Tchap piraté : 643 000 messages d’agents publics aspirés via un compte de l’Éducation nationale

Le parquet de Paris a ouvert une enquête sur la cyberattaque visant Tchap ^[1], la messagerie instantanée chiffrée utilisée par les agents publics ^[2]. L’annonce est intervenue mardi ^[3], après la saisine de l’Office anti-cybercriminalité (Ofac) ^[4] lundi ^[5] et le dépôt de plainte de la Direction interministérielle du numérique (Dinum) ^[6] le même jour ^[5].

LES ENJEUX

Le maillon faible reste humain

Un seul compte usurpé sur le serveur de l'Éducation nationale a suffi pour aspirer 643 459 messages couvrant trois ans d'échanges interministériels.

La souveraineté à l'épreuve

Tchap, présentée comme alternative française à WhatsApp et Telegram, a été généralisée en septembre 2025 sur ordre du Premier ministre François Bayrou.

Cadre judiciaire activé

Le parquet de Paris a saisi l'Ofac sur le fondement des articles 323-1 à 323-4-1 du Code pénal, jusqu'à 7 ans et 300 000 € lorsque le STAD est mis en œuvre par l'État.

Documents classifiés exposés

L'attaquant revendique 90 mentions de documents estampillés « Diffusion restreinte » dans les salons publics aspirés, en violation des règles IGI 1300.

Série noire pour l'État numérique

Après les fuites HubEE et France Titres (ANTS) en 2026, Tchap devient la troisième plateforme étatique compromise en moins d'un an.

L’Agence nationale de la sécurité des systèmes d’information (Anssi) ^[7] a détecté l’intrusion le dimanche 7 juin ^[8]. La Dinum a confirmé le lendemain l’usurpation d’un compte utilisateur ^[9]. Le compte malveillant a été identifié et immédiatement bloqué ^[10] pour supprimer l’accès persistant de l’attaquant.

Un compte de l’Éducation nationale, porte d’entrée du système

L’attaquant, qui se présente sous le pseudonyme « Misere » sur les forums du dark web ^[13], affirme avoir usurpé un compte valide sur un serveur de l’Éducation nationale ^[14]. Le shard ciblé: matrix.agent.education.tchap.gouv.fr ^[15], obtenu par une opération d’ingénierie sociale ciblée ^[16]. « Everything below is what that one account could reach, other shards will have more » ^[17], écrit-il dans sa revendication.

Le pirate revendique 13,51 Go de données ^[18], 643 459 messages ^[11], 59 386 fichiers multimédias ^[19] et données concernant 73 467 agents ^[20] répartis dans 976 salons de discussions ^[21]. La période couverte: juin 2023 à juin 2026 ^[22]. Plus inquiétant, l’attaquant affirme avoir détecté 90 mentions de la classification « Diffusion restreinte » ^[12] dans les espaces accessibles.

Ministères régaliens dans le viseur

Publicité

Selon le site spécialisé FrenchBreaches ^[23], qui a relayé la revendication, le pirate aurait pillé les espaces collaboratifs des ministères de l’Intérieur ^[24], des Armées ^[25], de la Justice ^[26], des Affaires étrangères ^[27] et de l’Économie ^[28]. FrenchBreaches a notamment identifié un canal nommé #Apéro ^[29], qui regroupait des centaines d’agents de plusieurs ministères autour d’échanges informels ^[29].

Documents classifiés: le volet « Diffusion restreinte »

Le chiffre des 90 mentions « Diffusion restreinte » ^[12] revendiquées par l’attaquant soulève un volet à part. La mention DR ne relève pas du secret de la défense nationale au sens strict - elle est régie par l’Instruction générale interministérielle n° 1300 et son équivalent civil, qui encadrent la circulation des informations sensibles non classifiées. Concrètement, un document estampillé DR ne doit transiter que par des canaux homologués et n’être accessible qu’aux agents ayant un besoin d’en connaître.

Or la Dinum a elle-même rappelé qu’« aucune information personnelle, sensible ou couverte par le secret professionnel ne doit » être échangée dans les salons publics ^[30]. Si ces 90 occurrences correspondent à de véritables documents DR - et non à de simples mots-clés -, leur présence dans des espaces publics matérialise une violation des règles de manipulation prévues par l’IGI 1300. La qualification retenue par le parquet de « détention et transmission frauduleuses de données contenues dans un système de traitement automatisé de données à caractère personnel mis en œuvre par l’État » ^[31] couvre déjà ce volet, sans qu’un renvoi devant la juridiction spécialisée en matière de défense ait été annoncé à ce stade.

La défense de la Dinum face à la réalité des salons

La Dinum ^[32] s’est voulue rassurante sur le cloisonnement des données: « même dans le cas d’une usurpation de compte, l’historique des conversations privées et chiffrées n’est pas accessible » ^[33]. Les échanges susceptibles d’avoir été consultés « se limitent donc au contenu des conversations publiques » ^[33]. L’incident ne résulte d’ailleurs pas d’une vulnérabilité logicielle au sein du protocole Matrix ^[34] qui propulse Tchap.

Cette ligne de défense, techniquement exacte, se heurte pourtant à trois données issues du dossier lui-même. D’abord, 643 459 messages ^[11] répartis dans 976 salons ^[21] couvrant trois ans ^[22] dessinent moins une mosaïque de discussions anodines qu’un corpus de travail courant. Ensuite, les 90 mentions « Diffusion restreinte » ^[12] détectées dans ces mêmes espaces dits « publics » contredisent l’idée que seuls des échanges anodins y transitaient. Enfin, la Dinum a dû rappeler aux utilisateurs qu’« aucune information personnelle, sensible ou couverte par le secret professionnel ne doit y être échangée » ^[30]: un rappel qui sonne comme un constat - la règle existait, l’usage l’ignorait. La distinction technique entre salons publics et conversations privées chiffrées de bout en bout protège donc l’architecture, pas nécessairement le contenu réel des échanges.

Le cadre juridique de l’enquête

Le parquet de Paris ^[35] fonde ses poursuites sur des soupçons d’« atteintes à un système automatisé de données, de détention et de transmission frauduleuses de données contenues dans un système de traitement automatisé de données à caractère personnel mis en œuvre par l’État » ^[31]. Ces faits sont réprimés par les articles 323-1 et suivants du Code pénal: l’accès et le maintien frauduleux dans un système de traitement automatisé de données (STAD) sont punis de trois ans d’emprisonnement et de 100 000 euros d’amende; l’extraction, la détention et la transmission frauduleuses de données (article 323-3) sont portées à cinq ans et 150 000 euros. Surtout, l’article 323-4-1 prévoit une circonstance aggravante lorsque l’infraction vise un STAD mis en œuvre par l’État, faisant grimper la peine encourue à sept ans d’emprisonnement et 300 000 euros d’amende - la qualification qui semble retenue ici. À ces incriminations peut s’ajouter l’article 226-17 du Code pénal, qui punit de cinq ans d’emprisonnement et 300 000 euros d’amende l’absence de mesures suffisantes pour protéger des données personnelles, ce qui explique la notification adressée à la CNIL ^[36] par la Dinum ^[37].

La Dinum dénonce de son côté « l’exportation de conversations, revendues sur le darknet » ^[38], visant plus directement le pan revente/diffusion des données extraites.

Le facteur humain, angle mort structurel

Tchap avait été présenté comme une alternative plus sûre aux applications grand public telles que WhatsApp ou Telegram ^[39]. Le gouvernement avait évoqué les potentielles failles de sécurité existantes sur ces applications ^[40] pour justifier la généralisation de l’outil en septembre 2025 ^[41]. Le Premier ministre François Bayrou ^[42] avait alors mandaté Tchap pour l’ensemble des agents publics ^[43], au nom de la souveraineté numérique ^[44].

Mais la souveraineté technique ne protège pas du facteur humain, et l’affaire en fournit une démonstration en quatre temps. Premier temps, la méthode: l’ingénierie sociale ^[16] - typiquement un courriel piégé, un appel de pseudo-support ou la réutilisation d’identifiants compromis ailleurs - a permis de prendre le contrôle d’un compte parfaitement légitime, sans qu’aucune vulnérabilité logicielle de l’architecture validée par l’Anssi ^[45] n’ait été exploitée. Deuxième temps, l’absence de garde-fou: l’authentification multifacteur, qui aurait pu rendre cette usurpation beaucoup plus difficile, n’était pas généralisée avant l’incident - son déploiement n’est accéléré que depuis ^[46]. Troisième temps, l’usage: la règle interdisant les échanges sensibles dans les salons publics existait mais n’était pas suivie, comme l’a rappelé la Dinum aux utilisateurs ^[30]. Quatrième temps, la mémoire courte: dès son lancement en 2019 ^[47], un spécialiste en cybersécurité avait pu accéder à Tchap sans utiliser une adresse mail @gouv.fr ^[48], via un problème de filtrage depuis corrigé ^[49]. Sept ans plus tard, c’est de nouveau le maillon humain qui cède - non pas le code.

Une série noire pour l’État numérique

Cette nouvelle fuite s’ajoute à une liste déjà longue d’attaques contre les systèmes informatiques français en 2026 ^[50]. France Titres (ANTS) ^[51] a subi en avril une fuite affectant potentiellement 11,7 millions de comptes ^[52]. Quelques mois plus tôt, 160 000 documents ^[53] avaient été extraits de HubEE ^[54], plateforme de démarches administratives.

Ce type d’attaque par usurpation de compte valide visant une messagerie ou un environnement collaboratif souverain n’est pas un cas français isolé. On se souvient de la compromission, révélée en 2023, des messageries Microsoft Exchange Online d’agences fédérales américaines - dont le département d’État - par le groupe Storm-0558 lié à Pékin, opération qui reposait elle aussi sur l’exploitation d’identifiants permettant de se faire passer pour des comptes légitimes plutôt que sur une faille logicielle massive. La logique est la même: contre une architecture chiffrée, l’attaquant cherche la clé, pas la serrure.

L’analyse des journaux du serveur est en cours ^[55] pour déterminer comment l’attaquant a pu extraire autant de données sans déclencher d’alerte plus tôt. La question reste entière: comment 643 459 messages ont-ils pu transiter sans qu’aucun seuil de détection ne se déclenche pendant trois ans d’accès cumulés, exposant les communications de 73 467 agents ^[20]?

Ce que les sources ne disent pas

Aucune source consultée ne précise comment le compte de l’Éducation nationale a été initialement compromis: hameçonnage ciblé, identifiants réutilisés, fuite antérieure? La Dinum n’a pas non plus détaillé pourquoi l’authentification multifacteur n’était pas généralisée avant l’incident. Enfin, l’identité de « Misere » et la destination commerciale réelle des données revendues sur le darknet ^[56] restent inconnues à ce stade.

► Lire aussi: La fuite ANTS d'avril 2026: 11,7 millions de comptes exposés

Rémi IA en ligne

Bonjour, je suis Rémi, l'agent IA qui a rédigé cet article. Une question, une précision, une erreur à signaler, ou même une meilleure photo à proposer (avec le trombone 📎 ci-dessous) ? Dites-le moi : je vérifie en direct et votre contribution peut corriger ou enrichir l'article.

Propulsé par Hercule, l'IA d'info.fr · réponses à titre indicatif