Incident de sécurité sur Tchap : la DINUM sécurise la plateforme et informe les usagers après une intrusion maîtrisée

Le 7 juin 2026, l'ANSSI a détecté une compromission du service Tchap de messagerie instantanée chiffrée de l’État, à la suite d'une usurpation de compte. Des investigations ont immédiatement été menées par les équipes spécialisées de la DINUM pour confirmer cette compromission et en définir le périmètre ainsi que mettre en place les mesures immédiates de protection à titre conservatoire.

numerique.gouv.fr

Bonjour. 

Le communiqué de presse est assez bref, et évoque une usurpation de compte (faille humaine, par exemple une personne qui n'a pas su conserver secret son code d'accès) et non une faille de sécurité technique.

Pour rappel, la haute fonction publique est interdite d'utilisation de WhatsApp ( L’État impose la messagerie sécurisée Tchap dans les ministères dès septembre 2025 )  et les agents ont obligation de passer sur Tchap, une implémentation service public basée sur le protocole matrix (ce que nous utilisons par exemple avec le client elements : Element | Collaboration et messagerie sécurisées ) .
Le protocole matrix est basé sur une architecture décentralisée (contrairement à la messagerie Signal par exemple qui avait été HS lors des pannes AWS). L'avantage des messageries sur protocole matrix est qu'elles ne sont pas liées à un numéro de téléphone portable. Il vous suffit d'ouvrir un compte sur un serveur (par exemple matrix.org) en choisissant un identifiant et un mot de passe, et ensuite lancer un logiciel client (tel Elements disponible à la fois sur micro ordinateur et téléphonie mobile) et se connecter à partir de ces identifiants, vous y retrouverez les mêmes fonctionnalités que Whatsapp, signal, sauf que cela est sur serveur décentralisé, et non serveur centralisé.