Le laboratoire d’innovation de l’Anssi, et la Dinum avec, ont été piratés. Pas par des génies en blouse blanche, non. Juste par une faille dans Metabase, un outil open-source censé aider à visualiser des données. Une faille connue, corrigée en 2022, mais que personne n’a daigné patcher à temps. Voilà le niveau de sécurité de l’État français en 2024.
Pourtant, l’Anssi, c’est l’agence qui doit protéger la France des cybermenaces. Celle qui conseille les ministères, qui forme les entreprises, qui sonne l’alerte quand un logiciel est pourri. Et aujourd’hui, c’est elle qui trébuche. Pas sur un malware ultra-sophistiqué, non. Sur une faille de base, exploitée comme un trou dans un mur mal bricolé.
Le pire ? Personne ne s’en émeut vraiment.
Metabase, le logiciel qui ouvre toutes les portes
Metabase, c’est le genre de outil qu’on installe en deux clics pour faire joli avec des graphiques. Sauf que depuis novembre 2022, une faille critique y traînait, permettant à un pirate d’exécuter du code à distance. Une faille si simple qu’elle a été corrigée en urgence. Sauf que l’Anssi, ou du moins une partie de ses services, l’a ignorée. Ou pire : l’a oubliée.
Pourquoi ? Parce que la sécurité, c’est compliqué. Parce que les équipes sont surchargées. Parce que quand on gère des millions de lignes de code, même les plus petits détails passent entre les mailles du filet. Mais quand c’est l’Anssi qui se fait avoir comme ça, ça n’a plus rien d’anecdotique.
La Dinum, direction du numérique de l’État, était aussi dans le collimateur. Là où l’Anssi est censée être le rempart, elle devient la faille.
L’État français joue à cache-cache avec ses données
En 2023, une étude de l’ANSSI elle-même révélait que 70 % des administrations françaises avaient subi au moins une cyberattaque dans l’année. 70 %. Et pourtant, rien ne change. Les budgets augmentent, les rapports s’empilent, mais les failles restent.
Pourquoi ? Parce que la cybersécurité, ce n’est pas qu’une question de technologie. C’est une question de culture.
Prenez l’exemple des hôpitaux, piratés en série depuis des années. Les blouses blanches savent que leurs données sont une cible. Mais à l’Anssi ? On dirait qu’on a oublié.
Le problème, ce n’est pas la faille. C’est que personne ne vérifie vraiment. Personne ne sanctionne. Personne ne dit : « Assez, on arrête les conneries. »
Et maintenant, on fait quoi ?
L’Anssi va « enquêter ». Elle va « tirer les leçons ». Elle va « renforcer ses contrôles ». Des phrases creuses.
Parce que la vraie question, c’est : qui va payer pour ce bordel ?
Les citoyens ? Ils n’ont même pas le choix. Les entreprises ? Elles subissent les conséquences sans rien décider. Et les responsables ? Ils signent des chèques en silence.
En 2020, le gouvernement avait lancé un plan de 1,8 milliard d’euros pour la cybersécurité. Un milliard et huit cents millions. Assez pour acheter des centaines d’experts, des outils, des audits. Et aujourd’hui, on se fait niquer par un logiciel open-source mal mis à jour.
Ça, c’est du gaspillage.
La France, championne des fuites en série
L’Anssi n’est pas la première à se faire avoir comme ça. En 2022, la Préfecture de police de Paris avait perdu des données sensibles via une faille dans un logiciel de messagerie. En 2021, la SNCF avait exposé des millions de dossiers clients à cause d’un serveur mal configuré. Et en 2020 ? La PMA avait été piratée, avec des données médicales volées.
La liste est longue. Et pourtant, à chaque fois, c’est la même chanson : « On va faire mieux. » Sauf que non.
Le vrai problème, c’est que personne ne veut assumer. Personne ne veut dire : « On a merdé, et voici comment on va réparer. »
Au lieu de ça, on fait semblant. On publie des communiqués. On organise des conférences. On donne l’impression qu’on fait quelque chose.
Mais sur le terrain ? Rien ne bouge.
La confiance, ça se perd en un clic
Quand l’Anssi se fait pirater, ce n’est pas juste un incident de plus. C’est un symbole.
Parce que l’Anssi, c’est censé être le garant. Le dernier rempart. Le type qui vous dit : « Vous êtes en sécurité. »
Sauf que maintenant, l’Anssi a un trou dans sa propre porte.
Et le pire ? Personne ne semble surpris.
Alors oui, il faut enquĂŞter. Oui, il faut corriger la faille. Mais surtout, il faut arrĂŞter de mentir.
Parce que la confiance, une fois perdue, elle ne revient pas. Et lĂ , on vient de perdre gros.
