La plateforme de messagerie du gouvernement français piratée par un mystérieux hacker «Misere»

Par Kevin Townsend pour SecurityWeek
Lundi 15 juin 2026

• 370
• Plus

Nous faisons donc face à un casse-tête. Un communiqué officiel indique que la violation s’est produite le 7 juin (et non qu’elle a été découverte ce jour-là) et qu’elle n’a concerné que 9 % des utilisateurs. Une minimisation classique, mais pas inexacte. Pourtant, presque immédiatement, un acteur malveillant inconnu confirme le nombre de comptes compromis tout en affirmant le vol de 13,5 Go de données réelles. Nous ne pouvons vérifier ce dernier détail car nous ne disposons que d’échos d’un rapport – mais si nous supposons exactitude et honnêteté, est-il réaliste de croire qu’un tel volume de données puisse être collecté et exfiltré en une seule journée par un acteur malveillant par ailleurs inconnu?

Pour obtenir plus de détails sur les causes et les effets, nous avons interrogé Ilia Kolochenko, avocat qualifié, PDG, fondateur et architecte en chef chez ImmuniWeb. ImmuniWeb opère un service de surveillance du Dark Web et d’analyse des menaces pour ses clients et observe chaque jour des milliers d’incidents différents.

«Misere» pourrait-il être un pseudonyme adopté par un acteur étatique pour cette petite violation relativement anodine – par exemple, la Russie cherchant à embarrasser la France en raison de sa position pro-ukrainienne ; ou les États-Unis faisant de même pour leur position belliqueuse anti-iranienne? Kolochenko ne le pense pas: «Parce que c’est un peu insignifiant. C’est trop mineur pour que les agences de renseignement des grandes puissances s’en préoccupent.»

Avant 2024, il avait observé des acteurs étatiques compromettre des systèmes et exploiter rapidement ces compromissions. «Mais depuis 2024», a-t-il poursuivi, «les acteurs étatiques ont tendance à s’infiltrer et à rester discrets. Ce qui est alarmant aujourd’hui, c’est une nouvelle tendance: les acteurs étatiques pénètrent silencieusement dans les infrastructures nationales critiques et celles de leurs fournisseurs. Ils installent partout des backdoors pour contrôler les infrastructures d’une nation. Ils s’enfoncent de plus en plus profondément, cherchant à accéder au plus grand nombre de systèmes critiques possible.» L’objectif est de se positionner à l’avance pour être capable de faire tomber simultanément plusieurs, voire toutes, les industries critiques d’une nation ennemie. Il s’agit de cyberwarfare en préparation ou en défense contre une éventuelle guerre cinétique.

Il ne pense pas non plus que la suggestion selon laquelle la violation serait un cas de prise de contrôle de compte soit éclairante. Cela pourrait être aussi simple qu’un hacker récupérant des identifiants depuis les journaux de stealer ; mais s’il s’agissait d’un hacker avancé, ce ne serait pas nécessaire. «Dans le monde actuel du cloud et de l’IA, vous n’avez pas besoin de voler des cookies avec des infostealers. Vous n’avez pas besoin de zero days. Il suffit d’envoyer une requête légitime à une API, et vous obtiendrez tous les dossiers d’une institution gouvernementale ou d’une entreprise privée, et tout sera sur votre disque dur en quelques heures.»

Une telle hypothèse pourrait expliquer comment Misere a pu exfiltrer 3,5 Go le jour même où la brèche a été découverte.

Le nom «Misere» offre-t-il un indice sur l'acteur ou la motivation? Encore une fois, non.

«Le nom attribué à cet acteur n’a aucune signification», a suggéré Kolochenko. «Parfois, un hacker ou un groupe souhaite protéger sa réputation de réalisation d’attaques plus importantes et adopte une identité "jetable". Parfois, un groupe se fait passer pour un autre groupe qui pourrait être considéré comme un rival ou affilié à une autre nation adversaire.» Le fait que le nom soit inconnu ne signifie pas que l’acteur l’est.

Globalement, cette attaque menée par un hacker inconnu contre un système de chat gouvernemental sécurisé ne ressemble pas à une attaque APT. Mais cela pourrait même être l'objectif. Après tout, elle implique 70 000 employés gouvernementaux. DINUM précise dans son annonce de divulgation de la violation: «Les données des comptes utilisateurs potentiellement exposées comprennent, au minimum: le prénom et le nom, l'adresse e-mail, l'entité affiliée et l'avatar.» L'entité affiliée révélerait quel département gouvernemental est concerné, l'adresse e-mail est fournie, et Misere a en outre affirmé avoir extrait 640 000 messages de chat (en clair).

Cette combinaison constituerait une mine d'or pour de futurs attaques de spear-phishing, précieuse tant pour les gangs cybercriminels motivés par le gain financier que pour les acteurs étatiques visant en fin de compte non pas Tchap, mais les ministères employant les utilisateurs de Tchap. Lire l'article complet