Metabase : quand un outil interne expose toute votre base clients

En août 2026, trois entreprises françaises ont confirmé des fuites de données. Elles n’ont pas le même secteur, pas la même taille, pas les mêmes clients. Elles ont en commun un seul point : Metabase, un logiciel d’analyse et de visualisation de données très répandu, y compris chez des prestataires qui traitent vos données à votre place.

Ce qui s’est passé

Metabase est un outil open source permettant de connecter des bases de données et d’en visualiser le contenu sous forme de tableaux de bord. Il est utilisé par des milliers d’entreprises en France, souvent en auto-hébergement sur leurs propres serveurs.

La CVE-2026-72898 est une vulnérabilité zero-day critique notée 10/10 au score CVSS. Mais que signifie tout ce jargon ? Alors, une vulnérabilité est une faille, comme les cadenas pour valise qui ont une faille volontaire permettant à la douane d’ouvrir vos bagages, en informatique on appelle ça une CVE, et on lui attribue un identifiant, ici : CVE-2026-72898. Une Zero-Day, c’est une vulnérabilité qui était utilisée par des pirates sur Internet avant même qu’un correctif ne soit proposé. Cette faille permettait donc à un attaquant d’exécuter une injection de code dans la base de données (ce qu’on appelle une injection SQL) via une session valide “forgée”, ce qui lui donnait accès direct aux bases de données connectées à l’instance Metabase. L’entreprise a publié ses premiers correctifs le 6 août 2026. Le CERT-FR a publié un avis mentionnant des risques d’atteinte à la confidentialité des données et d’injection SQL. Selon Metabase, moins de 3 % de ses clients Cloud auraient été compromis avant la mise en place des mesures correctives ; des installations auto-hébergées directement exposées sur Internet ont également été touchées.

TeleCoop, coopérative de téléphonie d’environ 10 000 abonnés, confirme avoir subi une cyberattaque entre le 18 et le 19 août 2026, attribuée explicitement à l’exploitation d’une vulnérabilité de Metabase, sa plateforme de visualisation de données.

Delicity, plateforme de livraison de repas, confirme elle aussi l’intrusion et précise que la vulnérabilité a été exploitée entre le 9 et le 24 août 2026. Les données de clients, de restaurateurs et de livreurs ont été exposées. L’entreprise indique qu’à la suite de l’incident, ses outils internes ne sont plus directement exposés à Internet et qu’une double authentification a été ajoutée.

Shipup, prestataire SaaS de suivi de livraisons utilisé notamment par Micromania et Easypara, a été compromis via la même faille entre le 31 juillet et le 17 août 2026. Micromania a confirmé la fuite de données personnelles de ses clients (noms, prénoms, adresses e-mail, numéros de téléphone) résultant de la compromission de son prestataire via une faille dans un logiciel tiers d’analyse.

Ce dernier cas est particulièrement instructif : Micromania n’utilisait pas Metabase. C’est son prestataire qui l’utilisait. Et ce sont les clients de Micromania qui ont été exposés.

Deux scénarios, un même risque pour votre entreprise

Ces trois incidents illustrent deux chemins distincts vers le même résultat.

Premier scénario : votre propre équipe ou votre responsable technique a installé Metabase pour analyser vos données commerciales, vos commandes, vos fichiers clients. L’instance tourne sur un serveur accessible depuis Internet, sans nécessairement le savoir. Delicity et TeleCoop correspondent à ce schéma. La faille dans le logiciel suffit à ouvrir l’accès à tout ce que la base contient.

Second scénario : vous n’utilisez pas Metabase. Mais votre prestataire logistique, votre partenaire marketing ou votre outil SaaS de suivi client, lui, l’utilise pour analyser les flux de données qu’il traite pour vous. C’est exactement ce qui s’est produit entre Shipup et Micromania. En tant que dirigeant, vous n’avez aucune visibilité sur les choix techniques internes de vos sous-traitants. Pourtant, ce sont vos clients qui reçoivent la notification de fuite.

La cause technique est ici clairement établie : l’exploitation d’une zero-day critique avant même qu’un correctif existe rendait la mise à jour préventive impossible. Mais le facteur aggravant confirmé est différent : des instances Metabase étaient exposées directement sur Internet sans nécessité opérationnelle. Delicity le reconnaît elle-même implicitement en précisant que ses outils internes ne sont désormais plus accessibles de cette façon.

Ce que votre PME doit en retenir

La leçon de ces trois incidents ne se résume pas à “mettez à jour vos logiciels”. Il faut le faire dès que possible, mais la mise à jour était ici impossible en temps réel puisqu’il s’agissait d’une zero-day. La vraie leçon porte sur la réduction de la surface exposée et sur la connaissance de ce que font vos prestataires avec vos données. Si l’entreprise avait sondé sa surface d’attaque exposée, elle aurait pu débrancher les services inutiles d’Internet.

Interrogez vos prestataires sur leurs outils internes. Votre contrat de sous-traitance au sens du RGPD vous oblige à vérifier que vos prestataires offrent des garanties suffisantes. En pratique, cela signifie poser des questions concrètes : quels logiciels utilisent-ils pour analyser vos données ? Ces outils sont-ils accessibles depuis Internet ? Disposent-ils d’une politique de mise à jour documentée ? Ce n’est pas une démarche intrusive, c’est une obligation légale.

Limitez l’exposition des outils internes. Un outil d’analyse de données n’a généralement aucune raison d’être accessible depuis l’Internet public. S’il l’est, c’est souvent par commodité ou par méconnaissance. Un VPN, un accès restreint par IP ou une authentification forte suffisent à réduire considérablement le risque. Delicity a tiré cette leçon après coup ; votre prestataire n’a peut-être pas encore eu l’occasion de le faire.

Cartographiez votre périmètre exposé, y compris l’indirect. Vous connaissez peut-être vos propres actifs numériques. Mais savez-vous quels services tiers ont accès à vos bases de données clients, et comment ces services sont hébergés ? Une solution d’External Attack Surface Management permet d’identifier les actifs exposés sur Internet qui peuvent ne pas figurer dans votre inventaire habituel.

Vérifiez vos clauses contractuelles. En cas d’incident chez un prestataire, la notification aux clients et à la CNIL vous incombe en tant que responsable de traitement, même si la faute technique est ailleurs. Vous disposez de 72 heures. Sans clause contractuelle forçant votre prestataire à vous alerter immédiatement, ce délai peut être dépassé avant même que vous soyez informé. C’est précisément ce que couvrent les articles sur la gestion du risque supply chain.

Anticipez la notification. Micromania a pu informer ses clients parce que Shipup a communiqué. Mais la chaîne d’alerte n’est pas toujours aussi fluide. Préparer un modèle de notification aux clients et une procédure interne de gestion de crise avant qu’un incident survienne réduit les délais et les erreurs de communication.

Metabase est un bon logiciel. La vulnérabilité qui a été exploitée n’est pas une négligence de conception évidente, c’est une zero-day par définition imprévisible. Ce qui était évitable, en revanche, c’est l’exposition inutile d’instances contenant des données clients directement sur Internet. Et ce qui reste sous votre contrôle, c’est la qualité de votre connaissance de ce que font vos prestataires avec vos données.

D’autres solutions existent, notamment les pare-feu d’applications web (Web Application Firewall, WAF), qui peuvent bloquer et signaler des tentatives d’exploitation d’une faille. Ils pourront faire l’objet d’un article prochain.

Sources : FrenchBreaches - Shipup, FrenchBreaches - Micromania, Cyberattaque.org - Delicity, FrenchBreaches - TeleCoop.