ANSSI et DINUM : enquête après la fuite Metabase de 118 comptes

Une enquête après une compromission déjà documentée

Selon 01net, le parquet de Paris a ouvert une enquête et la section cybercriminalité examine des faits d’accès, de maintien et d’extraction de données dans un système de traitement automatisé de données de l’État. Cette information constitue un développement judiciaire : elle ne modifie pas, à elle seule, le périmètre technique déjà publié par l’ANSSI.

L’enquête devra notamment établir les circonstances précises de l’accès et identifier d’éventuels auteurs. À ce stade, aucune source publique consultée ne permet d’attribuer l’attaque à un groupe ou à une personne. Il serait donc inexact de présenter une revendication ou une attribution comme établie.

Le périmètre connu : 118 comptes et deux instances

Le point de situation REACTIV distingue les environnements concernés. Au laboratoire d’innovation de l’ANSSI, 118 comptes Metabase ont été compromis, dont environ une trentaine de comptes externes. Les éléments décrits comprennent des statistiques d’utilisation, des identifiants, des adresses électroniques et des empreintes de mots de passe.

La DINUM a également signalé la compromission de deux instances Metabase liées à ProConnect et à Nuage-Public. Les données citées sont des informations administratives d’organismes publics, des métadonnées de contributions à des projets logiciels libres et des historiques de connexion anonymisés. Le bilan indique que ces données étaient déjà publiques. Cela n’efface pas l’incident, mais ne permet pas de conclure à une fuite massive de données personnelles de tous les usagers des services de l’État.

Une faille Metabase exploitée sans compte préalable

La porte d’entrée est la vulnérabilité CVE-2026-72898 de Metabase. Le CERT-FR la décrit comme une injection SQL exploitable sans authentification dans certaines versions. D’après l’éditeur, une chaîne de défauts autour de la réinitialisation de mot de passe pouvait aboutir à une session valide, puis aux droits du premier compte administrateur.

Concrètement, une instance exposée et non corrigée pouvait devenir administrable à distance sans qu’un attaquant dispose d’un compte existant. Metabase a publié des correctifs le 6 août 2026. L’ANSSI a indiqué, dans le cadre de REACTIV, que l’exploitation de cette vulnérabilité avait concerné de nombreuses instances.

Les mesures annoncées après l’incident

Pour le laboratoire d’innovation, les instances vulnérables ont été mises à jour, les mots de passe de l’ensemble des comptes renouvelés et les comptes inactifs depuis au moins trois mois désactivés. Pour la DINUM, les vulnérabilités ont été corrigées, certains accès réinitialisés et les comptes créés par l’attaquant supprimés.

Ces actions correspondent aux mesures attendues après une compromission d’une plateforme d’analyse : corriger, révoquer les sessions, contrôler les clés API et les comptes administrateur, renouveler les identifiants des bases raccordées et examiner les journaux. Elles ne remplacent pas l’enquête, qui devra préciser l’étendue effective des accès et des extractions.

Un avertissement pour les organisations qui administrent Metabase

Cette affaire ne donne pas à chaque citoyen une démarche particulière. Les sources consultées ne disent pas que les mots de passe de comptes citoyens ou les comptes ProConnect ont été exposés. En revanche, elle rappelle aux organisations qui auto-hébergent Metabase de vérifier immédiatement leur version et l’exposition publique de l’instance.

Le CERT-FR signale dans les journaux une séquence utile à rechercher : une requête de réinitialisation de mot de passe en erreur, suivie d’un accès au compte courant. Cet indicateur ne suffit pas à conclure seul à une compromission, mais il doit être transmis à l’équipe en charge de l’exploitation ou de la sécurité pour investigation.

Ce que nous ne pouvons pas vérifier

Nous ne pouvons pas vérifier de façon indépendante la liste complète des données effectivement consultées ou extraites pour chacun des 118 comptes, ni l’identité des titulaires concernés. Les documents publics consultés ne précisent pas non plus si tous les titulaires ont été informés individuellement.

L’ouverture de l’enquête est rapportée par 01net. Nous n’avons pas consulté de communiqué direct du parquet de Paris détaillant sa procédure. Nous ne pouvons donc ni décrire les actes d’enquête, ni attribuer l’attaque, ni affirmer qu’il n’existe plus aucun accès résiduel après les mesures annoncées.

Sources : ANSSI ↗ · ANSSI / CERT-FR ↗ · CERT-FR ↗ · Metabase ↗ · 01net ↗ · ZDNet ↗

Article rédigé et vérifié par Cyberfaille, avec assistance IA. Un doute, une correction ? écrivez-nous.