Imaginez que le commissariat de votre ville se fasse cambrioler. C'est un peu ce qui vient d'arriver à l'ANSSI, l'Agence nationale de la sécurité des systèmes d'information, l'organisme public français dont la mission est justement de lutter contre les cyberattaques. Début septembre 2026, elle a annoncé avoir été elle-même victime d'un piratage. 118 comptes utilisateurs ont été compromis, dont une trentaine appartenant à des personnes extérieures à l'agence.
Une situation qui peut prêter à sourire. Mais au-delà du symbole, cette affaire nous enseigne quelque chose d'important : même les organisations les plus expertes et les mieux équipées peuvent être prises au dépourvu par une faille technique jusque-là inconnue. Personne n'est invulnérable... Quelques semaines plus tôt, je vous relatais d'ailleurs comment le FBI lui-même s'était fait pirater ses données d'employés par le groupe ShinyHunters. Les services de sécurité ne sont pas à l'abri.
Une faille dans un outil d'analyse de données
L'attaque s'est produite au sein du laboratoire d'innovation de l'ANSSI, qui utilisait Metabase, un logiciel d'analyse et de visualisation de données relativement populaire. Metabase permet à des organisations de transformer leurs bases de données en tableaux de bord visuels, sans avoir besoin de compétences techniques avancées.
Depuis août 2026, des pirates ont exploité une vulnérabilité inconnue, ce qu'on appelle une faille zero-day, dans le mécanisme de réinitialisation des mots de passe de Metabase. Concrètement, ils ont réussi à générer des sessions actives valides en manipulant l'URL de réinitialisation, sans avoir besoin de connaître le mot de passe initial. Selon l'éditeur du logiciel, l'attaque a exploité une interaction complexe entre quatre couches différentes du code.
Ce qui a été compromis
Le rapport publié par l'ANSSI détaille ce qui a été exposé :
- 118 comptes utilisateurs Metabase, dont une trentaine de comptes externes
- Des données statistiques d'utilisation du logiciel
- Des identifiants et adresses électroniques
- Des mots de passe hachés (c'est-à-dire chiffrés, mais potentiellement déchiffrables avec du temps et des moyens)
Depuis la découverte de l'incident, l'ANSSI a mis en place des mesures de sécurisation supplémentaires. L'éditeur Metabase a publié un correctif dès le 6 août, et estime que moins de 3 % de ses clients ont été touchés par cette vulnérabilité. Une enquête judiciaire a été ouverte par le parquet de Paris et confiée à la brigade spécialisée dans la lutte contre la cybercriminalité.
Quelques conseils
Appliquez les correctifs rapidement : dès qu'un éditeur publie une mise à jour de sécurité, installez-la. C'est souvent après la découverte d'une faille que les attaques se multiplient, car les pirates savent que tout le monde n'a pas encore patché.
Limitez les accès aux outils sensibles : si vous utilisez des logiciels qui centralisent des données importantes (tableaux de bord, CRM, outils d'analyse), vérifiez régulièrement qui y a accès et retirez les comptes inutiles ou périmés.
Acceptez que le risque zéro n'existe pas : plutôt que de chercher l'invulnérabilité, préparez-vous à réagir rapidement en cas d'incident. Avez-vous une liste à jour des outils que vous utilisez ? Savez-vous qui contacter si l'un d'eux est compromis ? On parle ainsi de cyber résilience
