El mensajero soberano de Francia, Tchap, afectado por una violación de cuenta.

      Francia construyó su propio mensajero cifrado para que los funcionarios públicos no tuvieran que confiar en WhatsApp o Telegram. Ahora ese mensajero ha sido vulnerado, y el gobierno y el atacante no pueden ponerse de acuerdo sobre cuánto se ha llevado.

      La Agencia Nacional de Ciberseguridad de Francia, ANSSI, detectó una violación de Tchap el 7 de junio, y la Dirección de Asuntos Digitales (DINUM), que gestiona la plataforma, publicó un aviso de incidente y se movió para bloquear la cuenta involucrada. Crucialmente, esto no fue una ruptura en el cifrado o la infraestructura.

      Los funcionarios dicen que el atacante entró al secuestrar una cuenta de usuario legítima, una violación de credenciales en lugar de del sistema en sí.

      El relato del gobierno sobre el daño es limitado. Tchap, que se basa en el protocolo abierto Matrix, lleva tanto conversaciones públicas como privadas, y las privadas están cifradas de extremo a extremo. DINUM dice que incluso cuando se impersona una cuenta, el historial de esas conversaciones privadas cifradas permanece inaccesible, y que solo las salas de chat públicas no cifradas, que cualquier usuario autenticado puede encontrar y unirse, pueden haber sido vistas.

      El 💜 de la tecnología de la UE Las últimas novedades de la escena tecnológica de la UE, una historia de nuestro sabio fundador Boris, y un arte de IA cuestionable. Es gratis, cada semana, en tu bandeja de entrada. ¡Regístrate ahora!

      Los investigadores aún están revisando los registros para establecer exactamente qué conversaciones fueron alcanzadas y si se tomó algún dato. DINUM ha notificado al regulador de protección de datos CNIL, ya que la información personal puede haber sido expuesta en el contenido que el atacante pudo ver, y recordó a los usuarios que las salas públicas no son el lugar para material sensible.

      El atacante cuenta una historia mucho más grande. Un actor de amenazas que usa el seudónimo 'Misère' afirma haber accedido a datos vinculados a aproximadamente 73,000 agentes estatales, 643,000 mensajes, casi 60,000 archivos que suman alrededor de 13.5 gigabytes, cientos de salas de chat y alrededor de 90 elementos que hacen referencia a 'Diffusion Restreinte', una marca de distribución restringida francesa, abarcando de junio de 2023 a junio de 2026.

      El atacante dice que la entrada se logró a través de ingeniería social en una cuenta en el entorno educativo de Tchap, y que una función de búsqueda de directorios permitió la enumeración de usuarios a través del servicio.

      Esas cifras, transmitidas por canales de inteligencia de la dark web y repetidas en medios de seguridad franceses, no han sido verificadas por ANSSI o DINUM, cuyas declaraciones no mencionan documentos restringidos, exposición de directorios, ni ninguno de los volúmenes citados.

      Varios analistas de seguridad informática franceses han mantenido explícitamente los números fuera de sus rastreadores de violaciones por falta de confirmación independiente. Siguen siendo una afirmación del atacante, no un hecho establecido.

      Hay una matiz técnico que complica la tranquilidad del gobierno.

      El cifrado de extremo a extremo protege los mensajes en tránsito y en reposo, por lo que el servidor no puede entregar chats privados antiguos. Pero los investigadores de seguridad señalan que secuestrar completamente el cliente de alguien que ha iniciado sesión es diferente: un atacante actuando como ese usuario puede, en principio, ver lo que la cuenta ve en ese momento, incluidas las salas privadas que abre. El cifrado se mantiene; la suplantación es la brecha.

      Lo que hace que esto sea doloroso es lo que Tchap representa. DINUM y ANSSI lo construyeron como una alternativa estatal, alojada en Francia, a WhatsApp, Telegram y Slack, lanzada en 2019 precisamente para que las comunicaciones del gobierno no se alojaran en servicios controlados por extranjeros.

      Desde 2025 se ha promovido en los ministerios a cientos de miles de agentes públicos, y se sitúa en medio de un impulso más amplio de Francia por la independencia tecnológica que ha llevado a París a ordenar a los ministerios que abandonen Windows y se pasen a Linux, y a Europa a tratar su dependencia de la tecnología extranjera como un riesgo político.

      La brecha entre 'unas pocas salas públicas' y '73,000 cuentas y referencias a documentos restringidos' se cerrará con el análisis de registros, no con los comunicados de prensa. Para un servicio cuyo argumento principal es que el estado puede ser confiable para gestionar sus propias comunicaciones seguras, incluso una violación contenida es un golpe incómodo.

      Una afirmación de hacker ruidosa y no verificada sobre esto es exactamente el tipo de historia que los escépticos de la soberanía y los rivales de Francia estarán encantados de amplificar.