DINUM informó que la plataforma de mensajería cifrada del gobierno francés, Tchap, fue vulnerada mediante el robo de una cuenta de usuario a través de ingeniería social. El atacante afirma haber robado 13.5 GB de documentos, datos de 73,000 cuentas y cientos de miles de mensajes. Las autoridades ya bloquearon el acceso y notificaron a la agencia de protección de datos (CNIL) para analizar la magnitud de la filtración.

DINUM, la dirección de asuntos digitales del gobierno francés, advirtió que hackers utilizaron una cuenta de usuario secuestrada para vulnerar Tchap, la plataforma de mensajería cifrada del gobierno francés.

Desarrollado internamente por DINUM en colaboración con ANSSI (la Agencia de Ciberseguridad de Francia) en 2018, Tchap es un servicio de mensajería instantánea y herramienta de colaboración basada en el protocolo descentralizado Matrix, diseñada exclusivamente para el sector público francés.

Tchap ha alcanzado ahora más de 300.000 usuarios mensuales y más de 500.000 descargas en la Play Store de Google después de que el primer ministro François Bayrou obligara al uso de Tchap y prohibiera las aplicaciones extranjeras para comunicaciones laborales para todos los funcionarios a principios de agosto de 2025.

DINUM reveló el lunes que ANSSI detectó una brecha en Tchap el domingo y señaló que un actor de amenazas obtuvo acceso a la plataforma de mensajería instantánea segura utilizando una cuenta de usuario comprometida.

La dirección de asuntos digitales francesa también ha alertado a la autoridad de protección de datos de Francia, la CNIL, sobre el incidente debido a la posible exposición de datos personales compartidos por algunos usuarios en conversaciones a las que el atacante pudo acceder, y ha alertado a todos los usuarios de Tchap, recordándoles que las salas de chat públicas son accesibles para cualquier usuario y no están cifradas.

"En esta etapa, se ha identificado la cuenta que originó las solicitudes maliciosas. Fue bloqueada inmediatamente para eliminar el acceso persistente del atacante y permitir un análisis exhaustivo de los datos a los que pudieron acceder. La investigación continúa, incluyendo el estudio de los registros de eventos, para identificar las conversaciones a las que el atacante pudo acceder y la naturaleza de los datos exfiltrados", afirmó DINUM en un comunicado de prensa el lunes.

"Se ha enviado un mensaje a todos los usuarios de Tchap recordándoles que cualquier usuario puede encontrar y unirse a una sala de chat pública y que su contenido no está cifrado. De acuerdo con los términos de servicio de Tchap, no se debe intercambiar información personal, sensible o confidencial en salas de chat públicas: dichos intercambios deben reservarse para salas de chat privadas".

Aunque DINUM no ha compartido más detalles sobre esta brecha, un actor de amenazas se atribuyó la responsabilidad del incidente durante el fin de semana, compartió una muestra de archivos robados y afirmó que ganó acceso a la plataforma tras un ataque de ingeniería social.

Reclamaciones de la brecha de Tchap (ThreatMon)

"Hice ingeniería social a una cuenta válida en el fragmento de educación (matrix.agent.education.tchap.gouv.fr). Todo lo siguiente es lo que esa cuenta pudo alcanzar, otros fragmentos tendrán más", dijeron.

Afirman haber robado credenciales LDAP hardcodeadas presuntamente filtradas a través de un script de PowerShell compartido por un director regional de la autoridad fiscal francesa y más de 13,5 GB de documentos y archivos multimedia compartidos por funcionarios públicos que utilizan el servicio Tchap.

Los actores de amenazas también habrían extraído casi 650.000 mensajes e información de más de 73.000 cuentas, incluyendo direcciones de correo electrónico, información de la organización, enlaces de reuniones y metadatos de cuentas y dispositivos.

"Cada archivo compartido en Tchap, en cualquier fragmento, se puede descargar sin un token", añadieron. "Los ID de los medios provienen de los mensajes. Una vez que tienes un mensaje con una URL de medio, puedes extraer el archivo libremente independientemente de qué fragmento lo aloje".

El mes pasado, las autoridades francesas detuvieron a un joven de 15 años sospechoso de vender datos robados en un ciberataque de abril contra ANTS (Agence nationale des titres sécurisés), la agencia del país encargada de emitir y gestionar documentos oficiales de identidad y registro.

Fuente:
BleepingComputer