Après les revendications d’un cybercriminel concernant le piratage de Tchap, la Dinum et l’Anssi ont confirmé la compromission de la messagerie instantanée de l’État. L’accès a été rendu possible via l’usurpation d’un compte utilisateur. Une enquête approfondie est en cours pour déterminer l’ampleur exacte des données consultées.
Les faits : des centaines de milliers de messages menacés ?
Tout a commencé par la publication d’un message sur un forum de cybercriminalité, rapidement repéré et diffusé par le collectif French Breaches. Un hacker y affirmait avoir infiltré Tchap, l’application de messagerie sécurisée utilisée par l’administration française.
Le pirate prétend avoir fait main basse sur un butin conséquent :
- Des centaines de milliers de messages.
- Des profils d’agents publics.
- Des documents administratifs et des historiques de conversations.
Interrogée sur la véracité de cette cyberattaque, la Direction interministérielle du numérique (Dinum) a réagi en publiant un communiqué officiel :
« Le 7 juin 2026, l’Anssi a détecté une compromission du service Tchap de messagerie instantanée chiffrée de l’État, à la suite d’une usurpation de compte ».
Éducation nationale, salons publics : quel est le périmètre de l’attaque ?
Le compte compromis a rapidement été identifié et désactivé par les autorités afin de « supprimer l’accès persistant de l’attaquant ». Si la Dinum n’a pas donné plus de détails sur l’identité de la victime, le pirate évoque de son côté un compte appartenant à l’Éducation nationale, qui lui aurait servi de point d’entrée pour exploiter les fonctionnalités de la plateforme.
Concernant l’étendue de la fuite, les autorités se veulent prudentes. Les investigations se poursuivent à travers l’analyse des logs (historiques de connexion) pour identifier les salons ciblés. La Dinum précise toutefois un point rassurant : les échanges susceptibles d’avoir été consultés se limiteraient au contenu des conversations publiques.
Notification à la CNIL et rappel des règles de sécurité
Compte tenu de la sensibilité des informations qui circulent sur l’application, l’incident a immédiatement fait l’objet d’une notification auprès de la CNIL.
Cet incident met surtout en lumière un quiproquo sur l’usage de l’outil. Les autorités ont profité de l’alerte pour rappeler une règle de sécurité fondamentale aux utilisateurs de Tchap :
Un « salon public » peut être trouvé et rejoint par n’importe quel utilisateur de la plateforme. Par conséquent, son contenu n’y est pas chiffré de bout en bout. Il est donc formellement interdit d’y échanger des informations sensibles ou confidentielles.
Une série noire pour les services de l’État
Ce piratage ne vient pas seul, il s’inscrit dans une vague de cyberattaques visant la sphère publique ces derniers mois. Les ministères de l’Intérieur (en décembre dernier via le compte d’un agent) et des Sports, ainsi que l’ANTS (Agence nationale des titres sécurisés), ont tous été récemment ciblés.
Il est important de souligner que dans le cas de Tchap, il ne s’agit pas d’une faille technique du logiciel, mais bien d’une erreur humaine liée à la compromission d’un identifiant (probablement via du phishing ou un mot de passe trop faible).
