Le 7 juin 2026, la messagerie chiffrée de l’État, Tchap, a subi la compromission d’un compte utilisateur. La Direction interministérielle du numérique (DINUM) a publié un communiqué dès le lendemain pour informer les usagers et rappeler les bonnes pratiques. Analysé en coordination avec l’ANSSI, cet incident offre un cas d’école pour toute organisation qui manipule des données personnelles.
Ce qui s’est passé sur Tchap
Selon la DINUM, l’attaque provient de l’usurpation d’un seul compte utilisateur. Une fois ce compte détourné, l’attaquant a pu envoyer des requêtes pour consulter le contenu des salons publics de la plateforme. Tchap distingue deux types d’échanges : les conversations privées, chiffrées, dont le contenu reste protégé, et les salons publics, ouverts à tous les inscrits et non chiffrés. Les investigations confirment que l’historique des conversations privées n’a pas été accessible. Le compte à l’origine des requêtes malveillantes a été identifié puis bloqué afin de couper l’accès persistant du pirate.
Des données exposées malgré le chiffrement
Sur plus de 825 000 agents inscrits, 73 467 seraient concernés, soit moins de 9 % des utilisateurs. Les données potentiellement exposées des comptes concernent au moins le nom, le prénom, l’adresse électronique, l’entité d’appartenance et l’avatar. À cela s’ajoute le contenu des salons publics, où des informations sensibles n’auraient jamais dû circuler. La DINUM a notifié l’incident à la CNIL et transmis un message à l’ensemble des utilisateurs pour rappeler qu’un salon public peut être rejoint par n’importe quel inscrit.
Ce que prévoit le RGPD (articles 32, 33 et 34)
Cet incident illustre trois obligations centrales. L’article 32 impose des mesures techniques et organisationnelles adaptées au risque : le cloisonnement entre espaces chiffrés et salons publics en fait partie. L’article 33 oblige le responsable de traitement à notifier une violation à la CNIL dans les 72 heures, ce que la DINUM a fait. L’article 34 impose d’informer les personnes concernées lorsque le risque pour leurs droits est élevé, et le message adressé aux agents participe de cette information. Documenter la violation dans un registre interne demeure également indispensable.
NIS2, un facteur aggravant pour le secteur public
Les administrations publiques figurent parmi les entités visées par la directive NIS2, transposée en droit français. Ces structures doivent renforcer la gouvernance de leur sécurité, gérer les incidents et notifier rapidement les autorités compétentes. Le détournement d’un compte, comme sur Tchap, entre pleinement dans le champ des incidents à traiter au titre de NIS2, en complément des obligations du RGPD.
Conseils pratiques
Pour limiter ce type de risque, plusieurs réflexes s’imposent :
- Activer l’authentification à plusieurs facteurs sur tous les comptes sensibles.
- Rappeler aux collaborateurs qu’un espace public n’est jamais un lieu d’échange confidentiel.
- Réserver les données personnelles ou sensibles aux canaux chiffrés.
- Surveiller les journaux d’événements pour détecter les requêtes anormales.
- Préparer à l’avance un scénario de notification à la CNIL et d’information des personnes.
La sécurité d’une messagerie repose autant sur la technique que sur les usages. L’incident Tchap rappelle qu’un seul compte compromis suffit à exposer les données de milliers de personnes.
Source : communiqué de la DINUM (numerique.gouv.fr), 8 juin 2026, incident analysé avec l’ANSSI.
