Violação de dados do Tchap em 2026

A DINUM informou que uma investigação coordenada com a ANSSI constatou que uma conta de usuário do Tchap havia sido usada de forma abusiva após uma falsificação de identidade ou o comprometimento da conta. A conta responsável pelas requisições maliciosas foi identificada e imediatamente bloqueada para interromper o acesso persistente do invasor. O incidente foi comunicado à autoridade francesa de proteção de dados, CNIL, porque dados pessoais podem ter sido expostos.

Esse comunicado oficial confirma que houve uma violação na plataforma, e não apenas uma alegação de um invasor ou a descoberta de uma vulnerabilidade. O relato público não identificou de forma conclusiva como a conta foi tomada; a explicação envolvendo engenharia social veio do invasor. Por isso, a LeakData não atribui a causa verificada a nenhuma técnica específica de phishing, malware, vulnerabilidade ou grupo de agentes de ameaça.

A DINUM informou que 73.467 servidores públicos podem ter sido afetados, considerando a conta acessível e o alcance das conversas públicas. Esse número não corresponde à totalidade dos mais de 825.000 usuários cadastrados na plataforma; ele representa menos de nove por cento do total.

“Potencialmente afetados” não significa que todos os campos de dados de todos os usuários tenham sido visualizados ou extraídos. A DINUM informou que continuava analisando os registros de eventos e as conversas que o invasor podia acessar. Se uma atualização oficial posterior publicar uma contagem confirmada, sem duplicidades ou mais restrita, este registro poderá ser revisado com base no novo total.

A DINUM informou que os dados de contas de usuários potencialmente expostos incluíam, no mínimo, sobrenomes, nomes, endereços de e-mail, a entidade do setor público à qual cada usuário pertencia e avatares. As mensagens de salas públicas e o conteúdo compartilhado pelos usuários em salas acessíveis ao invasor também fazem parte do escopo do incidente. As categorias de dados refletem os campos de conta cujo acesso foi confirmado, no mínimo, e o conteúdo de salas públicas que pode ter sido acessado.

A investigação oficial ainda não havia determinado a natureza completa dos dados exfiltrados. Alegações adicionais do invasor sobre links de reuniões, metadados de dispositivos, centenas de milhares de mensagens, documentos ou credenciais embutidas no código não foram confirmadas por resultados de uma análise forense independente.

O Tchap permite conversas públicas e privadas. A DINUM informou que as conversas privadas são criptografadas e que seu histórico permanece inacessível mesmo quando uma conta de usuário é comprometida. O possível acesso ficou limitado às conversas públicas, projetadas para que qualquer usuário do Tchap pudesse encontrá-las e participar delas, e cujas mensagens não eram criptografadas.

O fato de uma sala estar aberta aos usuários da plataforma não autoriza a coleta automatizada maliciosa nem a retirada de dados pessoais de seu contexto. O evento é tratado como uma violação porque uma conta comprometida foi usada para fazer requisições maliciosas, manter o acesso e coletar informações sem autorização. Este registro também evita a conclusão incorreta de que mensagens privadas criptografadas foram expostas.

A DINUM bloqueou a conta responsável pelas requisições maliciosas, interrompeu o acesso do invasor e começou a analisar os registros de eventos com equipes especializadas. Atuou em coordenação com a ANSSI, notificou a CNIL e lembrou a todos os usuários do Tchap que as salas públicas podem ser encontradas, permitem a entrada de qualquer usuário e não são criptografadas. O diagnóstico e as medidas corretivas continuaram para determinar o método de ataque e as proteções necessárias.

O órgão reiterou que informações pessoais, sensíveis ou profissionalmente confidenciais não devem ser compartilhadas em salas públicas e devem ficar restritas às conversas privadas. Os usuários devem revisar sessões e solicitações de autenticação inesperadas, verificar mensagens enviadas em nome de sua organização e ficar atentos a tentativas de phishing direcionadas aos endereços de e-mail divulgados. Essas medidas de precaução são compatíveis com os campos de conta e de empregador cujo acesso foi verificado.

O número de 73.467 é o limite máximo oficial de servidores públicos potencialmente afetados. Nomes, sobrenomes, endereços de e-mail, entidades e avatares são os campos de conta que estavam acessíveis, no mínimo; o volume total de mensagens extraídas das salas públicas permanecia sob investigação.

O escopo verificado estabelece que as conversas privadas criptografadas e seu histórico permaneceram protegidos, enquanto o impacto se limitou às salas públicas e às informações relacionadas aos usuários. Não foram divulgados a identidade do invasor, a técnica usada para tomar a conta nem todo o conteúdo exfiltrado. Contagens de pessoas, campos de dados e alegações sobre agentes de ameaça que não foram verificados não são tratados como parte do escopo público do incidente.