Włamanie do Tchap — przejęto francuski rządowy komunikator

Czym jest to zagrożenie?

W czerwcu 2026 roku Tchap — suwerenny, prowadzony przez francuski rząd komunikator — padł ofiarą incydentu bezpieczeństwa. Atakujący nie złamali szyfrowania ani nie wykorzystali luki w serwerze. Zamiast tego przejęli jedno prawdziwe konto użytkownika i dzięki niemu weszli na platformę od środka.

Tchap jest rozwijany przez DINUM (międzyresortową dyrekcję ds. cyfryzacji Francji) przy wsparciu ANSSI, krajowej agencji cyberbezpieczeństwa. To oficjalna, samodzielnie hostowana alternatywa dla WhatsAppa i Signala w sektorze publicznym, używana przez setki tysięcy urzędników do wymiany wewnętrznych, a czasem wrażliwych komunikatów rządowych.

Dlaczego to ważne

Tchap powstał właśnie po to, by rozmowy rządowe toczyły się poza komercyjnymi platformami, w infrastrukturze kontrolowanej przez Francję. Przejęcie nawet jednego konta jest poważne, ponieważ:

Zaufane konto wewnętrzne może czytać rozmowy grupowe i katalogi kontaktów

Atakujący mogą zebrać imiona i nazwiska, stanowiska i dane kontaktowe innych urzędników

Przejęta tożsamość rządowa to potężna trampolina do spear phishingu wobec współpracowników

Podważa to zaufanie do platformy zaprojektowanej jako „bezpieczny” wybór

Jak przebiegł atak

Było to przejęcie konta (atak oparty na tożsamości) — jeden z dominujących schematów włamań we Francji w 2026 roku:

Atakujący zdobyli prawidłowe dane logowania jednego użytkownika Tchap (przez phishing, ponowne użycie hasła lub złośliwe oprogramowanie typu infostealer)

Uwierzytelnili się jako ten prawdziwy użytkownik — bez potrzeby exploita czy złośliwego oprogramowania po stronie serwera

Od środka mieli dostęp do rozmów i katalogów kontaktów dostępnych dla tego konta

Zaufane konto stało się punktem wyjścia do dalszej socjotechniki wewnątrz organizacji

Dlaczego przejmowanie kont jest tak skuteczne

| Tradycyjny atak | Atak oparty na tożsamości (ten przypadek) |

|---|---|

| Wykorzystuje lukę w oprogramowaniu | Używa prawidłowych, skradzionych danych logowania |

| Często uruchamia alerty bezpieczeństwa | Wygląda jak zwykłe logowanie |

| Blokowany przez łatki | Same łatki go nie powstrzymają |

| Wymaga technicznego exploita | Wystarczy hasło (i brak MFA) |

Ponieważ atakujący „loguje się”, a nie „włamuje”, takie wtargnięcia są znacznie trudniejsze do wykrycia — aktywność wygląda na prawidłową, dopóki ktoś nie zauważy, że konto zachowuje się dziwnie.

Szerszy obraz we Francji

Incydent z Tchap to część fali ataków opartych na tożsamości i przez zaufane strony trzecie, które w 2026 roku uderzają we francuskie instytucje państwowe. W ostatnich miesiącach atakujący wzięli na cel także France Travail, Ministerstwo Spraw Wewnętrznych i wrażliwe bazy danych państwa. Najwięcej szkód wyrządzają skradzione lub ponownie używane dane logowania — a nie exploity typu zero-day.

Lista sygnałów ostrzegawczych

❌ Konto współpracownika wysyła nietypowe wiadomości, linki lub prośby

❌ Powiadomienia o logowaniu z nieznanych urządzeń lub lokalizacji

❌ Wiadomości wywierające presję lub proszące o dane logowania czy akceptację

❌ W rozmowach nagle pojawiają się kontakty, z którymi nigdy nie pisałeś

❌ Ustawienia konta (e-mail do odzyskiwania, sesje) zmienione bez Twojego udziału