Consultant en cybersécurité senior
Tchap piratée : la messagerie souveraine du gouvernement français compromise par le hacker « misère »
Le 7 juin 2026, l'ANSSI a détecté une activité suspecte sur Tchap, la messagerie instantanée souveraine utilisée par plus de 825 000 agents du gouvernement français. Un hacker se faisant appeler « misère » avait compromis un compte utilisateur par ingénierie sociale, puis scrapé les données de l'ensemble des canaux accessibles. 73 467 comptes affectés. La DINUM a annoncé la brèche dès le 8 juin. Retour sur un incident qui ébranle la confiance dans les solutions souveraines — et ce que les entreprises doivent en retenir.
TL;DR — L'essentiel en 30 secondes
- ▸73 467 comptes gouvernementaux affectés — soit moins de 9 % des 825 000+ agents enregistrés sur Tchap, la messagerie souveraine française.
- ▸Vecteur d'attaque : ingénierie sociale pure — aucune faille technique dans Tchap. Le hacker « misère » a compromis un compte utilisateur légitime, puis a scrapé toutes les données des canaux accessibles.
- ▸Détection rapide par l'ANSSI — activité suspecte identifiée le 7 juin, annonce publique par la DINUM le 8 juin. Moins de 24 heures entre détection et communication.
- ▸La France, 5e pays le plus ciblé — 58 incidents ransomware au premier semestre 2026, une hausse de 29 % par rapport à la même période en 2025.
— Les faits : qui, quoi, quand, où, pourquoi
Qui : Tchap est la messagerie instantanée souveraine développée par la DINUM (Direction interministérielle du numérique) pour l'ensemble des agents de l'État français. Basée sur le protocole Matrix et le client Element, elle a été conçue pour offrir une alternative sécurisée à WhatsApp, Telegram ou Signal dans un contexte gouvernemental. Plus de 825 000 agents y sont enregistrés, couvrant tous les ministères et de nombreuses administrations.
Quoi : un acteur malveillant se faisant appeler « misère » a réussi à compromettre un compte utilisateur légitime de Tchap par ingénierie sociale. Une fois authentifié dans la plateforme, l'attaquant a utilisé ce compte pour scraper — extraire automatiquement — les données de l'intégralité des canaux de discussion auxquels ce compte avait accès. Au total, 73 467 comptes sur les 825 000+ agents enregistrés ont été affectés, soit moins de 9 % du total.
Quand : l'ANSSI (Agence nationale de la sécurité des systèmes d'information) a détecté une activité suspecte le 7 juin 2026. La DINUM a annoncé publiquement la brèche dès le 8 juin, soit moins de 24 heures après la détection — un délai de réaction remarquablement court pour une institution publique.
Pourquoi c'est grave : Tchap n'est pas n'importe quelle messagerie. C'est l'outil de communication interne du gouvernement français, censé incarner la souveraineté numérique. Son piratage par une technique aussi « simple » que l'ingénierie sociale démontre une réalité inconfortable : la technologie la plus sécurisée du monde ne protège pas contre la manipulation humaine.
L'incident Tchap en chiffres
— Chronologie de l'attaque contre Tchap
Opinion d'expert
« Le piratage de Tchap détruit un mythe dangereux : celui que la souveraineté numérique suffit à garantir la sécurité. Tchap est techniquement solide — chiffrement de bout en bout, hébergement souverain, auditée par l'ANSSI. Mais aucune technologie ne résiste à un utilisateur qui se fait manipuler. Les entreprises doivent comprendre que la sécurité est un système global, pas un produit qu'on achète. »
— Marc Lefeuvre, WebGuard Agency
— Pourquoi l'ingénierie sociale reste la menace n°1
L'incident Tchap illustre une tendance de fond que les professionnels de la cybersécurité observent depuis des années : les attaques les plus dévastatrices n'exploitent pas des failles techniques — elles exploitent la confiance humaine. Selon le rapport Verizon DBIR 2026, 74 % des violations de données impliquent un facteur humain, qu'il s'agisse de phishing, d'ingénierie sociale ou d'erreurs de configuration.
Dans le cas de Tchap, le hacker « misère » n'a pas eu besoin de trouver une vulnérabilité dans le protocole Matrix, de contourner le chiffrement de bout en bout ou de pirater les serveurs de la DINUM. Il lui a suffi de convaincre un agent gouvernemental de lui fournir ses identifiants — ou d'interagir avec un lien malveillant. Une fois authentifié dans le système, l'attaquant disposait des mêmes droits que l'utilisateur légitime.
C'est précisément ce qui rend l'ingénierie sociale si redoutable : elle contourne toutes les défenses techniques en passant par la « porte d'entrée ». Le MFA bloque les attaques automatisées, le chiffrement protège les données en transit, les pare-feu filtrent le trafic réseau — mais aucune de ces mesures n'empêche un utilisateur authentifié d'accéder aux données auxquelles il a légitimement accès.
Le problème s'aggrave avec l'IA. Les campagnes de phishing générées par des modèles de langage sont désormais quasi indiscernables des communications légitimes. Les deepfakes vocaux et vidéo permettent d'usurper l'identité de collègues ou de supérieurs hiérarchiques. Et les outils d'OSINT (Open Source Intelligence) fournissent aux attaquants suffisamment de contexte pour personnaliser chaque tentative de manipulation. Pour approfondir les techniques de phishing assisté par IA, consultez notre article dédié sur le phishing IA en 2026 et les attaques ciblées contre les PME françaises.
Opinion d'expert
« Les entreprises dépensent des millions en pare-feu, EDR et SIEM, mais consacrent à peine 3 % de leur budget cybersécurité à la formation humaine. Tant que ce ratio ne s'inversera pas, l'ingénierie sociale restera le vecteur d'attaque le plus rentable. Le piratage de Tchap par « misère » coûte probablement quelques heures de préparation — contre des mois de développement pour un zero-day. »
— Marc Lefeuvre, WebGuard Agency
— La France, 5e pays le plus ciblé au monde
L'incident Tchap s'inscrit dans un contexte de menace en escalade constante. Au premier semestre 2026, la France a subi 58 incidents ransomware confirmés, soit une augmentation de 29 % par rapport à la même période en 2025. Cela positionne la France comme le 5e pays le plus ciblé au monde derrière les États-Unis, le Royaume-Uni, l'Allemagne et le Canada.
— Comparatif : sécurité des messageries professionnelles
Le piratage de Tchap pose une question fondamentale : quelle messagerie est véritablement sécurisée ? La réponse dépend de ce qu'on entend par « sécurité ». Le chiffrement protège les données en transit, la souveraineté contrôle l'hébergement — mais aucune plateforme ne résiste à l'ingénierie sociale sans mesures complémentaires.
| Plateforme | Chiffrement E2E | Souveraineté | Protection ingénierie sociale | Segmentation accès |
|---|---|---|---|---|
| Tchap | Oui (Matrix/Olm) | France (DINUM) | Faible — aucun UEBA natif | Canaux — pas de moindre privilège strict |
| Signal | Oui (Signal Protocol) | États-Unis (ONG) | Modérée — Vérification sécurité | Groupes manuels |
| Microsoft Teams | Partiel (option) | États-Unis (Microsoft) | Élevée — Defender + UEBA | RBAC complet (Azure AD) |
| WhatsApp Business | Oui (Signal Protocol) | États-Unis (Meta) | Faible — aucun contrôle entreprise | Aucune |
| Olvid | Oui (propriétaire) | France (certifié ANSSI) | Modérée — Vérification mutuelle | Contacts vérifiés uniquement |
Point commun : aucune plateforme ne protège contre un compte légitime compromis par ingénierie sociale. La sécurité de la messagerie dépend avant tout des politiques d'accès, de la segmentation et de la formation des utilisateurs.
Opinion d'expert
« Le problème fondamental de Tchap dans cet incident est l'absence de segmentation stricte des accès. Un seul compte compromis a suffi pour scraper 73 467 profils. C'est un défaut de conception — ou plutôt un défaut de politique d'accès. Le principe du moindre privilège aurait limité l'impact à quelques dizaines de contacts, pas à des dizaines de milliers. »
— Marc Lefeuvre, WebGuard Agency
Votre messagerie d'entreprise est-elle vulnérable à l'ingénierie sociale ?
WebGuard Agency réalise un audit de sécurité de votre messagerie et de vos pratiques d'accès en 72 heures — test de résistance au phishing, cartographie des droits, recommandations concrètes. Première consultation offerte.
Auditer ma messagerie maintenant— Ce que ça signifie pour les entreprises
Même si votre entreprise n'utilise pas Tchap, les leçons de cet incident sont directement transposables à n'importe quelle messagerie professionnelle — Teams, Slack, Google Chat, ou toute solution interne. Les mécanismes de l'attaque sont universels.
Le hacker « misère » n'a pas exploité une vulnérabilité propre à Tchap. Il a exploité trois faiblesses que l'on retrouve dans la quasi-totalité des organisations :
- ▸Confiance excessive dans les utilisateurs authentifiés — une fois connecté, un compte est rarement surveillé pour détecter des comportements anormaux (scraping massif, téléchargement inhabituel).
- ▸Absence de segmentation des accès — le compte compromis avait accès à bien plus de canaux que nécessaire pour ses fonctions. Le principe du moindre privilège n'était pas appliqué.
- ▸Formation insuffisante à l'ingénierie sociale — l'agent dont le compte a été compromis n'a vraisemblablement pas reconnu la tentative de manipulation. Les simulations de phishing régulières auraient pu prévenir cet incident.
- ▸Absence de détection comportementale (UEBA) — le scraping de 73 467 profils aurait dû déclencher des alertes bien avant que l'ANSSI ne détecte l'activité. Un système UEBA aurait identifié le volume anormal de requêtes en quelques minutes.
Pour une vue complète des vulnérabilités les plus fréquentes dans les PME, consultez notre guide sur les 10 vulnérabilités critiques en cybersécurité pour les PME en 2026.
— Les 5 couches de défense contre l'ingénierie sociale
La protection contre l'ingénierie sociale nécessite une approche en couches. Aucune mesure isolée ne suffit — c'est la combinaison qui crée la résilience.
Opinion d'expert
« Si Tchap avait déployé une solution UEBA, le scraping de 73 467 profils aurait été détecté en quelques minutes, pas en plusieurs heures. L'analyse comportementale aurait identifié le volume anormal de requêtes API — aucun agent ne consulte des milliers de profils en série. C'est la différence entre « détecter un pirate » et « détecter un comportement anormal ». La première approche échoue toujours quand l'attaquant utilise un compte légitime. »
— Marc Lefeuvre, WebGuard Agency
— Les 5 mesures immédiates pour protéger votre messagerie
Que vous utilisiez Teams, Slack, Google Chat ou une solution souveraine, voici les 5 actions prioritaires à mettre en œuvre après l'incident Tchap.
-
1
Déployez le MFA résistante au phishing sur toutes les messageries
Privilégiez les clés FIDO2/WebAuthn ou les applications d'authentification. Les SMS sont vulnérables au SIM swapping. Le MFA bloque 99,9 % des attaques automatisées de credential stuffing, mais ne protège pas contre l'ingénierie sociale avancée — d'où les 4 autres mesures.
-
2
Segmentez les accès selon le principe du moindre privilège
Chaque collaborateur ne devrait accéder qu'aux canaux strictement nécessaires à ses fonctions. Si le compte compromis dans l'incident Tchap n'avait eu accès qu'à ses propres canaux de travail, l'impact aurait été limité à quelques dizaines de contacts, pas 73 467.
-
3
Formez vos équipes avec des simulations de phishing mensuelles
Les formations génériques annuelles sont inefficaces. Mettez en place des campagnes de phishing simulé personnalisées, adaptées aux spécificités de votre entreprise. Les collaborateurs qui échouent reçoivent une micro-formation immédiate. Objectif : moins de 5 % de taux de clic.
-
4
Déployez une surveillance comportementale (UEBA)
User Entity Behavior Analytics — détectez les comportements anormaux même quand l'authentification est légitime. Un compte qui consulte 10 000 profils en une heure doit déclencher une alerte automatique, quel que soit son statut d'authentification.
-
5
Auditez régulièrement les droits d'accès
Révisez trimestriellement les droits d'accès de chaque utilisateur à vos messageries et canaux. Supprimez les comptes orphelins, révoquez les accès des collaborateurs ayant changé de poste, et documentez chaque exception. WebGuard Agency propose cet audit dans son offre de sécurité managée.
— Questions fréquentes
Qu'est-ce que Tchap et pourquoi son piratage est-il grave ?
Tchap est la messagerie instantanée souveraine du gouvernement français, développée par la DINUM sur le protocole Matrix. Avec plus de 825 000 utilisateurs enregistrés couvrant tous les ministères, elle était censée incarner la souveraineté numérique française. Son piratage par le hacker « misère » le 7 juin 2026, via une simple attaque d'ingénierie sociale, démontre qu'aucune solution technique — aussi souveraine soit-elle — ne protège contre la manipulation humaine. 73 467 comptes gouvernementaux ont été affectés, exposant potentiellement des communications internes sensibles.
Combien de comptes ont été compromis lors du piratage de Tchap ?
73 467 comptes sur les 825 000+ agents enregistrés sur Tchap ont été affectés, soit moins de 9 % du total. L'attaquant « misère » a compromis un seul compte utilisateur par ingénierie sociale, puis a utilisé ce compte pour scraper automatiquement les données de tous les canaux auxquels il avait accès. L'ampleur de l'impact (73 467 comptes à partir d'un seul compte compromis) révèle un défaut de segmentation des accès au sein de la plateforme.
Comment le hacker « misère » a-t-il piraté Tchap ?
Le hacker « misère » a utilisé l'ingénierie sociale — la manipulation psychologique — pour compromettre un compte utilisateur légitime de Tchap. Il n'a exploité aucune faille technique dans le protocole Matrix ou dans l'infrastructure de Tchap. Une fois authentifié avec les identifiants volés, il a scrapé les données de l'intégralité des canaux accessibles à ce compte. L'ANSSI a détecté l'activité suspecte le 7 juin 2026, et la DINUM a annoncé la brèche le lendemain. Le délai de réaction inférieur à 24 heures est notable, mais le mal était déjà fait.
Comment protéger la messagerie de mon entreprise contre l'ingénierie sociale ?
Cinq mesures essentielles : (1) déployer l'authentification multi-facteurs résistante au phishing (FIDO2/WebAuthn) sur toutes les messageries, (2) segmenter les accès aux canaux selon le principe du moindre privilège, (3) former les équipes aux techniques d'ingénierie sociale avec des simulations de phishing mensuelles, (4) mettre en place une surveillance comportementale (UEBA) pour détecter les activités anormales même sur des comptes authentifiés, et (5) auditer trimestriellement les droits d'accès et supprimer les comptes orphelins. Consultez notre guide en 7 étapes pour un plan d'action complet.
— Articles connexes
Phishing IA 2026 : attaques ciblées contre les PME françaises
Comment l'intelligence artificielle transforme les campagnes de phishing et ce que les PME doivent faire.
Guide10 vulnérabilités critiques en cybersécurité pour les PME en 2026
Les failles les plus exploitées par les attaquants et comment les corriger.
Breaking NewsCyberattaque Bouygues Telecom : 4,5M de données volées
Analyse complète de la fuite Bouygues Telecom de mai 2026 et actions pour les PME.
Votre messagerie est votre maillon faible
Le piratage de Tchap montre que même le gouvernement français est vulnérable à l'ingénierie sociale. WebGuard Agency réalise un audit complet de votre sécurité messagerie en 72 heures — test de phishing, cartographie des accès, plan de remédiation priorisé. Première consultation de 30 minutes offerte, sans engagement.