Le parquet de Paris a annoncé l'ouverture d'une enquête pénale à la suite de la compromission de Tchap, l'application de messagerie instantanée utilisée par les agents publics français. Les investigations ont été confiées à l'Office anti-cybercriminalité (Ofac), chargé de déterminer l'origine de l'attaque et les éventuelles failles de sécurité.

Des soupçons de vol massif de données

La justice fonde ses poursuites sur des soupçons d'atteintes à un système automatisé de données, ainsi que de détention et transmission frauduleuses de données issues d'un système de traitement automatisé de données à caractère personnel mis en œuvre par l'État. Parallèlement, la Direction interministérielle du numérique (Dinum) a déposé une plainte dénonçant l'exportation de conversations, qui auraient été revendues sur le darknet.

Un pirate exploitant une faille humaine

L'incident, initialement détecté par l'Agence nationale de la sécurité des systèmes d'information (Anssi), ne serait pas lié à une vulnérabilité logicielle du protocole Matrix qui propulse Tchap. L'attaquant, connu sous le pseudonyme de « Misere », aurait exploité une faille humaine par une opération d'ingénierie sociale ciblée. Il serait parvenu à usurper un compte valide sur un serveur de l'Éducation nationale.

Selon la Dinum, le compte à l'origine des requêtes malveillantes a été identifié et immédiatement bloqué afin de supprimer l'accès persistant de l'attaquant. La Dinum a également précisé que les conversations privées, chiffrées de bout en bout, n'ont pas été compromises. Seules les communications publiques auraient été exposées.

Un butin conséquent revendiqué

Le pirate a rapidement revendiqué l'attaque sur des forums du dark web, faisant état d'un butin comprenant plus de 73 000 comptes d'agents de l'État, 643 000 messages et 876 salons disposant d'un historique accessible. Il affirme avoir accédé à près de trois ans d'échanges internes, entre juin 2023 et juin 2026.

Un précédent inquiétant pour une messagerie imposée

Tchap, plateforme ultra-sécurisée imposée en 2025 aux administrations françaises pour faire face aux risques d'interception de communications, est utilisée au quotidien par les agents de l'Intérieur, des Armées, de la Justice et d'autres organismes publics. Cette intrusion soulève des questions sur la robustesse des mesures de sécurité face aux techniques d'ingénierie sociale, qui visent à contourner les protections techniques en ciblant le facteur humain.