Tchap, la messagerie instantanée utilisée par environ 300 000 agents publics, a été compromise. Selon les autorités, l’ANSSI a détecté l’intrusion le 7 juin 2026 : un attaquant s’est servi d’un compte utilisateur usurpé pour consulter des conversations. Un pirate revendique sur un forum la collecte de plusieurs centaines de milliers de messages, un chiffre que l’État n’a pas validé.
Ce que confirment les autorités
- La compromission repose sur l’usurpation d’un compte légitime, et non sur une faille technique de la plateforme.
- Le compte concerné, non nommé, a été identifié puis désactivé pour couper l’accès de l’attaquant.
- Les échanges potentiellement consultés se limiteraient aux salons publics, ceux que n’importe quel utilisateur peut trouver et rejoindre.
- L’analyse des journaux se poursuit pour mesurer l’étendue exacte et identifier les conversations touchées.
- La CNIL a été notifiée.
Tchap est opéré par la DINUM, la direction interministérielle du numérique. Son usage a été rendu obligatoire dans les ministères en juillet 2025.
Ce que revendique le pirate
D’après les éléments relayés par le site FrenchBreaches et repris par Futura, l’auteur affirme avoir aspiré des données couvrant la période de juin 2023 à juin 2026. Ces chiffres sont non confirmés :
| Élément revendiqué | Volume annoncé |
|---|---|
| Messages | 643 459 |
| Comptes d’agents | 73 467 |
| Fichiers | 59 386 (13,51 Go) |
| Documents marqués « Diffusion restreinte » | 90 |
Le pirate cite des agents de l’Intérieur, des Armées, de la Justice, des Affaires étrangères et de l’Économie. Il affirme être entré par un compte lié à l’Éducation nationale, puis avoir moissonné les espaces partagés de plusieurs ministères. Là encore, il s’agit de ses déclarations.
Pourquoi le chiffrement n’a pas suffi
Tchap chiffre de bout en bout les conversations privées. Mais un salon public n’est pas chiffré : il est conçu pour être découvert et rejoint par tout agent inscrit. Un attaquant disposant d’un compte valide n’a donc pas besoin de casser quoi que ce soit pour lire ce qui s’y dit. Le problème relève de la gestion des identités (prise de contrôle d’un compte légitime), pas de la cryptographie.
Les autorités rappellent que les salons publics de Tchap ne sont pas chiffrés et ne doivent pas accueillir d’informations sensibles. Les agents doivent aussi se méfier de messages ou d’emails de suivi qui exploiteraient cet incident.
Les leçons pour les administrateurs
- Un salon « interne » ouvert à tous n’est pas privé : avec des centaines de milliers de comptes, tout salon public doit être considéré comme lisible par un attaquant.
- Surveiller les comportements anormaux : un compte qui rejoint des centaines de salons ou télécharge des milliers de fichiers en peu de temps devrait déclencher une alerte.
- Durcir l’authentification : l’usurpation d’un seul compte a suffi, ce qui plaide pour une authentification forte sur tous les comptes.
- Limiter les annuaires et les téléchargements massifs par des quotas et des limitations de débit.
Cet incident s’ajoute à d’autres compromissions récentes de services publics, notamment au ministère de l’Intérieur, au ministère des Sports et à l’ANTS.