C’est une victime pour le moins symbolique. Quelques semaines après les attaques ayant frappé plusieurs administrations françaises, l’ANSSI révèle avoir été elle-même touchée par une cyberattaque. Une faille critique de Metabase a permis de compromettre 120 comptes liés à l’ANSSI et à la Dinum et d’exfiltrer différentes données.
Quand le gendarme français de la cybersécurité se fait pirater
Personne n’est totalement à l’abri d’une faille de sécurité, pas même l’organisme chargé de protéger l’État français contre les cyberattaques. Et ce constat n'est pas vraiment rassurant. Dans son point de situation consacré à l’opération REACTIV publié le 30 septembre, le CERT-FR, rattaché à l’ANSSI, détaille plusieurs violations de données ayant récemment affecté les services de l’État.
Et, parmi les victimes, figurent donc l’Agence nationale de la sécurité des systèmes d’information, ainsi que la Direction interministérielle du numérique (Dinum). L’origine de la compromission se trouve cette fois du côté de Metabase, une plateforme open source d’analyse et de visualisation de données. Une vulnérabilité critique découverte cet été permettait à un attaquant non authentifié de réaliser une injection SQL et d’obtenir les droits d’administrateur sur une instance vulnérable.
Le CERT-FR indiquait d’ailleurs dès le 10 septembre avoir connaissance de nombreuses compromissions d’instances Metabase vulnérables. Les versions corrigées avaient alors été communiquées et leur installation recommandée dans les plus brefs délais.
118 comptes compromis à l’ANSSI
Dans le cas de l’ANSSI, l’attaque a concerné une instance Metabase utilisée par son laboratoire d’innovation. Au total, 118 comptes ont été compromis, dont une trentaine appartenaient à des utilisateurs externes.
Les pirates ont pu accéder à plusieurs catégories d’informations : identifiants de comptes, adresses électroniques et mots de passe stockés sous forme hachée, mais également statistiques d’utilisation et historiques de connexion anonymisés.
Des métadonnées concernant des contributions à des projets open source ont également été exposées, tout comme certaines informations administratives concernant des organismes publics, notamment des numéros SIREN et SIRET, des données relatives aux budgets ou encore aux effectifs. L’incident reste donc très différent, par son ampleur comme par la nature des informations exposées, des importantes fuites de données personnelles observées ces derniers mois.
La Dinum également concernée
La Dinum a elle aussi été touchée (deux comptes seulement). Dans ce cas précis, l’ANSSI précise toutefois que les données auxquelles l’attaquant a pu accéder étaient déjà publiques. L’incident a néanmoins nécessité différentes mesures de sécurisation.
Les instances vulnérables ont été mises à jour, les mots de passe concernés renouvelés et les comptes inutilisés depuis plus de trois mois désactivés. Du côté de la Dinum, certaines informations d’accès ont également été réinitialisées tandis que les comptes créés par l’attaquant ont été supprimés.
Une vulnérabilité connue depuis le mois d’août
La vulnérabilité exploitée, référencée CVE-2026-72898, affectait de nombreuses versions de Metabase. Le souci est qu'elle était connue au moment où le CERT-FR a lancé son alerte nationale.
Metabase avait publié un premier avis de sécurité le 6 août 2026, avant de revenir plus largement sur la vulnérabilité le 27 août. Le CERT-FR avait de son côté publié un avis le 24 août, puis une alerte le 10 septembre devant la multiplication des compromissions observées.
L’agence recommandait notamment de révoquer toutes les sessions actives, de vérifier les clés API et les comptes administrateurs, de renouveler les identifiants permettant d’accéder aux bases de données connectées et d’inspecter les journaux à la recherche d’activités suspectes.
Les administrations françaises dans le viseur
Cette nouvelle affaire intervient surtout dans un contexte particulièrement compliqué pour les services de l’État. Le nombre de violations de données a poussé le gouvernement à mettre en place début septembre un dispositif spécifique baptisé REACTIV, pour REponse & ACTion Interministérielle face aux Violations de données.
Demandée par le Premier ministre le 1er septembre, cette opération doit permettre à l’ANSSI de mobiliser rapidement ses moyens lorsqu’une administration est victime d’une compromission. L’agence peut notamment demander aux ministères de prendre des mesures d’urgence dans des délais contraints lorsqu’une attaque menace les données des citoyens.
QU’EN PENSER ?
La situation ne manque évidemment pas d’ironie puisque l’organisme chargé de coordonner cette réponse figure désormais lui-même parmi les entités compromises. Mais l’incident illustre surtout un problème plus large : une administration peut disposer d’équipes spécialisées en cybersécurité et rester vulnérable par l’intermédiaire d’un logiciel tiers exposé sur Internet.
L'attaque est forcément symbolique, mais son ampleur doit être relativisée : il ne s’agit pas d’une intrusion généralisée dans les systèmes les plus sensibles de l’agence et les informations dérobées semblent relativement limitées. L’affaire montre en revanche à quel point une simple vulnérabilité dans un outil tiers peut devenir une porte d’entrée, y compris au sein des organismes les mieux armés.
