メッセンジャーアプリ「Tchap」のセキュリティ侵害により、7万3,000人以上のフランス政府職員が影響を受ける

フランス政府は、同国の暗号化メッセージングプラットフォーム「Tchap」で発生した最近の情報漏洩事件により、フランス公共部門の7万3,000人以上の職員のアカウントが影響を受けていることを明らかにした。

フランス政府のデジタル担当局であるDINUMは月曜日、攻撃者が乗っ取られたユーザーアカウントを利用してTchapプラットフォームにアクセスしたことを明らかにし、一部のユーザーが共有した個人データが漏洩した可能性があるとして、フランスのデータ保護当局（CNIL）に通報した。

当初、何が漏洩したのか、またこの侵害によって何人が影響を受けたのかについてほとんど詳細を明らかにしていなかったが、DINUMはその後の更新情報で、攻撃者がプラットフォームの全登録ユーザーの約9％が共有した情報にアクセスした可能性があることを明らかにした。

DINUMは、プライベートな会話は暗号化されその内容は保護されているものの、攻撃者は暗号化されていない公開チャットルームで共有されたすべてのデータを盗み出すことができたと説明した。これにより、攻撃者はユーザーの氏名やメールアドレス、アバター画像、および所属する公共機関の情報を収集することが可能となった。

「82万5,000人以上の登録エージェントのうち、7万3,467人のエージェントがこのインシデントの影響を受けることになり、これは登録ユーザーの9％未満に相当します。これらのフォーラムは設計上、すべてのユーザーに開放されており、メッセージは暗号化されていません。職員のプライベートな会話は引き続き保護されています」と同社は述べた。

「現時点で、悪意のあるリクエストを送信したアカウントは特定済みです。攻撃者の継続的なアクセス権を遮断し、攻撃者がアクセスできたデータの詳細な分析を行うため、当該アカウントは直ちにブロックされました。ユーザーアカウントから漏洩した可能性のあるデータには、少なくとも氏名、メールアドレス、所属組織、アバターが含まれます。」

DINUMは現時点でこの侵害の犯行主体を特定していないものの、ある脅威アクターが週末にこの攻撃の犯行を認め、盗んだファイルのサンプルを公開し、ソーシャルエンジニアリング攻撃を経てプラットフォームへのアクセス権を取得したと主張した。

​この脅威アクターは、73,000件以上のアカウントから、メールアドレス、会議リンク、組織情報、アカウントおよびデバイスのメタデータを含む、約65万件のメッセージと情報をスクレイピングしたと主張している。

​また、Tchapサービスを利用する公務員が共有した13.5GBを超える文書やメディアファイル、およびPowerShellスクリプトを通じて漏洩したハードコード化されたLDAP認証情報も盗んだとされています。

2018年にDINUMがANSSI（フランスサイバーセキュリティ庁）と共同で開発したTchapは、Matrixプロトコルを基盤とした、フランスの公共部門向けの分散型コラボレーションツールおよびインスタントメッセージングプラットフォームである。

2025年8月初旬に全公務員の業務用通信におけるデフォルトアプリとなって以来、Tchapの月間ユーザー数は30万人を超え、現在Google Playストアでのダウンロード数は50万件を超えている。

また5月には、フランスの当局が、4月に同国の公的身分証明書および登録書類の発行・管理機関であるANTS（Agence nationale des titres sécurisés）に対するサイバー攻撃で盗まれたデータを販売した疑いのある15歳の少年を逮捕しました。