arriver dans les boites mails:


Bonjour,

Le 15 avril dernier, l’agence nationale des titres sécurisés (ANTS) a eu connaissance d’un incident de sécurité sur son site.

Cet incident a entraîné un accès non autorisé à certaines données personnelles associées à votre compte usager dont :
- les données relatives à votre état civil (nom et prénom) ;
- les identifiants de connexion (identifiant de compte et adresse mail) ;
- et d’autres données présentes uniquement dans certains comptes (adresse postale et numéro de téléphone).

Dès la détection de l’incident, des investigations techniques ont été menées par les services compétents et toutes les mesures nécessaires ont été prises.

Les données transmises dans le cadre de vos démarches de passeport, carte d’identité, permis de conduire et carte grise (numéro de demande, statut de demande, pièces justificatives, photographies) ne sont, par ailleurs, pas concernées par cet incident.

Vous n’avez ainsi aucune démarche à accomplir.

Au regard des données personnelles concernées, il est cependant possible que vous receviez prochainement des appels ou des courriels indésirables. Aussi, nous vous recommandons de redoubler de vigilance, de ne jamais communiquer vos informations personnelles et de nous signaler toute activité inhabituelle sur votre compte via le formulaire dont le lien figure à la fin de ce message.


Conformément à l’article 33 du règlement relatif à la protection des données personnelles (RGPD), l’incident a été notifié à la commission nationale de l’informatique et des libertés (CNIL). Le ministère de l’Intérieur a, par ailleurs, transmis un signalement à la Procureure de la République de Paris en application de l’article 40 du code de procédure pénale en vue de l’ouverture d’une enquête.


Nous vous assurons que la sécurité de vos données constitue notre priorité et restons à votre écoute.


Pour toute information complémentaire, nous vous invitons à nous contacter via le formulaire de contact.


Cordialement,


France Titres, l’agence nationale des titres sécurisés

J’ai reçu mon mien hier…😀
J’aime bien la phrase: vous n’avez ainsi aucune démarche à accomplir.
Encore heureux mais l’ANTS fait quoi ou a fait quoi pour protéger mes données?

 

[pchmartin]

C'est évidement inadmissible que l'ANTS n'ai pas pu protéger nos données, mais si on regarde ce qu'il y a comme données perso dans leur système on trouve

Identifiant, Numéro de compte, Code d'authentification ( spécifiques à ANTS)
Civilité, Prénoms, Nom, Nom d'usage
Date de naissance
Adresse mail
Mot de Passe - on peut espérer qu'il est gardé crypté dans leur système
et c'est tout si on n'a rien remplit de plus ..( mon cas)

ce sont des données perso qui se trouvent dans des dizaines de sites ... tous ceux chez qui on a une carte de fidelité par exemple .. donc franchement ça vaut pas un kopeck !!

 

[attentif]

ce sont des données perso qui se trouvent dans des dizaines de sites ... tous ceux chez qui on a une carte de fidelité par exemple .. donc franchement ça vaut pas un kopeck !!

Bonjour @pchmartin ,

Cela ne justifie pas pour autant de négliger, d'oublier le paramétrage de base des serveurs, du point de vue de la sécurité d'accès (cf. mon Post #15).

Par ailleurs, les données saisies sur le serveur de l'ANTS doivent être exactes ; ce qui n'est pas obligatoirement le cas des renseignements pour le marketing d'une entité commerciale.

 

[pchmartin]

Bonjour @pchmartin ,

Cela ne justifie pas pour autant de négliger, d'oublier le paramétrage de base des serveurs, du point de vue de la sécurité d'accès (cf. mon Post #15).

Par ailleurs, les données saisies sur le serveur de l'ANTS doivent être exactes ; ce qui n'est pas obligatoirement le cas dans le cas de renseignements pour le marketing d'une entité commerciale.

Oui, il y en a qui devraient se faire virer pour incompétence ( mais bon c'est l'administration ! )

La carte de fidelité c'était juste un exemple ..mais si on fait le compte des entités qui ont nos nom, prénoms, date de naissance et mail ( un des mails en fait ) on serait étonné du nombre

 

[attentif]

Bonsoir à tous,

Un article [lien réservé abonné] sur le rôle de l'Etat pour protéger nos données personnelles, suite à la fuite ANTS. De mon point de vue, c'est à l'ANSSI d'agir préventivement, par exemple avec des audits sur site ; cela me semble être un minimum.

L'ANSSI publie des recommandations sur la sécurité des systèmes d'information ; encore faut-il contrôler leur application dans le monde réel.

La confiance n'exclut pas le contrôle .

 

[pchmartin]

Bonsoir à tous,

Un article [lien réservé abonné] sur le rôle de l'Etat pour protéger nos données personnelles, suite à la fuite ANTS. De mon point de vue, c'est à l'ANSSI d'agir préventivement, par exemple avec des audits sur site ; cela me semble être un minimum.

L'ANSSI publie des recommandations sur la sécurité des systèmes d'information ; encore faut-il contrôler leur application dans le monde réel.

La confiance n'exclut pas le contrôle .

Plus simple: donner une prime a toute personne qui détecterait une faiblesse ( proportionnelle à la gravité de la faiblesse)

Tous nos petits geeks vont s'en donner à coeur joie ..

 

[attentif]

Négligence de l'ANTS ? [lien réservé abonné]

 

[NO2256]

. De mon point de vue, c'est à l'ANSSI d'agir préventivement, par exemple avec des audits sur site ; cela me semble être un minimum.
L'ANSSI publie des recommandations sur la sécurité des systèmes d'information ; encore faut-il contrôler leur application dans le monde réel.
La confiance n'exclut pas le contrôle .

La Cour des comptes fait des audits sur les administrations publiques et publie des rapports avec des recommandations. Ces audits et recommandations sont rarement suivis d'effets car il n'ont aucun pouvoir coercitif.
Pour avoir travaillé dans une collectivité, l'accent était mis sur le respect de la légalité pas de l'efficacité. Si je voulais acheter des câbles réseau pour 500€ il me fallait obligatoirement 2 ou mieux 3 devis mais il n'y avait aucun contrôle sur le bien-fondé de cet achat. Quand il s'agissait d'ordinateurs ou autres équipements informatiques pour des montants plus élevés, il fallait passer par une procédure d'appel d'offres et là c'était une vraie prise de tête. Mais sur l'utilité réelle de ces achats pour la collectivité, tout le monde s'en foutait si j'avais réussi à les convaincre lors de l'établissement du budget annuel.
Il n'y a pas de culture du résultat dans l'administration, juste une culture de moyens. Si vous avez budgété 500k€ pour l'acquisition et l'installation d'une solution de cyber-sécurité, tout le monde est content et si au final le système est piraté ça sera la faute à pas de chance car vous aviez fait le nécessaire, même si le paramétrage du pare-feu a été bâclé...
Je suis assez inquiet quant je vois les fuites de données qui se multiplient et la légèreté de beaucoup d'organismes publics ou non, et l'inconscience de beaucoup de nos concitoyens.
Pour l'anecdote j'ai fait récemment, à leur demande expresse pour le remplacement de permis de conduire 3 volets, la demande et la constitution des dossiers sur le site de l'ANTS pour 3 personnes de mon entourage. Tout s'est bien passé sauf que j'ai eu à leur annoncer la fuite de leurs données personnelles. Vu la facilité et la rapidité du traitement des dossiers j'avais hésité à faire la demande pour mon permis 3 volets, avant de me dire finalement qu'il est valable jusqu'à 2033 et que je ne serai peut-être plus là .

 

[AlbertoWin]

Si je voulais acheter des câbles réseau pour 500€ il me fallait obligatoirement 2 ou mieux 3 devis mais il n'y avait aucun contrôle sur le bien-fondé de cet achat

C’est aussi ca le probleme. Des appels d'offres très juteux.

 

[attentif]

La Cour des comptes fait des audits sur les administrations publiques et publie des rapports avec des recommandations.

Bonjour @NO2256 ,

Vous citez la Cour des comptes : cela n'a rien à voir avec l'ANSSI.

Vous décrivez un comportement dans une collectivité ; faut-il pour autant baisser les bras et se résigner à assister impuissant aux fuites de données personnelles ?

J'ai encore le souvenir de l'inspection générale (IG) dans les banques qui ne plaisantait pas lorsqu'une recommandation n'était pas mise en oeuvre par la Direction concernée.

Il faudrait alors se résigner à l'inaction dans le cas des administrations publiques ? Je ne le pense pas.

Dans le cas de l'ANTS, il semblerait que la faille était connue [lien réservé abonné] ; laissons la CNIL enquêter .

 

[NO2256]

Bonjour, je citais la Cour des comptes car c'est le même fonctionnement : elle fait des recommandations qui ne sont pas suivies d'effet et c'est la même chose pour l'ANSSI par rapport aux administrations publiques.
Il ne faut pas oublier une chose et c'est la base de notre démocratie : ce sont les élus qui décident et ils ne se sentent nullement contraints de suivre les recommandations de quelque commission ou quelque administration que ce soit, " C'est moi la République !", "Responsable mais non coupable...".

 

[attentif]

Bonjour, je citais la Cour des comptes car c'est le même fonctionnement : elle fait des recommandations qui ne sont pas suivies d'effet et c'est la même chose pour l'ANSSI par rapport aux administrations publiques.

Je préconisais pour l'ANSSI :

De mon point de vue, c'est à l'ANSSI d'agir préventivement, par exemple avec des audits sur site ; cela me semble être un minimum.

Donc pour l'ANSSI : audit et suivi de la recommandation faite, comme dans les banques avec l'inspection générale.

J'en conviens, il faudrait attribuer des moyens financiers supplémentaires à ce type d'organismes.
C'est peut-être le prix de la confiance, pour les années de numérisation accrue à venir.

 

[nono52]

Bonjour,

Pour ma part, mail reçu le 21 avril .


De toute façon, la vigilance vous appartient et le bon sens doit être la règle, ne pas répondre à une sollicitation non identifiée que ce soit par mail ou sms.

Et si l'ANTS ou d'autres organismes doivent vous contactez, ils le feront par courrier.

 

[MDacier]

*Nous vous assurons que la sécurité de vos données constitue notre priorité et restons à votre écoute."
...

Ils auraient pu ajouter:

Sachez que nous prenons soin de votre vie privée presque aussi bien que vous prenez soin de vos résolutions de début d'année.

 

[GreyGan]

Bonjour,

Pour ma part, mail reçu le 21 avril .


De toute façon, la vigilance vous appartient et le bon sens doit être la règle, ne pas répondre à une sollicitation non identifiée que ce soit par mail ou sms.

Et si l'ANTS ou d'autres organismes doivent vous contactez, ils le feront par courrier.


Afficher la pièce jointe 53971Afficher la pièce jointe 53972

France Titres ou France Fuite ?

 

[NO2256]

Courriel reçu ce jour de l'Agence Nationale des Fréquences Radio qui gère notamment les identifiants radio des navires :

"Bonjour,
Le 13 avril 2026, l’ANFR a détecté un incident de sécurité et a constaté une divulgation de données personnelles issues du téléservice Radiomaritime. Le téléservice a été fermé immédiatement.
Que s’est-il passé ?
Notre service informatique a découvert un dysfonctionnement dans la gestion du téléservice, et a constaté des accès non autorisés aux données de l’ensemble des comptes utilisateur. Entre le 4 avril et le 10 avril, le service a été perturbé, et les données d’environ 330 000 usagers ont pu être extraites.
De plus l’ANSSI (Agence Nationale de la Sécurité des Systèmes d’Information) a signalé une mise en vente de ces données avec publication en ligne d’un extrait.
Quelles données sont concernées ?
Les données divulguées sont :

• Nom
• Prénom
• Adresse postale (si renseignée)
• Numéro(s) de téléphone (si renseigné)
• Courriel (si renseigné).
• Date de naissance (si renseignée)

Aucune donnée relative aux licences ou aux pièces jointes n’a été divulguée.
Quelles sont les mesures de sécurisation prises par l’ANFR ?
Outre les mesures préventives déjà mises en œuvre (journalisation des connexions et évènements, pare-feu), l’ANFR a suspendu l’accès au téléservice et travaillé à l’identification précise des comptes affectés et des modalités de l’attaque.
Des correctifs de sécurité, en cours de déploiement, seront opérationnels dès la réouverture du service.
Conformément à ses obligations réglementaires, l’ANFR a notifié l’incident à la Commission Nationale de l’Informatique et des Libertés (CNIL). Une plainte a été déposée auprès du Procureur de la République afin que les auteurs de ces faits puissent être identifiés et poursuivis.
Quels sont les risques pour vous et vos données ?
Cet incident vous expose à des tentatives d’escroquerie via téléphone / e-mail / SMS, dont la crédibilité serait renforcée par les données individuelles collectées.
Ainsi, vous êtes susceptibles de recevoir dans les prochaines semaines des mails, appels ou sms vous incitant à communiquer d’autres informations confidentielles en retour. Ces tentatives peuvent faire apparaître des informations divulguées, notamment votre adresse ou votre date de naissance, afin de vous mettre en confiance.
L’ANFR ne vous demandera jamais de communiquer par mail ou téléphone des informations tel qu’un Relevé d’Identité Bancaire (RIB), des identifiants d’espaces personnels hors périmètre comme celui de votre banque par exemple, ni les identifiants du téléservice Radiomaritime.
Nous vous appelons à la plus grande vigilance sur ce point.
Quelles sont les précautions que vous pouvez prendre ?
Si vous êtes contacté par mail, nous vous invitons à vérifier que l’adresse d’expédition contient bien la mention : @anfr.fr. Lors de vos démarches, vous pouvez solliciter les services afin d’authentifier un envoi mail qui vous paraîtrait suspect.
Nous vous recommandons d’utiliser les canaux dédiés que l’ANFR désigne sur son site Internet."

Je n'étais pas concerné pour l'ANTS, je le suis pour l'ANFR en tant que propriétaire d'une VHF marine.
Je crois que les hackers font le tour des agences publiques et trouvent des failles !
@suivre

 

[attentif]

Courriel reçu ce jour de l'Agence Nationale des Fréquences Radio qui gère notamment les identifiants radio des navires :

Ces sites impliqués dans des fuites de données personnelles font tous ou presque des copier-coller dans leurs communications officielles.

Nous voilà rassurés...
@suivre ou pas

 

[MDacier]

Occitanie : les données personnelles de 705 000 candidats Parcoursup piratées
[lien réservé abonné]

La France, premier pays entièrement en open data