Question écrite ✓ Répondue le 03/09/2026 #21#

Piratage de la messagerie Tchap

Posée le 18/06/2026 · Ministère interrogé : Intelligence artificielle et numérique

La question

M. Hervé Maurey attire l'attention de Mme la ministre déléguée auprès du ministre de l'économie, des finances et de la souveraineté industrielle, énergétique et numérique, chargée de l'intelligence artificielle et du numérique sur le piratage informatique du service « Tchap » de messagerie instantanée chiffrée de l'État. L'agence nationale de la sécurité des systèmes d'information (ANSSI) a détecté, le 7 juin 2026, une compromission de ce service à la suite d'une usurpation de compte. Par cette attaque, les pirates ont pu accéder aux données communiquées dans les forums de Tchap qui ne sont pas chiffrés. Certaines informations sensibles ont pu y être diffusées par les usagers. Il souhaite donc connaître les enseignements que le Gouvernement tire de ce piratage et les mesures qu'il compte prendre pour supprimer systématiquement les informations sensibles qui pourraient être diffusées par les usagers de Tchap dans les conversations publiques du service.

✓ Réponse du gouvernement

Publiée le 03/09/2026

Le service Tchap permet aux agents publics de réaliser des conversations publiques (ou « salons publics ») et privées. Les conversations privées sont chiffrées et leur contenu est protégé. Même dans le cas d'une usurpation de compte, l'historique des conversations privées et chiffrées n'est pas accessible. Les échanges susceptibles d'avoir été consultés via l'incident mentionnés se limitent principalement au contenu des conversations publiques. Sur les plus de 825 000 agents inscrits, 73 467 agents seraient concernés par cet incident, soit moins de 9 % des utilisateurs inscrits. Ces forums, par conception, sont ouverts à l'ensemble des utilisateurs et leurs messages ne sont pas chiffrés tandis que les conversations privées des agents demeurent protégées et leur historique non consultable par un tiers illégitime. A ce stade, le compte à l'origine des requêtes malveillantes a été identifié. Il a été immédiatement bloqué afin de supprimer l'accès persistant de l'attaquant et permettre une analyse approfondie des données auxquelles il a pu accéder. Les données potentiellement exposées des comptes utilisateurs sont à minima les suivantes : nom, prénom, adresse e-mail, entité d'appartenance et avatar. Des investigations ont été menées pour identifier les conversations auxquelles l'attaquant a pu accéder et la nature des données exfiltrées, une plainte a également déposée et l'ensemble des ministères a été informé pour action auprès de leurs utilisateurs. La DINUM a également notifié à la CNIL l'incident concernant les données à caractère personnel de certains utilisateurs potentiellement compromises issues des conversations auxquelles l'attaquant aurait pu accéder. La DINUM a transmis un message à l'ensemble des utilisateurs de Tchap rappelant qu'une conversation publique peut être rejointe par tout utilisateur et que son contenu n'y est pas chiffré. Conformément aux modalités d'utilisation de Tchap, aucune information personnelle, sensible ou couverte par le secret professionnel ne doit y être échangée : ces échanges doivent être réservés aux conversations privées sur le Tchap. Des mesures techniques sont également en cours de mise en oeuvre, afin notamment de renforcer la sécurité de l'accès au service et de limiter la conservation de l'historique des échanges sur les salons publics, réduisant ainsi les risques associés aux fuites de données.

Source : senat.fr ↗