Fuite de données à l’ANSSI et à la Dinum : ce que l’on sait de l’incident Metabase
Fuite de données à l’ANSSI et à la Dinum : ce que l’on sait de l’incident Metabase
Des données associées à 120 comptes, dont 118 liés à l’ANSSI, auraient été dérobées à la faveur d’une vulnérabilité de Metabase, selon BFM Tech et 20 Minutes. L’éditeur confirme une faille exploitée début août 2026. Les éléments disponibles ne permettent toutefois pas de conclure à une compromission générale des systèmes des deux administrations.
Une faille dans un outil d’analyse de données
Metabase permet d’interroger des bases de données et de créer des tableaux de bord. Selon BFM Tech, puis 20 Minutes, une attaque liée à cet outil aurait exposé des données concernant l’ANSSI et la Direction interministérielle du numérique.
Dans son retour d’incident, publié le 27 août, Metabase explique avoir été alerté le 3 août après la création suspecte d’une clé d’accès à son interface de programmation.
L’enquête de l’éditeur a identifié une faille permettant de créer une session valide sans passer par l’authentification habituelle. Cette session pouvait ensuite servir à consulter des données et à générer une clé facilitant leur téléchargement massif. Des versions corrigées ont été diffusées le 6 août.
Des comptes concernés, mais un périmètre encore incertain
BFM Tech évoque 120 comptes compromis, dont 118 liés à l’ANSSI. Une trentaine appartiendraient à des utilisateurs externes. Ce chiffre ne signifie donc pas que 118 agents de l’ANSSI auraient été directement victimes d’un vol de données.
Les informations potentiellement exposées incluraient des identifiants, adresses électroniques, statistiques d’utilisation, historiques de connexion anonymisés, mots de passe hachés et métadonnées liées à des projets open source.
Un mot de passe haché est une empreinte calculée à partir du mot de passe, et non le mot de passe lui-même. La formulation de « mots de passe partiels », utilisée par 20 Minutes, reste donc à clarifier.
Les articles disponibles ne démontrent pas non plus que les comptes compromis donnaient accès à l’ensemble des réseaux internes des administrations. Une compromission d’un outil d’analyse ne suffit pas à établir une intrusion généralisée.
Des mesures de sécurisation rapportées par la presse
Selon BFM Tech, les instances vulnérables auraient été mises à jour et les mots de passe renouvelés pour les comptes concernés. Les comptes inactifs depuis plus de trois mois auraient également été désactivés.
Pour la Dinum, des vulnérabilités auraient été corrigées, certains accès réinitialisés et des comptes créés par l’attaquant supprimés. L’ANSSI aurait indiqué que les données compromises étaient déjà publiques.
Cela ne supprime toutefois pas les enjeux liés à la durée de l’accès, aux actions menées et aux droits effectivement détenus par l’attaquant.
Les vérifications à mener par les organisations
Cet incident rappelle qu’un tableau de bord peut donner accès à des informations provenant de plusieurs bases. Sa sécurité dépend donc aussi des permissions accordées aux sources auxquelles il est connecté.
Les organisations utilisant Metabase devraient vérifier leur version, appliquer les correctifs disponibles et examiner les sessions, clés d’accès et comptes suspects. Il serait toutefois excessif d’en conclure que tous les utilisateurs de Metabase ont subi une fuite : l’éditeur distingue les installations vulnérables des installations effectivement compromises.
Les questions encore ouvertes
Le rapport de l’ANSSI daté du 30 septembre, mentionné par les médias, n’a pas été retrouvé dans les pages officielles consultées. Par ailleurs, l’article de 20 Minutes reprend les informations de BFM Tech : ces deux publications ne constituent donc pas deux confirmations indépendantes.
Le périmètre exact des instances touchées, le volume des données extraites, la nature des empreintes de mots de passe et l’existence éventuelle d’accès à d’autres systèmes restent à établir.
À ce stade, la formulation la plus prudente est celle d’une fuite de données rapportée concernant des comptes liés à l’ANSSI et à la Dinum, dans le contexte d’une vulnérabilité Metabase confirmée par l’éditeur. Parler d’un piratage général de la cyberdéfense française dépasserait les faits disponibles.