Notre système de messagerie « souveraine » français Tchap a été piraté, mais les autorités et le pirate informatique divergent quant à la gravité de la situation.
Le gouvernement affirme qu’un compte piraté n’a exposé que des salons de discussion publics ; un pirate prétend avoir récupéré 73 000 comptes et 643 000 messages. Ces chiffres importants restent à confirmer.
La France a créé sa propre messagerie cryptée afin que les fonctionnaires n’aient pas à se fier à WhatsApp ou Telegram. Or, cette messagerie a été piratée, et le gouvernement et le pirate ne parviennent pas à s’entendre sur l’étendue des données dérobées.
L’Agence nationale de la sécurité des systèmes d’information (ANSSI) a détecté une faille de sécurité chez Tchap le 7 juin. La Direction générale du numérique (DINUM), qui gère la plateforme, a publié une note d’incident et a bloqué le compte concerné. Point important : il ne s’agissait pas d’une brèche dans le chiffrement ni dans l’infrastructure.
Selon les autorités, l’attaquant a accédé au système en piratant un compte utilisateur légitime, ce qui constitue une compromission des identifiants plutôt que du système lui-même.
La version des faits présentée par le gouvernement est réductrice. Tchap, basé sur le protocole ouvert Matrix , prend en charge les conversations publiques et privées, ces dernières étant chiffrées de bout en bout . DINUM affirme que même en cas d’usurpation d’identité, l’historique des conversations privées chiffrées reste inaccessible et que seules les salles de discussion publiques non chiffrées, accessibles à tout utilisateur authentifié, ont pu être consultées.
L’amour de la technologie européenne
Les dernières rumeurs du secteur technologique européen, une anecdote de notre sage fondateur Boris et des créations artistiques IA pour le moins surprenantes. C’est gratuit, chaque semaine, directement dans votre boîte mail. Inscrivez-vous dès maintenant !
Les enquêteurs analysent toujours les journaux de connexion afin de déterminer précisément quelles conversations ont été consultées et si des données ont été dérobées. DINUM a informé la CNIL, l’autorité de protection des données, car des informations personnelles ont pu être divulguées dans les contenus accessibles à l’attaquant, et rappelle à ses utilisateurs que les salons publics ne sont pas un lieu approprié pour les informations sensibles.
L’attaquant révèle une histoire bien plus vaste. Un acteur malveillant utilisant le pseudonyme « Misère » affirme avoir accédé à des données liées à environ 73 000 agents d’État, 643 000 messages, près de 60 000 fichiers totalisant quelque 13,5 gigaoctets, des centaines de salons de discussion et environ 90 éléments faisant référence à la « Diffusion Restreinte », une mention française de diffusion restreinte, couvrant la période de juin 2023 à juin 2026.
L’attaquant affirme que l’accès s’est fait par le biais d’une ingénierie sociale visant un compte sur l’environnement éducatif de Tchap, et qu’une fonction de recherche dans l’annuaire a permis l’énumération des utilisateurs sur l’ensemble du service.
Ces chiffres, relayés par des canaux de renseignement du dark web et repris par des médias de sécurité français, n’ont pas été vérifiés par l’ANSSI ni par le DINUM, dont les déclarations ne font aucune mention de documents confidentiels, d’exposition de répertoires ou des volumes cités.
Plusieurs analystes français spécialisés en cybersécurité ont explicitement exclu ces chiffres de leurs outils de suivi des violations de données, faute de confirmation indépendante. Il s’agit d’une affirmation de l’attaquant, et non d’un fait établi.
Il existe une nuance technique qui complique les assurances du gouvernement.
Le chiffrement de bout en bout protège les messages en transit et au repos, empêchant ainsi le serveur de divulguer d’anciennes conversations privées. Cependant, les chercheurs en sécurité soulignent que le piratage complet du client d’un utilisateur connecté est différent : un attaquant se faisant passer pour cet utilisateur peut, en principe, voir tout ce que le compte voit à l’instant T, y compris les salons privés qu’il ouvre. Le chiffrement est efficace ; l’usurpation d’identité représente la faille.
Ce qui rend la situation si choquante, c’est ce que représente Tchap. DINUM et ANSSI l’ont conçu comme une alternative étatique, hébergée en France, à WhatsApp, Telegram et Slack, lancé en 2019 précisément pour que les communications gouvernementales ne soient pas confinées à des services contrôlés par l’étranger.
Depuis 2025, ce système a été déployé dans tous les ministères auprès de centaines de milliers d’agents publics, et il s’inscrit au cœur d’une campagne française plus large en faveur de l’indépendance technologique, qui a vu Paris ordonner aux ministères de passer de Windows à Linux et l’Europe, de manière plus générale, considérer sa dépendance aux technologies étrangères comme un risque politique.
L’écart entre « quelques salles publiques » et « 73 000 comptes et références à des documents confidentiels » sera comblé par l’analyse des journaux, et non par les communiqués de presse. Pour un service dont le principal argument de vente est de garantir la sécurité des communications de l’État, même une brèche limitée constitue un revers embarrassant.
Une accusation de piratage informatique, bruyante et non vérifiée, qui s’ajoute à cela, est exactement le genre d’histoire que les sceptiques quant à la souveraineté et les rivaux de la France se feront un plaisir d’amplifier.
https://thenextweb.com/news/tchap-france-sovereign-messenger-breach
https://www.numerique.gouv.fr/sinformer/espace-presse/incident-tchap