Fuite de données au laboratoire de l’Anssi et à la Dinum

L’Anssi a indiqué, le 30 septembre 2026, dans son point de situation REACTIV, qu’une vulnérabilité affectant une instance de Metabase avait entraîné des fuites de données touchant son laboratoire de recherche, la Direction interministérielle du numérique (Dinum) et QualiCharge.

En exploitant cette faille de l’outil de visualisation et d’analyse de données, les attaquants ont compromis 118 comptes du laboratoire d’innovation de l’Anssi, dont une trentaine appartenant à des utilisateurs externes. Ils ont dérobé des identifiants, des adresses e-mail, des mots de passe hachés et des données statistiques d’utilisation.

La vulnérabilité leur a également permis de compromettre deux instances Metabase de la Dinum, utilisées par les services publics ProConnect et Nuage-Public. Les attaquants ont exfiltré des informations relatives à des organismes publics : numéros SIREN et SIRET, données administratives, informations sur les budgets et les effectifs. Sont également concernées des métadonnées de contributions à des projets open source et des historiques de connexions anonymisés.

Les attaquants ont enfin compromis une instance Metabase de l’application QualiCharge, dédiée à la gestion des infrastructures de recharge des véhicules électriques. Ils y ont dérobé 102 000 sessions de recherche ainsi que les informations d’une centaine de comptes techniques.