Une cyberattaque visant Metabase a exposé des comptes liés à l’Anssi et à la Dinum. Le rapport de l’Anssi, relayé le 30 septembre, décrit une fuite de données issue d’une plateforme d’analyse. L’incident rappelle qu’une institution spécialisée peut aussi subir les effets d’un outil mal protégé.
La compromission de Metabase, repérée le 6 août, a touché 120 comptes, dont une trentaine de comptes externes. Les données concernées comprennent des identifiants, des courriels, des mots de passe et des informations sur des organismes publics. Les mesures de sécurité ont été revues, mais les données de la Dinum sont déjà publiques.
Metabase : portée de la fuite de données
Metabase sert à créer des tableaux de bord et à explorer des données internes. Sa compromission a exposé des comptes rattachés aux deux agences publiques. Le bilan fait état de 120 comptes touchés, dont environ trente comptes externes. Cette ampleur décrit l’accès compromis, pas nécessairement le nombre de personnes directement visées.
Les informations en cause couvrent plusieurs catégories. Le rapport mentionne des données statistiques d’usage, des courriels, des mots de passe et des identifiants. Des éléments administratifs d’organismes publics figurent aussi dans le lot : numéros SIREN et SIRET, budgets et effectifs. Les métadonnées de projets libres et des historiques de connexion anonymisés complètent la liste.
Pour une PME ou une ETI, l’exposition de ces données peut faciliter des courriels frauduleux très crédibles. Un pirate peut reprendre le nom d’un organisme, citer un projet ou évoquer un budget réel. Les équipes doivent donc traiter tout message lié à l’incident avec prudence. D’autres cas de fuite montrent les risques de fraude après divulgation, comme les conseils de la CNIL après une fuite.
Mesures de sécurité et risques pour les agences
L’Anssi indique que les instances vulnérables ont reçu des mises à jour. Les mots de passe de tous les comptes ont aussi été renouvelés. Les comptes inactifs depuis trois ans ont été désactivés. La Dinum a réinitialisé des accès et supprimé des comptes créés par les pirates.
Ces actions limitent le risque de nouvel accès par les mêmes comptes. Elles ne retirent toutefois pas les données déjà copiées ou publiées. Le rapport précise que les données compromises de la Dinum sont accessibles au public. La protection des données exige donc aussi une vérification des usages après correction technique.
Les agences doivent contrôler les connexions récentes, les droits accordés et les comptes de service. Les organismes partenaires peuvent aussi vérifier les accès liés à Metabase. Une PME qui échange des données avec un service public doit surveiller les demandes inhabituelles. Pour situer cet incident parmi d’autres cas, voir une fuite qui a touché Pass Pass Mobilités.
Le risque dépasse la seule confidentialité des informations. Des données administratives exactes rendent les tentatives d’hameçonnage plus convaincantes. Un courriel peut reprendre un nom d’organisme ou un détail de marché public. La sécurité informatique dépend alors autant du contrôle des accès que du traitement des alertes par les équipes.
Ce que les entreprises doivent vérifier
Le rapport paraît au lendemain d’une analyse de l’Anssi sur l’attaque de la DGFiP. Celle-ci avait touché 700 000 utilisateurs, selon les éléments fournis par l’agence. Le rapport relevait des faiblesses dans la gestion des accès et le contrôle interne. Deux incidents rapprochés renforcent l’intérêt d’une revue régulière des droits.
Une entreprise peut commencer par les comptes liés à ses outils d’analyse et de pilotage. Elle doit supprimer les accès sans usage, imposer des mots de passe uniques et activer une authentification renforcée. Les journaux de connexion doivent faire l’objet d’un contrôle ciblé. Les alertes liées aux comptes privilégiés méritent une priorité immédiate.
Les équipes doivent aussi préparer une réponse aux demandes suspectes. Un fournisseur qui réclame une réinitialisation urgente doit être vérifié par un canal déjà connu. Les services juridiques et informatiques doivent définir qui évalue un incident et informe les personnes concernées. Une fuite n’entraîne pas toujours une intrusion supplémentaire, mais elle peut servir de point de départ.
Pour l’administration publique comme pour les entreprises, l’enjeu est clair : réduire l’exposition des accès et détecter vite leur usage anormal. Les données sensibles publiées peuvent alimenter des fraudes ciblées, même après correction des failles. La cybersécurité doit donc couvrir les outils, les comptes et les pratiques métier. Un autre exemple utile figure dans le dossier sur la fuite de données dans le Jura.
| Élément | Fait rapporté | Risque opérationnel |
|---|---|---|
| Plateforme | Metabase compromis le 6 août | Accès indu à des comptes et données internes |
| Comptes | 120 comptes touchés, dont environ 30 externes | Usurpation ou hameçonnage ciblé |
| Données | Coordonnées, mots de passe et informations administratives | Fraude crédible auprès des agents ou partenaires |
| Réponse | Mises à jour, réinitialisation et suppression de comptes | Réduction du risque, sans retrait des données déjà publiques |
