Sécurité : le premier point de situation REACTIV de l’ANSSI illustre l’ampleur du problème
L’ANSSI a publié le premier point de situation de son dispositif REACTIV. Le rapport est sobre et direct, alignant les causes des différents incidents cyber des deux derniers mois contre les ministères, avec des chiffres éloquents.
L’ANSSI (Agence nationale de la sécurité des systèmes d’information) a lancé le dispositif REACTIV le 7 septembre 2026, à la demande du Premier ministre Sébastien Lecornu. Ce mécanisme vise à renforcer la cybersécurité des services de l’État en se concentrant sur deux priorités : le traitement des comptes utilisateurs compromis et l’analyse des violations de données. REACTIV permet à l’ANSSI de centraliser la communication technique en cas de crise et d’imposer aux ministères des mesures de protection immédiates, même sous des délais contraints. Cette réorientation des moyens de l’agence est temporaire et se fait au détriment d’autres missions. L’objectif est de répondre à une situation jugée urgente, comme en témoigne le premier bilan publié trois semaines après son lancement.
Depuis le 1ᵉʳ août 2026, l’ANSSI a recensé 99 violations de données signalées, dont 67 sont confirmées et 32 sont encore en cours d’analyse. Ces incidents touchent principalement des ministères français, illustrant l’ampleur des failles de sécurité. Parmi les exemples cités, on trouve le piratage répété du ministère de l’Éducation nationale, une fuite confirmée aux impôts, et une attaque contre le ministère de l’Intérieur. Ces violations révèlent des failles récurrentes, souvent liées à des négligences dans la sécurisation des systèmes ou à des attaques opportunistes. L’ANSSI souligne que la situation exige une réponse rapide et coordonnée pour limiter les risques.
Une faille critique, référencée CVE-2026-72898 avec un score CVSS de 10 (le maximum), a été exploitée massivement depuis début août 2026. Cette vulnérabilité, de type injection SQL, permet à un attaquant non authentifié d’accéder aux bases de données de la plateforme Metabase (un outil open source d’intelligence économique) et d’obtenir des droits administrateurs. Le correctif a été publié par Metabase le 6 août, mais plusieurs ministères français, dont le Laboratoire d’innovation de l’ANSSI et la DINUM (Direction interministérielle du numérique), avaient déjà été compromis. Au total, 9 instances ministérielles ont été touchées, et l’ANSSI a dû désactiver des comptes inutilisés et réinitialiser des mots de passe pour limiter les dégâts.
Les autres incidents signalés relèvent de failles de sécurité plus traditionnelles, comme l’utilisation d’identifiants volés via des infostealers (logiciels malveillants qui récupèrent des mots de passe) ou l’absence de double authentification (MFA). Par exemple, des comptes compromis ont été utilisés pour attaquer le Portail de la Gestion Publique (PIGP), le cadastre ou l’AEFE (Agence pour l’enseignement français à l’étranger). L’ANSSI souligne que l’absence de MFA ou l’utilisation d’un second facteur faible (comme un e-mail) a facilité de nombreuses intrusions. Un sous-traitant de TRACFIN et un serveur d’échange de la DGDDI (Direction générale des douanes et droits indirects) ont également été compromis, révélant des failles dans la chaîne de sous-traitance.
Le premier bilan de REACTIV met en lumière des retards dans l’application des correctifs, notamment pour la faille Metabase. Bien que l’ANSSI ait pu imposer des mesures immédiates aux ministères, le rapport ne précise pas si des changements structurels ont été mis en place pour améliorer la culture de la cybersécurité à long terme. L’agence insiste sur l’importance de l’hygiène numérique, comme la gestion des mots de passe ou l’activation systématique de la double authentification. Pourtant, cette pratique n’est pas toujours généralisée, malgré les recommandations de l’ANSSI. Enfin, l’ANSSI elle-même a été touchée par la faille Metabase, ce qui pose question sur la réactivité et l’exemplarité de ses propres services.
