Fuite de données à l’ANSSI :
ce que l’enquête dit, et ce qu’une entreprise doit vérifier.
Le 1er octobre 2026, le parquet de Paris a ouvert une enquête après une compromission à l’ANSSI. Le point de situation REACTIV publié le 30 septembre par le CERT-FR situe l’incident dans le laboratoire d’innovation de l’agence, pas dans l’ensemble de ses systèmes. Une faille de l’outil Metabase, référencée CVE-2026-72898, a permis de compromettre 118 comptes, dont une trentaine d’externes : statistiques d’usage, identifiants, courriels et mots de passe hachés. La même faille a touché deux instances de la DINUM. Pour une entreprise, le sujet n’est pas le symbole. C’est de savoir quels outils ouvrent un accès à ses données, et qui les met à jour.
Que s’est-il passé à l’ANSSI ?
Une instance Metabase du laboratoire d’innovation de l’agence a été compromise. Les documents publics ne décrivent pas une intrusion dans tout le système d’information de l’ANSSI.
Le 30 septembre 2026, le CERT-FR a publié le point de situation de l’opération REACTIV, sous la référence CERTFR-2026-CTI-006. REACTIV, pour « Réponse et action interministérielle face aux violations de données », a été demandée le 1er septembre 2026 par le Premier ministre. Le communiqué de l’ANSSI du 7 septembre décrit une capacité renforcée d’appui aux ministères, avec la possibilité de leur faire prendre des mesures d’urgence. Ce n’est pas une cellule de police.
Dans la partie consacrée aux services du Premier ministre, le document indique que l’exploitation d’une vulnérabilité Metabase a entraîné la compromission de 118 comptes utilisateurs du laboratoire d’innovation, dont une trentaine de comptes externes. Les données citées sont des statistiques d’utilisation, des identifiants, des courriels et des mots de passe hachés. L’agence a mis à jour les instances vulnérables, renouvelé les mots de passe de tous les comptes et désactivé ceux qui n’avaient pas servi depuis plus de trois mois.
Le même document indique que deux instances Metabase de la Direction interministérielle du numérique, liées à ProConnect et à Nuage-Public, ont été compromises. Les données exfiltrées portent sur des informations administratives d’organismes publics (numéros SIREN et SIRET, budgets, effectifs), des métadonnées de contributions à des projets open source et des historiques de connexion anonymisés. Le rapport précise que ces informations étaient déjà publiques.
Le 1er octobre 2026, le parquet de Paris a annoncé l’ouverture d’une enquête, confiée à la Brigade de lutte contre la cybercriminalité. Les faits visés, rapportés par franceinfo le 2 octobre, sont l’accès, le maintien et l’extraction de données d’un système de traitement automatisé mis en œuvre par l’État.
L’agence entière a-t-elle été piratée ?
Les textes officiels disponibles ne le disent pas.
Le point de situation parle du laboratoire d’innovation et d’une instance Metabase. Il ne décrit ni une compromission des outils de détection de l’ANSSI, ni de ses réseaux classifiés, ni des signalements que les entreprises lui transmettent. Écrire que « l’ANSSI a été piratée » sans préciser ce périmètre donne une image fausse. L’incident est réel. Il ne signifie pas que la cyberdéfense de l’État est tombée.
Le document du CERT-FR prévient lui-même qu’il s’agit d’un point de situation sur des investigations en cours. Les chiffres peuvent évoluer et ne constituent pas une vision exhaustive de la situation à une date donnée.
Le symbole reste fort : l’agence chargée de protéger l’État figure dans son propre bilan. Elle l’a toutefois publié elle-même, avec le détail des données touchées.
Quelle faille a été utilisée ?
Une injection SQL dans Metabase, exploitable sans compte, référencée CVE-2026-72898 et notée 10 sur 10 sur l’échelle CVSS.
Metabase est un logiciel de tableaux de bord. Il se connecte à une base de données pour afficher des graphiques et des indicateurs. Selon le point de situation, la vulnérabilité permet à un utilisateur non authentifié d’accéder à la base de données de l’application Metabase et d’obtenir les droits d’administrateur de l’instance. Le point d’entrée est la fonction de réinitialisation du mot de passe, accessible publiquement.
L’éditeur a publié son correctif le 6 août 2026. Le point de situation de l’ANSSI fait état d’une exploitation massive depuis début août. Le CERT-FR a diffusé une alerte le 10 septembre, en indiquant avoir connaissance de nombreuses compromissions. Entre ces dates, des instances publiques sont restées exposées : le portail France VAE a été compromis le 8 août, deux jours après la sortie du correctif.
Un mot de passe haché n’est pas un mot de passe en clair. Il peut toutefois être testé hors ligne si le hachage est faible ou si le mot de passe est courant. C’est pour cela que le renouvellement ne doit pas se limiter à l’outil touché : le même mot de passe réutilisé ailleurs reste une porte ouverte.
Le même schéma, un composant tiers vulnérable qui ouvre l’accès à des données plus larges, se retrouve dans l’attaque visant la chaîne d’approvisionnement de LiteLLM et dans la porte dérobée découverte dans 30 extensions WordPress.
Que dit le bilan plus large ?
Depuis le 1er août 2026, 99 violations de données ont été portées à la connaissance de l’ANSSI. 67 sont confirmées, dont 32 encore en cours de traitement.
Ces 99 cas ne sont pas 99 piratages de l’ANSSI. Ce sont des événements signalés à l’agence dans le cadre de REACTIV, sur des services de l’État. Le document distingue ce qui est confirmé de ce qui reste à établir. Le laboratoire de l’ANSSI y figure à côté de la DINUM, de Qualicharge, de France VAE et d’autres organismes.
Ce bilan est distinct du rapport d’incident consacré à la DGFiP, rendu public le 29 septembre 2026. Celui-ci porte sur des exfiltrations revendiquées les 12 et 13 août, liées à des identifiants volés et à un cloisonnement insuffisant, pas à la faille Metabase. Il contient un détail qui concerne directement les petites structures : l’une des fuites est partie du poste compromis d’un géomètre-expert, dans un cabinet privé partenaire. Le second facteur d’authentification, un code envoyé par courriel, n’a pas suffi.
La série dépasse ces deux dossiers. Les fuites qui ont touché le fichier bancaire Ficoba ou EduConnect, à l’Éducation nationale, montrent la même constante : un accès légitime détourné compte souvent plus qu’une attaque sophistiquée.
Qu’est-ce que cela change pour une TPE ou une PME ?
Peu de chose sur le plan opérationnel immédiat, sauf si l’entreprise utilise les services publics cités. Beaucoup sur la façon dont une fuite commence.
La plupart des dirigeants n’utilisent pas Metabase. Ils ont l’équivalent : un tableau de bord branché sur la comptabilité, un export automatique vers un outil de reporting, un formulaire en ligne, un espace client hébergé par un prestataire. Le point d’entrée n’est pas toujours le site vitrine. C’est souvent l’outil le moins surveillé, parce qu’il sert à « juste regarder les chiffres ».
Cinq contrôles tiennent sans équipe informatique.
- La liste des outils qui voient les données. Comptabilité, CRM, prise de rendez-vous, avis clients, sauvegarde, tableau de bord. Pour chacun : qui est l’éditeur, où sont les données, qui détient un compte administrateur.
- Le délai de mise à jour. Un correctif publié un jeudi et appliqué trois semaines plus tard laisse la fenêtre ouverte. Demander au prestataire la date de la dernière mise à jour des outils exposés sur Internet.
- Les comptes externes. Expert-comptable, agence, ancien salarié. Un accès qui n’a plus d’usage se retire. Le cas de l’ANSSI inclut une trentaine de comptes externes.
- La réutilisation des mots de passe. Un identifiant volé sur un outil secondaire ouvre souvent la messagerie, puis le reste. Un mot de passe distinct par service, et une double authentification sur la messagerie et la banque, limitent la suite.
- Ce qui a déjà fuité. Si un prestataire annonce une compromission, le réflexe n’est pas d’attendre un article. C’est de changer les accès liés à ce prestataire et de noter ce qui a été exposé.
Sur la double authentification, le choix du second facteur compte autant que sa présence. Le passage des comptes Microsoft aux clés d’accès, détaillé dans l’abandon de la double authentification par SMS, va dans ce sens.
Pour une petite structure, le premier pas consiste à dresser cette liste des outils, des accès et des prestataires, puis à la tenir à jour.
Faut-il prévenir la CNIL et les clients ?
Seulement si des données personnelles de l’entreprise ou de ses clients sont concernées. L’enquête sur l’ANSSI ne crée pas cette obligation à elle seule.
La CNIL rappelle que le RGPD impose de documenter en interne toute violation de données personnelles. Si la violation présente un risque pour les droits et libertés des personnes, la notification à la CNIL se fait dans les meilleurs délais, si possible dans les 72 heures suivant sa constatation. Un dépassement doit être motivé, et une notification complémentaire peut suivre. En cas de risque élevé, les personnes concernées doivent aussi être informées. En cas de doute, la CNIL recommande de notifier.
Une entreprise qui apprend qu’un outil public a laissé fuiter des numéros SIREN n’a en général rien à notifier : ces données ne figurent pas dans son fichier clients. Une entreprise dont le prestataire de devis, de newsletter ou de paiement annonce une extraction de contacts, d’adresses électroniques ou d’identifiants, si. Le délai court à partir de la constatation, pas de la fin de l’enquête.
Lorsque la violation fait suite à une cyberattaque, la CNIL conseille aussi de déposer plainte et de conserver les éléments techniques à disposition des enquêteurs.
Qui est derrière l’attaque ?
Aucun document public ne le dit à ce jour.
Ni le point de situation du CERT-FR, ni le parquet ne nomment de groupe, de pays ou de mode opératoire au-delà de l’exploitation de la faille Metabase pour cet incident. L’enquête confiée à la Brigade de lutte contre la cybercriminalité doit établir les faits ; au 5 octobre 2026, elle n’a rendu aucune conclusion publique.
L’usage éventuel des données récupérées n’est pas connu non plus. Les identifiants et courriels des comptes touchés peuvent en revanche servir à des tentatives d’hameçonnage ciblées, ce qui justifie le renouvellement des mots de passe engagé par l’agence.
Fuite de données à l’ANSSI : les réponses utiles.
L’ANSSI a-t-elle perdu le contrôle de ses systèmes ?
Le point de situation du 30 septembre 2026 décrit une compromission de comptes Metabase dans le laboratoire d’innovation. Il ne décrit pas une prise de contrôle de l’agence.
Les mots de passe des agents sont-ils lisibles ?
Le document parle de mots de passe hachés, donc transformés et non stockés en clair. Un hachage peut parfois être testé hors ligne, ce qui justifie leur renouvellement, mais ce n’est pas la même chose qu’un mot de passe affiché.
Une TPE doit-elle couper Metabase ?
Seulement si elle en utilise une instance exposée sur Internet et non mise à jour. Le correctif existe depuis le 6 août 2026. Le bon réflexe est de demander à celui qui héberge l’outil s’il est à jour, pas de désinstaller un logiciel au hasard.
L’enquête va-t-elle dire ce qui a été volé ?
Pas nécessairement au public. Une enquête pour accès et extraction de données vise les auteurs et les faits, et le détail technique peut rester dans la procédure. Le point de situation de l’ANSSI détaille déjà les données touchées.
- CERT-FR — Point de situation de l’opération REACTIV, CERTFR-2026-CTI-006, 30 septembre 2026.
- CERT-FR — Rapport complet REACTIV, version PDF.
- ANSSI — Communiqué de presse sur l’opération REACTIV, 7 septembre 2026.
- CERT-FR — Avis de sécurité : multiples vulnérabilités dans Metabase, dont CVE-2026-72898.
- franceinfo — Une enquête ouverte après le piratage de l’ANSSI, 2 octobre 2026.
- ANSSI — Rapport d’incident DGFiP, mai à août 2026, distinct de l’incident Metabase.
- CNIL — Notifier une violation de données personnelles.
WY-Créations accompagne depuis 2018 les artisans, les TPE, les PME et les professions libérales dans leur organisation numérique et leur visibilité.
Savoir quels outils ouvrent un accès à vos données, avant qu’un autre ne le découvre.
Outils, comptes, prestataires, mises à jour : WY-Créations fait le point avec les dirigeants sur ce qui est en place et sur ce qui n’est pas maîtrisé.