フランス政府のメッセージングサービスがアカウント乗っ取り攻撃を受け、情報漏洩が発生

フランス政府のデジタル担当局であるDINUMは、ハッカーが乗っ取ったユーザーアカウントを利用して、フランス政府の暗号化メッセージングプラットフォーム「Tchap」に侵入したと警告した。

2018年にDINUMがANSSI（フランスサイバーセキュリティ庁）と共同で自社開発したTchapは、分散型プロトコル「Matrix」を基盤としたインスタントメッセージングサービス兼コラボレーションツールであり、フランスの公共部門専用に設計されている。

2025年8月初旬、フランソワ・バイルー首相が全公務員に対し、業務上の通信においてTchapの使用を義務付け、外国製アプリの禁止を命じたことを受け、Tchapの月間ユーザー数は30万人を超え、Google Playストアでのダウンロード数は50万件を突破した。

DINUMは月曜日、ANSSIが日曜日にTchapへの不正アクセスを検知したことを明らかにし、攻撃者が乗っ取られたユーザーアカウントを利用してこのセキュアなインスタントメッセージングプラットフォームにアクセスしたと述べた。

また、フランスのデジタル担当局は、攻撃者がアクセス可能な会話内で一部のユーザーが共有した個人データが漏洩する可能性があるとして、フランスのデータ保護当局であるCNILにこの事案を通報したほか、すべてのTchapユーザーに対し、公開チャットルームはどのユーザーからもアクセス可能であり、暗号化されていないことを改めて注意喚起した。

「現段階では、悪意のあるリクエストの発信元となったアカウントを特定しました。攻撃者の継続的なアクセスを遮断し、攻撃者がアクセスできたデータの徹底的な分析を可能にするため、当該アカウントは直ちにブロックされました。 調査は現在も継続中であり、イベントログの分析を含め、攻撃者がアクセスできた会話の内容や、流出データの性質を特定しています」と、DINUMは月曜日のプレスリリースで述べました。

「すべてのTchapユーザーに対し、公開チャットルームはどのユーザーでも見つけて参加することができ、その内容は暗号化されていないことを再確認するメッセージを送信しました。Tchapの利用規約に従い、公開チャットルームでは個人情報、機密情報、または機微な情報のやり取りを行わないでください。そのようなやり取りはプライベートチャットルームで行うべきです。」

DINUMはこの侵害に関する詳細をこれ以上明らかにしていないが、ある脅威アクターが週末にこの事件への関与を認め、盗まれたファイルのサンプルを公開し、ソーシャルエンジニアリング攻撃を経てプラットフォームへのアクセス権を取得したと述べた。

​「私は教育シャード（matrix.agent.education.tchap.gouv.fr）上の有効なアカウントに対してソーシャルエンジニアリング攻撃を行いました。以下に挙げるものは、その1つのアカウントからアクセス可能な範囲であり、他のシャードにはさらに多くのデータが存在するでしょう」と彼らは述べた。

​彼らは、フランスの税務当局の地域局長が共有したPowerShellスクリプトを通じて流出したとされるハードコード化されたLDAP認証情報、およびTchapサービスを利用する公務員が共有した13.5GBを超える文書やメディアファイルを盗んだと主張している。

また、攻撃者は約65万件のメッセージと、7万3,000件以上のアカウントに関する情報（メールアドレス、組織情報、会議リンク、アカウントおよびデバイスのメタデータなど）をスクレイピングしたとされる。

「Tchap上で、どのシャードに保存されていようとも、これまでに共有されたすべてのファイルはトークンなしでダウンロード可能です」と彼らは付け加えた。「メディアIDはメッセージから取得されます。メディアURLを含むメッセージさえあれば、どのシャードにホストされているかに関係なく、自由にファイルをダウンロードできます。」

本メディアは本件についてDINUMに問い合わせたが、直ちには回答が得られなかった。

先月、フランス当局は、4月に同国の公的身分証明書および登録書類の発行・管理機関であるANTS（Agence nationale des titres sécurisés）に対するサイバー攻撃で盗まれたデータを販売した疑いのある15歳の少年を拘束した。