Утечка данных Tchap в 2026 году

DINUM сообщило, что расследование, проводившееся совместно с ANSSI, выявило злоупотребление учётной записью пользователя Tchap после того, как злоумышленник выдал себя за её владельца или скомпрометировал её. Учётную запись, с которой поступали вредоносные запросы, выявили и немедленно заблокировали, чтобы лишить злоумышленника сохранявшегося доступа. Об инциденте уведомили французский орган по защите данных, CNIL, поскольку персональные данные могли оказаться раскрыты.

Это официальное заявление подтверждает, что нарушение безопасности платформы действительно произошло, а не осталось лишь заявлением злоумышленника или обнаруженной уязвимостью. В опубликованном сообщении не было однозначно установлено, каким образом злоумышленник получил контроль над учётной записью; объяснение о применении социальной инженерии исходило от самого злоумышленника. Поэтому LeakData не указывает какую-либо конкретную технику фишинга, вредоносное ПО, уязвимость или группировку в качестве подтверждённой причины инцидента.

По сообщению DINUM, инцидент мог затронуть 73 467 госслужащих. Эта оценка основана на том, какие данные учётных записей и общедоступные переписки были доступны злоумышленнику. Речь идёт не обо всех более чем 825 000 зарегистрированных пользователях платформы, а о менее чем девяти процентах от их общего числа.

Формулировка «могли быть затронуты» не означает, что каждое поле данных каждого пользователя было просмотрено или выгружено. DINUM сообщило, что продолжает изучать журналы событий и переписки, к которым злоумышленник мог получить доступ. Если в последующем официальном обновлении будет опубликовано подтверждённое число, число без повторного учёта одних и тех же пользователей или более узкая оценка, запись можно будет пересмотреть с учётом нового итогового значения.

По сообщению DINUM, потенциально раскрытые данные учётных записей включали как минимум фамилии, имена, адреса электронной почты, сведения об организации государственного сектора, к которой относился каждый пользователь, и аватары. К инциденту также относятся сообщения в общедоступных чатах и материалы, которыми пользователи делились в чатах, доступных злоумышленнику. Перечисленные категории отражают минимальный подтверждённый набор полей учётных записей и содержимое общедоступных чатов, к которому потенциально мог быть получен доступ.

На тот момент официальное расследование ещё не установило полный состав выгруженных данных. Дополнительные заявления злоумышленника о ссылках на встречи, метаданных устройств, сотнях тысяч сообщений, документах или жёстко заданных в коде учётных данных не были подтверждены результатами независимого компьютерно-технического исследования.

Tchap поддерживает как общедоступные, так и приватные чаты. DINUM сообщило, что приватные переписки зашифрованы, а их история остаётся недоступной даже при компрометации учётной записи пользователя. Потенциальный доступ ограничивался общедоступными чатами: они были устроены так, чтобы любой пользователь Tchap мог найти их и присоединиться к ним, а сообщения в них не шифровались.

То, что чат открыт для пользователей платформы, не даёт разрешения на злонамеренный автоматизированный сбор персональных данных или их извлечение из исходного контекста. Событие рассматривается как нарушение безопасности, поскольку через скомпрометированную учётную запись с помощью вредоносных запросов поддерживался доступ и без разрешения собиралась информация. Эта запись также исключает ошибочный вывод о том, что зашифрованные сообщения из приватных чатов были раскрыты.

DINUM заблокировало учётную запись, с которой поступали вредоносные запросы, прекратило доступ злоумышленника и вместе с профильными специалистами приступило к изучению журналов событий. Ведомство координировало работу с ANSSI, уведомило CNIL и напомнило всем пользователям Tchap, что общедоступные чаты можно найти, к ним можно присоединиться, а сообщения в них не шифруются. Анализ инцидента и устранение его последствий продолжались, чтобы установить способ атаки и определить необходимые меры защиты.

Ведомство вновь подчеркнуло, что личную, чувствительную или служебную конфиденциальную информацию нельзя публиковать в общедоступных чатах: для неё следует использовать приватные переписки. Пользователям следует проверять неожиданные сеансы и запросы аутентификации, проверять подлинность сообщений, отправленных от имени их организации, и следить за попытками фишинга, направленными на раскрытые адреса электронной почты. Это меры предосторожности, учитывающие подтверждённый состав доступных данных учётных записей и сведений о работодателях.

Число 73 467, официальная верхняя граница количества госслужащих, которых мог затронуть инцидент. Имена, фамилии, адреса электронной почты, организации и аватары составляют минимальный набор доступных полей учётных записей; полный объём выгруженных сообщений из общедоступных чатов всё ещё устанавливался в ходе расследования.

Подтверждено, что зашифрованные приватные переписки и их история оставались защищёнными, а последствия ограничивались общедоступными чатами и связанными с ними сведениями о пользователях. Личность злоумышленника, способ захвата учётной записи и полный состав выгруженных данных не были раскрыты. Неподтверждённые сведения о числе людей и полях данных, а также неподтверждённые заявления злоумышленников не включаются в публичное описание масштаба инцидента.