Que s’est-il passé à l’ANSSI et à la DINUM ?

Les deux gardiens du numérique de l’État ont été touchés par la même faille, exploitée dans des outils de tableaux de bord qui n’avaient pas été mis à jour à temps.

L’Agence nationale de la sécurité des systèmes d’information (ANSSI)¹ est l’autorité chargée de défendre les systèmes de l’État contre les cyberattaques. La direction interministérielle du numérique (DINUM)² pilote la transformation numérique des administrations et opère plusieurs services communs, dont ProConnect, l’identifiant unique des agents publics. Toutes deux sont rattachées au Premier ministre. Toutes deux figurent dans le point de situation que l’ANSSI a publié le 30 septembre 2026 sur les violations de données touchant l’État.

Au laboratoire d’innovation de l’ANSSI, l’exploitation d’une vulnérabilité du logiciel Metabase, un outil libre de visualisation de données, a conduit à la compromission de 118 comptes utilisateurs, dont une trentaine de comptes externes. Les attaquants ont emporté des identifiants, des adresses électroniques, des mots de passe hachés et des statistiques d’utilisation. L’Agence a mis à jour ses instances, renouvelé l’ensemble des mots de passe et désactivé les comptes inutilisés depuis plus de trois mois.

À la DINUM, deux instances Metabase ont été compromises : celle de ProConnect et celle de Nuage-Public. Les données exfiltrées concernent des informations administratives d’organismes publics (SIREN, SIRET, budgets, effectifs), des métadonnées de contributions à des logiciels libres et des historiques de connexion anonymisés. La DINUM précise que ces données étaient déjà publiques. Elle a corrigé les failles, réinitialisé ses secrets techniques et supprimé les comptes que l’attaquant avait créés.

Un détail technique mérite l’attention : des mots de passe « hachés » ne sont pas des mots de passe en clair, mais leur empreinte mathématique. Ils restent exploitables hors ligne par des attaques par dictionnaire, d’autant plus vite que les mots de passe d’origine sont courts ou réutilisés ailleurs. C’est pourquoi l’ANSSI a fait renouveler l’ensemble des mots de passe, et non les seuls comptes dont l’usage frauduleux était avéré.

Quelle est l’ampleur des fuites de données de l’État ?

En deux mois, 99 violations de données ont été signalées à l’ANSSI dans sept grands pôles ministériels, et plusieurs dizaines de millions de Français sont potentiellement exposés.

Le rapport passe en revue l’Éducation nationale, les Affaires étrangères, Bercy, la Transition écologique, le Travail, l’Agriculture et les services du Premier ministre. Aucun grand pôle de l’État n’est épargné. L’Éducation nationale signale à elle seule des incidents dans plus d’une dizaine d’académies depuis juillet.

Derrière ces chiffres, il y a des données qui ne se remplacent pas. Un mot de passe se change en une minute ; une date de naissance, une adresse, un revenu fiscal ou la composition d’un foyer, non. Une fois sur le marché noir, ces informations alimentent pendant des années les escroqueries par téléphone, par courriel ou par SMS, d’autant plus crédibles qu’elles s’appuient sur des données exactes.

Comment une seule faille a-t-elle ouvert neuf ministères ?

Par une injection SQL dans la page de réinitialisation du mot de passe de Metabase : une requête anonyme suffisait à devenir administrateur de l’outil.

Metabase est un logiciel de tableaux de bord : on le branche sur des bases de données pour produire des graphiques et des statistiques. C’est précisément ce qui en fait une cible de choix. Celui qui prend le contrôle de l’outil voit tout ce que l’outil voit.

La faille, référencée CVE-2026-72898, se loge dans la fonction de réinitialisation du mot de passe. Cette page est, par construction, accessible sans être connecté. En y glissant des instructions SQL, le langage qui sert à interroger les bases de données, un attaquant anonyme fait exécuter ses propres commandes dans la base interne de Metabase et s’octroie les droits d’administrateur de l’instance. L’éditeur, comme l’agence fédérale américaine de cybersécurité, lui attribue la note de gravité maximale, 10 sur 10 sur l’échelle CVSS.

Une course contre la montre perdue d’avance

Les premières attaques visent le service en ligne de l’éditeur dès le 3 août. Metabase publie son correctif le 6 août. Le 10 août, la faille reçoit son identifiant officiel et des programmes d’exploitation circulent publiquement. Le 11 août, l’agence américaine CISA l’inscrit dans son catalogue des vulnérabilités activement exploitées et donne trois jours aux administrations fédérales, jusqu’au 14 août, pour la corriger. En France, le CERT-FR publie une alerte et l’ANSSI demande à tous les ministères d’identifier leurs instances.

Pourtant, neuf instances ministérielles ont été compromises. France VAE l’a été dès le 8 août, deux jours après la publication du correctif. Ce délai illustre une réalité que je connais bien comme ingénieur : dès qu’un correctif est publié, les attaquants comparent l’ancienne et la nouvelle version du code pour comprendre la faille. La publication d’un correctif déclenche donc une course, et chaque jour sans mise à jour devient un jour d’exposition maximale.

Anatomie d’une intrusion : que révèle le rapport sur la DGFiP ?

Trois mois d’intrusion, des dizaines de mots de passe volés, des gigaoctets exfiltrés la nuit, et une découverte par la revendication des pirates eux-mêmes.

Le rapport d’incident que l’ANSSI a consacré à la DGFiP, remis au Premier ministre le 24 septembre et rendu public le 29 septembre 2026, est un document rare : une reconstitution heure par heure d’une intrusion dans une grande administration. Son verdict tient en une phrase :

La compromission « n’est pas la conséquence d’une attaque sophistiquée ».³

Les identifiants volés, pas devinés

L’ANSSI n’a relevé aucune attaque par force brute ni par « bourrage d’identifiants ». L’attaquant ne cherchait pas les mots de passe : il les avait déjà. Ils provenaient très probablement de logiciels espions installés sur des ordinateurs que la DGFiP n’administre pas, notamment des appareils personnels d’agents et des postes d’organismes partenaires. Le portail PIGP, porte d’entrée de l’attaquant, ne demandait aucun second facteur aux agents.

Le rebond par le réseau interministériel

Le réseau interministériel de l’État (RIE) relie les administrations entre elles. Des serveurs de l’Éducation nationale déjà compromis ont servi de tremplin pour atteindre le portail ADER de la DGFiP. L’Éducation nationale avait pourtant partagé 17 marqueurs d’attaque avec tous les ministères dès le 9 juin. L’ANSSI juge la segmentation du réseau trop permissive : des sites sans besoin apparent d’accéder aux infrastructures de la DGFiP pouvaient s’y connecter.

Une session qui survit à la réinitialisation du mot de passe

Le 23 juin au soir, une alerte automatique se déclenche sur des recherches suspectes. Le lendemain matin à 10 h 40, le centre de supervision réinitialise le mot de passe du compte. Mais la session ouverte par l’attaquant n’est pas révoquée : l’exfiltration, commencée à 4 h 26, se poursuit jusqu’au 25 juin à 2 h 31. Changer la serrure ne sert à rien si l’intrus est déjà dans la maison et que personne ne lui demande de sortir.

Cinq signaux qui n’ont pas sonné

L’ANSSI dresse la liste des indices qui, corrélés, auraient dû déclencher l’alarme. Aucun n’a été rapproché des autres, en partie parce que le portail ADER n’était pas placé sous la surveillance du centre de supervision de la DGFiP.

L’intrusion n’a été découverte que le 12 août, lorsque l’attaquant, sous le pseudonyme Zerobytes, a revendiqué le vol sur un forum. Il annonçait 678 437 enregistrements, un chiffre supérieur au bilan officiel de 353 000 particuliers et 252 000 professionnels. L’ANSSI a prévenu la DGFiP moins de trois heures après la revendication. Mais l’exfiltration principale datait de sept semaines.

Que fait l’État pour reprendre la main ?

L’État a lancé l’opération REACTIV le 1^er septembre 2026 et accéléré sa feuille de route de sécurité numérique, après un plan de 200 millions d’euros annoncé au printemps.

Le 1^er septembre 2026, le Premier ministre⁴ a demandé à l’ANSSI de lancer REACTIV, pour « REponse & ACTion Interministérielle face aux Violations de données ». L’Agence a basculé ses efforts opérationnels vers les ministères. Son autorité est renforcée sur deux points : elle peut leur faire prendre, dans des délais contraints, les mesures d’urgence nécessaires pour protéger les données des citoyens, et elle centralise la communication technique de crise.

Les premiers résultats sont réels. Grâce aux marqueurs d’attaque partagés par l’ANSSI, les Douanes ont relié la compromission de trois comptes de messagerie à celle d’un serveur d’échange avec des prestataires, aujourd’hui définitivement coupé. Au ministère de la Transition écologique, plus de 300 comptes compromis ont été détectés sur l’application Bureau numérique, qui donne accès à une messagerie partagée entre ministères ; la double authentification y est désormais activée pour tous. À la DGFiP, l’accès des agents aux portails ADER et PIGP depuis l’extérieur a été coupé et ne devrait pas être rouvert.

Ces mesures s’ajoutent au plan annoncé le 30 avril 2026 après l’attaque contre l’Agence nationale des titres sécurisés : 200 millions d’euros pris sur les crédits de France 2030, la fusion de la DINUM et de la DITP en une autorité numérique de l’État, l’affectation des amendes de la CNIL à un fonds de modernisation, et l’obligation de consacrer 5 % des budgets numériques de chaque ministère à la cybersécurité dès 2027. La feuille de route publiée le 9 avril 2026 fixe aux ministères une quarantaine d’actions, dont l’authentification multifacteur pour tous les administrateurs de systèmes d’information au 31 décembre 2026.

Mon regard d’ingénieur : une solution connue depuis vingt-cinq ans

Les recommandations de l’ANSSI en 2026 rejoignent les principes de sécurisation des transactions sur réseaux ouverts que j’ai brevetés en France dès l’an 2000.

Je suis ingénieur informatique. À la fin des années 1990, j’ai travaillé sur une question qui paraissait alors futuriste : comment payer sur Internet sans jamais faire circuler d’information bancaire sur un réseau ouvert à la fraude ? Ces travaux ont donné lieu à deux dépôts de brevets en France, en 2000 et en 2001, le premier étendu à l’international⁵.

Le principe reposait sur trois niveaux de sécurité indépendants : une clé personnelle d’identification, un code de confirmation à usage unique envoyé sur un appareil personnel par un canal distinct, ouvert pour l’occasion par l’opérateur téléphonique, et une transformation secrète de ce code, connue du seul utilisateur. Mon brevet de 2000 pose qu’un attaquant peut dérober deux des trois niveaux sans que la transaction soit compromise, et que toute anomalie est enregistrée et signalée à l’utilisateur.

Vingt-six ans plus tard, j’en tire une leçon qui n’est pas technologique, mais organisationnelle. Les principes d’une authentification robuste sont connus, documentés et brevetés depuis un quart de siècle. Le code SMS est aujourd’hui banal sur les applications bancaires. Ce qui manque à l’État n’est pas l’invention : c’est la discipline de l’appliquer partout, tout le temps, y compris sur l’outil de statistiques installé par une petite équipe et oublié dans un coin du réseau.

Ce que propose le Projet 2027

Faire de l’hygiène numérique une obligation de résultat, avec un responsable identifié pour chaque base de données de l’État.

La sécurité des données publiques ne se décrète pas : elle se construit service par service. Les incidents de l’été montrent que les règles existent, que les outils existent, et que la difficulté se situe dans leur application. Le Projet 2027 retient le principe qui guide l’ensemble de ses chapitres institutionnels : une compétence, un responsable, un euro.

Une carte, un registre, une autorisation

Je propose que l’accès aux données sensibles de l’État passe par la carte d’identité électronique. Sa puce contient une clé qui ne la quitte jamais : un logiciel espion peut voler un mot de passe, pas la carte. À chaque connexion, l’application ne décide plus seule : elle interroge automatiquement un registre central des habilitations, tenu par l’ANSSI et protégé au plus haut niveau, qui confirme ou refuse le droit d’accès.

Ce registre est chiffré, et chaque modification y est scellée par une empreinte cryptographique dans un journal infalsifiable. Quiconque s’ajouterait des droits pour pirater un système laisserait une trace signée de son nom. À terme, cette même carte a vocation à réunir nos autres titres, comme la carte Vitale ou le permis de conduire : une seule carte, pour un État plateforme et des citoyens identifiés. J’y consacrerai un prochain article.

Que peut faire chaque citoyen ?

Redoubler de vigilance face aux messages qui citent des informations personnelles exactes, et activer la double authentification partout où elle est proposée.

Les données dérobées servent avant tout à rendre crédibles des tentatives d’escroquerie. Un message qui mentionne votre nom, votre adresse ou votre situation fiscale n’est pas une preuve d’authenticité. L’administration ne demande jamais de mot de passe ni de coordonnées bancaires par courriel, SMS ou téléphone. En cas de doute, il est préférable de se connecter soi-même au site officiel plutôt que de cliquer sur un lien reçu.

Deux gestes simples réduisent fortement le risque : ne jamais réutiliser le même mot de passe sur plusieurs sites, et privilégier une application d’authentification plutôt qu’un code reçu par courriel lorsque le choix est offert. Le dispositif public d’assistance aux victimes de cybermalveillance, cybermalveillance.gouv.fr, propose des conseils et une aide en ligne.

En refermant ce dossier, un refrain de Francis Cabrel me revient en mémoire : Encore et encore⁶. Tant que les correctifs attendront et que les mots de passe suffiront, la liste des fuites continuera de s’allonger.