Des agents publics utilisant Tchap, la messagerie collaborative sécurisée de l'administration française, sont concernés par une compromission confirmée le 8 juin 2026 par la DINUM, sous l'égide de laquelle l'outil est développé. Selon elle, l'accès a été obtenu par ingénierie sociale et seuls des espaces de discussion publics non chiffrés ont été touchés.
Ce que revendique l'auteur du piratage de Tchap
Un acteur affirme avoir obtenu l'accès à un compte valide via un environnement lié à l'Éducation nationale. Il dit avoir ensuite collecté les données d'environ 73 000 comptes d'agents publics, des messages issus de plusieurs centaines de salons de discussion et plusieurs dizaines de milliers de fichiers, soit de l'ordre de 13 Go. Les dates observées couvriraient une période allant de mi-2023 à juin 2026, avec des mentions de salons interministériels.
Des volumes non validés par la DINUM
La DINUM ne valide pas les volumes avancés par le pirate, qu'il s'agisse des quelque 73 000 comptes ou des plusieurs centaines de milliers de messages annoncés. Rien n'indique non plus que le chiffrement de bout en bout de l'application ait été compromis.
Pour les agents, l'enjeu tient à la nature des informations. Des noms et des adresses électroniques professionnels associés à des échanges internes, à des documents partagés et à des photos fournissent un contexte réel pour rédiger des messages frauduleux se faisant passer pour un collègue ou pour un autre ministère. Même publics au sein de Tchap, ces salons n'étaient pas destinés à être lus en dehors de l'administration.
Détails techniques :
- Compromission confirmée par la DINUM le 8 juin 2026, accès obtenu par ingénierie sociale
- Seuls des espaces de discussion publics non chiffrés impactés selon la DINUM
- Environ 73 000 comptes, plusieurs centaines de salons et plusieurs dizaines de milliers de fichiers annoncés
- Volume annoncé : de l'ordre de 13 Go
- Période couverte selon les horodatages : mi-2023 à juin 2026
- Aucun indice de compromission du chiffrement de bout en bout
Données concernées :
- Nom complet
- Adresse email
- Identifiant utilisateur et identifiant interne
- Jeton d'authentification
- Données professionnelles
- Contenu de messages
- Documents et photos
- Adresses web
- Données d'appareil
- Champs libres
Mentions :
Statut Fuites Infos : Confirmée par l'entreprise