Intrusión en Tchap expone 73.467 cuentas y salas públicas sin cifrar: el fallo que podría facilitar phishing dirigido en la administración francesa

La Dirección Interministérielle du Numérique (DINUM) confirmó esta semana lo que ya corría como rumor: una intrusión en Tchap, la plataforma de mensajería desarrollada para la administración francesa, afectó a un volumen significativo de cuentas de la función pública. Según las cifras oficiales, alrededor de 73.467 cuentas entre más de 825.000 usuarios registrados habrían visto comprometida información asociada a perfiles y mensajes públicos; DINUM ya ha notificado el incidente a la autoridad de protección de datos (CNIL).

Tchap se fundamenta en el protocolo Matrix, que permite arquitecturas descentralizadas y opcionalmente cifrado extremo a extremo. En este incidente la explicación técnica que ha dado la propia administración es muy relevante: el atacante utilizó una cuenta comprometida para acceder a salas públicas que no están cifradas, donde pudo extraer nombres, correos, avatares y la entidad pública a la que pertenecen los usuarios. Las conversaciones privadas, por la arquitectura de la plataforma, permanecen cifradas y, según DINUM, su contenido no fue descifrado por el intruso.

Más allá del comunicado oficial hay afirmaciones del propio actor que reclamó responsabilidad y publicó muestras: habla de casi 650.000 mensajes raspados, más de 13,5 GB en documentos y medios, metadatos de cuentas y dispositivos e incluso credenciales LDAP embebidas en scripts. Si estas alegaciones se confirman, el alcance pasa de ser un simple “exposición de perfiles” a un material que facilita seguimientos dirigidos, campañas de phishing altamente creíbles y posibles abusos operativos contra servicios internos.

Las implicaciones prácticas son claras: la exposición de correos y organigrama facilita campañas de suplantación con contexto (spear phishing), los enlaces de reuniones publicados en foros públicos pueden ser interceptados o reutilizados, y los metadatos de dispositivo o sesiones pueden permitir correlacionar actividad o detectar cuentas de alto valor. Además, credenciales hardcoded —si existen— plantean riesgo de escalada o acceso a otros sistemas corporativos, por lo que deben tratarse como un vector crítico.

Las acciones inmediatas que debe priorizar cualquier organización afectada o que gestione herramientas similares son rotación forzada de credenciales y revocación de sesiones activas, despliegue obligatorio de MFA con factores resistentes a phishing, análisis forense de logs para detectar movimientos laterales, revisión y rotación de cualquier credencial embebida en código y restauración de copias seguras si hay indicios de manipulación. Es imprescindible además limitar o reconfigurar las salas públicas: si no son necesarias, cerrarlas o convertirlas en espacios protegidos. DINUM y los responsables de Tchap deben coordinar con ANSSI y CNIL para la contención y la comunicación pública; la transparencia reduce riesgo reputacional y ayuda a los destinatarios a reaccionar adecuadamente (CNIL, ANSSI).

Para los usuarios la recomendación es práctica: desconfíe de mensajes inesperados, no reutilice contraseñas institucionales en otros servicios, evite compartir enlaces sensibles o documentos en foros abiertos y configure factores de autenticación adicionales. A nivel organizacional es imperativo eliminar prácticas inseguras como credenciales embebidas en scripts, someter a pruebas de intrusión los despliegues antes de ponerlos en producción y adoptar políticas de minimización de datos en espacios colectivos.

Este incidente también abre un debate técnico y de gobernanza más amplio: la descentralización y el uso de protocolos abiertos como Matrix ofrecen ventajas en soberanía y resiliencia, pero no son inmunes a fallos de configuración, errores humanos o ingeniería social. El cifrado extremo a extremo protege contenido sensible, pero no sustituye a controles de acceso, auditoría de seguridad y formación de personal. La lección útil para cualquier administrador es combinar protecciones criptográficas con controles operacionales robustos y una cultura de seguridad que trate la exposición de metadatos y perfiles con la misma seriedad que la de los mensajes en sí.