L'intrusion de Tchap expose 73 467 comptes non chiffrés et salles publiques : l'échec qui pourrait faciliter l'hameçonnage dirigé dans l'administration française

La Direction Interministérielle du Numérique (DINUM) a confirmé cette semaine ce qui était déjà une rumeur : une intrusion dans Tchap, la plateforme de messagerie développée pour l'administration française, a affecté un volume important de comptes de la fonction publique. Selon les chiffres officiels, 73 467 comptes Parmi plus de 825 000 utilisateurs enregistrés, l'information associée aux profils et messages publics a été compromise; DINUM a déjà notifié l'autorité de protection des données (CNIL).

Tchap est basé sur le protocole Matrix, qui permet des architectures décentralisées et cryptées facultativement fin à fin. Dans cet incident, l'explication technique donnée par l'administration elle-même est très pertinente: l'agresseur a utilisé un compte engagé pour accéder chambres publiques non cryptées où il a pu extraire des noms, des emails, des avatars et l'entité publique à laquelle les utilisateurs appartiennent. Les conversations privées, par l'architecture de la plateforme, restent cryptées et, selon DINUM, leur contenu n'a pas été déchiffré par l'intrus.

Au-delà de la déclaration officielle il y a des déclarations de l'acteur lui-même qui a revendiqué la responsabilité et publié des échantillons: il parle de près de 650 000 messages rayés, plus de 13,5 Go dans des documents et des médias, des métadonnées de comptes et d'appareils et même des références LDAP gaufrées dans des scripts. Si ces allégations sont confirmées, la portée va d'une simple « exposition au profil » à un matériel qui facilite un suivi ciblé, des campagnes d'hameçonnage hautement crédibles et d'éventuels abus opérationnels contre les services internes.

Les implications pratiques sont claires : l'exposition post et organisationnelle facilite les campagnes de dépistage contextuelles (phishing de vitesse), les liens de réunion publiés dans les forums publics peuvent être interceptés ou réutilisés, et les métadonnées ou les sessions d'appareils peuvent permettre des activités corrélées ou des comptes à grande valeur. En outre, les références hardcore - si elles existent - présentent un risque d'escalade ou d'accès à d'autres systèmes d'entreprise, de sorte qu'elles devraient être traitées comme un vecteur critique.

Les action immédiate que toute organisation touchée ou gérant des outils similaires devrait être hiérarchisée par la rotation forcée des pouvoirs et la révocation des sessions actives, le déploiement obligatoire du MFA avec des facteurs résistants au phishing, l'analyse médico-légale des journaux pour détecter les mouvements latéraux, la révision et la rotation de tout pouvoir codé et la restauration des copies sécurisées s'il existe des preuves de manipulation. Il est également essentiel de limiter ou de reconfigurer les salles publiques : si cela n'est pas nécessaire, les fermer ou les transformer en espaces protégés. Les dirigeants de DINUM et de Tchap devraient se concerter avec l'ANSSI et la CNIL pour le confinement et la communication publique; la transparence réduit le risque de réputation et aide les bénéficiaires à réagir correctement ( NIVEAU, ANSSI).

Pour les utilisateurs, la recommandation est pratique : se méfier des messages inattendus, ne pas réutiliser les mots de passe institutionnels dans d'autres services, éviter de partager des liens sensibles ou des documents dans des forums ouverts et configurer des facteurs d'authentification supplémentaires. Au niveau de l'organisation, il est impératif d'éliminer les pratiques dangereuses telles que les références intégrées dans les scripts, de tester les déploiements avant de les mettre en production et d'adopter des politiques de minimisation des données dans les espaces collectifs.

Cet incident ouvre également un débat technique et de gouvernance plus large: décentralisation et utilisation de protocoles ouverts tels que Matrice offrent des avantages en matière de souveraineté et de résilience, mais ne sont pas à l'abri des erreurs de configuration, des erreurs humaines ou de l'ingénierie sociale. Le chiffrement extrême protège les contenus sensibles, mais ne remplace pas les contrôles d'accès, l'audit de sécurité et la formation du personnel. La leçon utile pour tout administrateur est de combiner des protections cryptographiques avec des contrôles opérationnels robustes et une culture de sécurité qui traite l'exposition des métadonnées et des profils avec le même sérieux que celui des messages eux-mêmes.