Tchap est-elle sécurisée ? Ce que la fuite a vraiment montré

Le 8 juin, la Direction interministérielle du numérique annonce un « incident de sécurité » sur Tchap, la messagerie des agents publics. La veille, l'ANSSI avait détecté ce qu'elle décrit comme « une compromission du service à la suite d'une usurpation de compte ».

Retenez cette formule, parce que tout est dedans. Personne n'a cassé le chiffrement de Tchap.

Tchap est-elle sécurisée ?

Le chiffrement, lui, a tenu. Ce qui a cédé, c'est un compte : un accès légitime, semble-t-il rattaché à l'Éducation nationale, utilisé par quelqu'un à qui il n'appartenait pas. L'attaquant n'a pas forcé la porte, il avait la clé.

Un pirate se présentant sous le nom de « misere » revendique 13,5 Go de données : 73 467 comptes, 643 459 messages, 876 salons et près de 60 000 fichiers partagés. Ces chiffres sont ceux de l'attaquant, pas ceux de l'État, et n'ont pas été validés de façon indépendante. Il faut les lire comme une revendication.

La différence entre une faille et une porte ouverte

On parle beaucoup de « failles ». Ici il n'y en a pas eu, au sens technique. C'est important, parce que la conclusion change du tout au tout.

Si le chiffrement avait été cassé, le problème serait l'outil, et on le remplacerait. Mais un compte usurpé, c'est autre chose : cela signifie qu'un système parfaitement chiffré expose tout ce qu'un utilisateur légitime peut voir, dès l'instant où quelqu'un devient cet utilisateur. Aucun chiffrement au monde ne protège de quelqu'un qui est déjà à l'intérieur.

Sur Tchap, les conversations privées sont chiffrées. Les salons publics, eux, sont ouverts à tout compte connecté. Un intrus disposant d'un accès valide voit donc ce que voit n'importe quel agent — et c'est déjà énorme.

Pourquoi 643 000 messages étaient là

Voilà la question que presque personne ne pose. Un compte usurpé donne accès à ce qui existe. S'il n'y avait eu que les échanges de la journée, il n'y aurait eu que les échanges de la journée à prendre.

Si un intrus peut repartir avec des centaines de milliers de messages, c'est que des centaines de milliers de messages étaient conservés, avec leur historique complet, prêts à être consultés par quiconque ouvrirait la bonne session. Ce n'est pas un défaut de Tchap en particulier : c'est le fonctionnement normal d'une messagerie d'entreprise, et c'est ce que tout le monde attend d'elle.

L'archive n'est pas l'accident. L'archive est la fonctionnalité. L'incident n'a fait que révéler ce qu'elle contenait.

Le contexte, qui rend l'affaire plus gênante

En 2025, la France a écarté les messageries étrangères — WhatsApp, Signal — des communications officielles, et généralisé Tchap à l'ensemble des agents publics en septembre, précisément pour réduire le risque d'interception. L'outil a été conçu par la DINUM avec l'ANSSI.

La souveraineté numérique était l'argument. Elle n'était pas absurde : héberger ses communications chez soi reste préférable à les confier à un tiers étranger. Mais elle répondait à une menace — l'écoute extérieure — et pas à celle-ci.

Que faire pour protéger ses communications sensibles ?

Les conseils habituels sur les mots de passe ne suffisent pas ici, puisque c'est justement un accès légitime qui a servi d'entrée. Ce qui compte, ce sont les questions qu'on ne se pose pas :

1. Demandez combien de temps c'est conservé. Avant d'écrire quelque chose de sensible dans un outil professionnel, sachez si l'historique est gardé indéfiniment. Dans la plupart des messageries d'entreprise, la réponse est oui, et personne ne vous l'a jamais dit.
2. Traitez les salons ouverts comme publics. Sur Tchap comme ailleurs, un salon accessible à tout compte connecté n'est pas privé. Il est simplement réservé à un très grand nombre de personnes.
3. Activez la double authentification là où elle existe. Elle ne règle pas tout, mais c'est précisément la mesure qui rend une usurpation de compte plus difficile — le vecteur employé ici.
4. Sortez du fil ce qui n'a pas à y rester. Un document sensible partagé dans une conversation y demeure aussi longtemps que la conversation existe.

Ces précautions aident, mais elles ne touchent pas au fond. Un système conçu pour retenir retiendra, et ce qu'il retient finit par être vu — par un audit, par une réquisition, ou par quelqu'un qui a récupéré le mot de passe d'un agent. La seule chose qu'un intrus ne peut pas emporter, c'est ce qui n'existe plus. Le contraire d'une messagerie sécurisée n'est pas une messagerie vulnérable : c'est une messagerie qui ne garde rien.

Combien de vos conversations de l'an dernier sont encore lisibles quelque part, à cet instant ?