La plataforma de mensajería del Gobierno francés comprometida por el misterioso hacker «Misere»

Por Kevin Townsend para SecurityWeek
Lunes, 15 de junio de 2026

• 299
• Más

Así pues, nos encontramos ante un dilema. Un comunicado oficial afirma que la filtración se produjo (no se descubrió, sino que se produjo) el 7 de junio y que se limitó al 9 % de los usuarios. Una minimización clásica, pero no inexacta. Sin embargo, casi de inmediato, un actor de amenazas desconocido coincide con el número de cuentas afectadas, pero afirma el robo de 13,5 GB de datos reales. No podemos verificar este último detalle, ya que solo contamos con informes de un informe; pero si asumimos precisión y honestidad, ¿es realista creer que un actor de amenazas desconocido pueda recopilar y exfiltrar esta cantidad de datos en un solo día?

Para obtener más perspectivas sobre las causas y consecuencias, hablamos con Ilia Kolochenko, abogado colegiado, CEO, fundador y arquitecto jefe de ImmuniWeb. ImmuniWeb ofrece a sus clientes un servicio de monitorización de la Dark Web y de inteligencia de amenazas, y detecta miles de incidentes diferentes a diario.

¿Podría «misere» ser un seudónimo adoptado por un actor estatal para esta pequeña y relativamente inocua filtración, por ejemplo, Rusia avergonzando a Francia por su postura pro-Ucrania, o Estados Unidos haciendo lo mismo por su postura bélica contra Irán? Kolochenko no lo cree, «porque es un poco trivial. Esto es demasiado pequeño como para que las agencias de inteligencia de las grandes potencias se molesten en ello».

Antes de 2024, había observado cómo los state actors comprometían sistemas y actuaban rápidamente tras el compromiso. «Pero desde 2024», continuó, «los state actors tienden a infiltrarse y permanecer ocultos. Lo alarmante ahora es una nueva tendencia en la que los state actors violan silenciosamente la infraestructura nacional crítica y la de sus proveedores. Instalan backdoors en todo para controlar la infraestructura de una nación. Penetran cada vez más profundamente, intentando acceder al mayor número posible de sistemas críticos». La motivación es pre-posicionarse con la capacidad de derribar simultáneamente múltiples, si no todas, las industrias críticas de una nación enemiga. Esto constituye cyberwar en preparación o defensa contra una posible guerra cinética.

Tampoco cree que la afirmación de que la brecha fue un incidente de Account Takeover sea informativa. Podría ser tan simple como un hacker obteniendo credenciales de los logs de stealers; pero si se tratara de un hacker avanzado, eso no sería necesario. “En el mundo actual de la nube y la IA, no necesitas robar cookies con infostealers. No necesitas zero days. Solo envías una solicitud legítima a una API y obtienes todos los registros de una institución gubernamental o una empresa privada, y todo estará en tu disco duro en pocas horas.”

Tal hipótesis podría explicar cómo Misere pudo exfiltrar 3,5 GB el mismo día en que se descubrió la brecha.

¿El nombre misere ofrece alguna pista sobre el actor o la motivación? De nuevo, no.

«El nombre asignado a este actor es insignificante», sugirió Kolochenko. «A veces, un hacker o grupo quiere proteger su reputación por realizar ataques más relevantes y adopta una identidad "desechable". En otras ocasiones, un grupo puede hacerse pasar por otro que se considere rival o afiliado a otra nación adversaria». Que el nombre sea desconocido no implica que el actor lo sea también.

En general, este ataque de un hacker desconocido contra un sistema de chat gubernamental seguro no parece ser un ataque APT. Pero esa podría ser precisamente la intención. Después de todo, involucra a 70.000 empleados gubernamentales. DINUM especifica en su anuncio de divulgación de la filtración: «Los datos de las cuentas de usuario potencialmente expuestos incluyen, como mínimo: nombre y apellido, dirección de correo electrónico, entidad afiliada y avatar». La entidad afiliada revelaría qué departamento gubernamental está involucrado, se proporciona la dirección de correo electrónico y Misere afirmó además haber extraído 640.000 mensajes de chat (en texto plano).

Esta combinación sería un filón para posteriores ataques de spear-phishing dirigidos, valiosa tanto para las bandas cibernéticas con motivaciones económicas como para los actores estatales que, en última instancia, no tienen como objetivo a Tchap, sino a los ministerios que emplean a los usuarios de Tchap. Leer el artículo completo