Metabase piégé : même l'ANSSI s'est fait hacker

Ironie du sort : l'ANSSI, l'agence française censée nous protéger des cyberattaques, s'est elle-même fait avoir. Depuis août 2026, des hackers ont exploité une faille zero-day sur Metabase, l'outil d'analyse de données utilisé par le labo d'innovation de l'agence. Le coup est plutôt malin : en enchaînant quatre couches différentes du code de réinitialisation de mot de passe, les attaquants arrivaient à générer une session active sans avoir besoin du vrai mot de passe.

Metabase a découvert le pépin le 3 août et a sorti un correctif trois jours plus tard. Résultat des courses chez l'ANSSI : 118 comptes compromis, dont une trentaine appartenant à des utilisateurs externes. Au menu des données qui ont fuité : identifiants, adresses mail, mots de passe hachés et quelques stats d'utilisation. Pas de panique totale donc, mais pas rien non plus.

Cette histoire sort dans le cadre du bilan de l'opération REACTIV, la cellule de crise mise en place par Sébastien Lecornu pour gérer les violations de données dans les ministères. Depuis le 1er août, 99 incidents de sécurité ont été signalés à l'ANSSI, dont 67 confirmés comme réels. Le parquet de Paris a aussi ouvert une enquête, confiée à la brigade spécialisée en cybercriminalité, pour accès et extraction illégale de données sur un système de l'État.