L’Anssi piratée : quand les gardiens de la cybersécurité française se font violer leurs propres données

C’est presque du théâtre involontaire. Le 2 octobre dernier, l’Agence nationale de la sécurité des systèmes informatiques publie son analyse autopsiée du piratage de la Direction générale des finances publiques, pointant des faiblesses criantes dans la sécurisation des accès et l’absence de vigilance interne. Quelques jours plus tard, à peine l’encre sèche, l’Anssi elle-même tombe victime d’une cyberattaque. Tout comme la Dinum, l’autre organisme public chargé de la transformation numérique de l’État.

La faille au cœur du château

Les deux institutions publiques responsables de la cybersécurité et de la transformation numérique ont subi une compromission liée à une faille de Metabase, une plateforme d’analyse et de Business Intelligence. Au total, 120 comptes ont été compromis et plusieurs catégories de données ont été exfiltrées.

Metabase, c’est un logiciel populaire auprès des administrateurs pour consolider et analyser des données massives. Populaire, donc connue. Dans son rapport sur la DGFiP, l’Anssi avait précisément relevé des faiblesses dans la sécurisation des accès et un manque de vigilance interne ayant facilité l’extraction massive de données. Les mêmes causes produisant les mêmes effets, il apparaît que le château était lui-même fragilisé par les murs qu’il prétendait fortifier.

Pendant ce temps, le reste du système croule

Les administrations publiques subissent une multiplication de cyberattaques depuis décembre 2025 : ministère des sports avec 3,5 millions de foyers touchés, ministère de l’intérieur, France Travail, Caisse nationale d’assurance vieillesse et plusieurs fédérations sportives.

Mais ce qui rend cette affaire particulièrement corrosive, c’est qu’elle expose un problème structural. Les administrations publiques imposent aux entreprises privées des obligations strictes en matière de cybersécurité et de conformité au RGPD, mais ne parviennent pas elles-mêmes à garantir un niveau de protection suffisant des données qui leur sont confiées. Les conséquences incluent des risques accrus d’usurpation d’identité, de phishing ciblé et une érosion de la confiance des Français envers les services publics numériques.

L’absence de reddition des comptes

Parallèlement, un blocage législatif fait obstacle à la protection française : la directive européenne NIS 2 sur la cybersécurité n’a toujours pas été transposée en France. Pendant ce temps, les plans se succèdent, les agences se multiplient, les annonces résonnent à chaque nouvelle catastrophe. Mais rien ne change vraiment.

Chaque mois ramène son lot de fuites massives. Chaque institution piratée sort un communiqué rassurant. Chaque rapport gouvernemental promet une refonte imminente. Et pendant ce temps, les données s’échappent, s’étalent sur le dark web, se vendent ou se publient. L’État qui ordonne la vigilance cybernétique à ses administrés se révèle incapable de s’épargner lui-même. Quant aux maires, aux agents publics, aux citoyens français : leurs informations personnelles deviennent la monnaie d’échange d’une industrie de la cybercriminalité que l’État finance de fait par son incurie.