Francia construyó un mensajero soberano para reemplazar WhatsApp y Telegram en el servicio público. Servidores nacionales, protocolo de código abierto, cifrado de extremo a extremo, codesarrollo con la agencia de ciberseguridad. En septiembre de 2025 se volvió obligatorio para todos los funcionarios públicos. Un año después, una cuenta comprometida por ingeniería social expuso datos de 73.467 agentes. La soberanía de infraestructura no sustituye la seguridad de las credenciales.
Qué ocurrió
El 7 de junio de 2026 se detectó el compromiso de una cuenta de usuario en Tchap. No fue una vulnerabilidad de servidor. No fue una ruptura del cifrado. Fue un compromiso de cuenta: el atacante obtuvo acceso a credenciales legítimas mediante ingeniería social.
El 8 de junio, la DINUM publicó un comunicado. El 9 y el 10 de junio, el fiscal de París abrió una investigación y la DINUM presentó una denuncia. La cuenta fue identificada y bloqueada.
Lo que el gobierno confirma como expuesto: nombre, correo electrónico, entidad organizacional y avatar de los 73.467 agentes afectados, menos del 9% de los 825 mil registrados y 300 mil usuarios activos mensuales, según la DINUM. Las salas públicas, sin cifrar por diseño, fueron accesibles. La DINUM afirma que el historial de conversas privadas cifradas no fue accesible incluso con la cuenta comprometida.
Lo que el atacante alega, y ninguna de estas afirmaciones fue verificada independientemente por la DINUM: aproximadamente 643 mil mensajes extraídos, 876 salas accedidas, 59 mil archivos multimedia que totalizan 13,5 GB, 90 ocurrencias de clasificación "Diffusion Restreinte" en salas públicas, credenciales LDAP hardcoded en un script PowerShell y archivos multimedia descargables sin token de autenticación.
La separación entre hechos confirmados y afirmaciones no verificadas es fundamental. El gobierno francés confirmó la exposición de datos de directorio y el acceso a salas públicas. El resto permanece como afirmación.
Salas públicas sin cifrar: no es un bug, es arquitectura
Tchap tiene salas públicas que no se cifran por diseño. Eso no es una vulnerabilidad, es una decisión arquitectural. Pero funcionarios públicos compartieron información sensible en esas salas, contra la política oficial. Según el atacante, 90 ocurrencias de clasificación "Diffusion Restreinte" aparecieron en salas públicas, afirmación no verificada por la DINUM.
La DINUM atribuye la responsabilidad a los usuarios. El problema: en un mensajero gubernamental, la arquitectura debe impedir que el error humano se convierta en un incidente de seguridad. Si la información es lo suficientemente sensible para estar en la plataforma, debería ser lo suficientemente sensible para cifrarse por defecto. Dejar salas públicas sin cifrar y luego culpar al usuario por compartir información sensible en ellas es transferir al usuario una decisión que debería ser técnica.
Una cuenta comprometida, 73 mil afectados
Tchap usa una arquitectura federada por shard: cada ministerio ejecuta su homeserver. La cuenta comprometida estaba en el shard de Educación. Si la afirmación del atacante procede, la función de búsqueda de directorio habría permitido enumerar usuarios entre ministerios.
Ese es el punto crítico: los shards deberían estar aislados. Si no lo están, la federación es el vector de expansión. Una cuenta comprometida en el Ministerio de Educación no debería permitir descubrir usuarios del Ministerio de Defensa o de Hacienda. La federación, que es la fuerza del protocolo Matrix, se convierte en el vector de amplificación cuando los controles de acceso entre shards son insuficientes.
La soberanía de infraestructura no sustituye la seguridad
Francia hizo todo "correcto" según el playbook de soberanía digital: servidores nacionales, protocolo de código abierto, cifrado de extremo a extremo vía Olm/Megolm, codesarrollo con la agencia nacional de ciberseguridad, alojamiento local. Y aun así, una cuenta comprometida por ingeniería social expuso datos de 73 mil agentes públicos.
La soberanía de infraestructura protege contra la jurisdicción extranjera, la interceptación de tráfico por servicios de inteligencia y la dependencia de proveedores internacionales. No protege contra un funcionario que hace clic en un enlace de phishing. No protege contra credenciales reutilizadas. No protege contra la ingeniería social.
Son capas diferentes. La soberanía trata de dónde residen los datos y quién tiene jurisdicción. La seguridad trata de cómo se protegen los datos contra las amenazas. Confundir ambas es uno de los errores más costosos que una estrategia de ciberseguridad puede cometer.
Este no es el primer incidente. El gobierno francés sufrió un ataque a los servidores de correo del Ministerio del Interior en diciembre de 2025 y un breach en el portal de la ANTS en abril de 2026. Este es el tercer incidente gubernamental en 6 meses, y el primero en Tchap. El patrón es claro: el vector recurrente es el compromiso de credenciales, no la vulnerabilidad de infraestructura.
Qué significa esto para las empresas brasileñas
En Brasil, la discusión sobre soberanía de datos ganó fuerza con la LGPD y el Marco Civil de Internet. Pero el caso Tchap muestra que alojar datos nacionalmente es condición necesaria, no suficiente. La cadena de seguridad no es tan fuerte como el eslabón más fuerte, es tan fuerte como el eslabón más débil. Y el eslabón más débil, repetidamente, es el usuario.
En Tech86, ayudamos a las empresas a implementar concientización en seguridad que va más allá del compliance: simulamos ataques de ingeniería social, capacitamos a los equipos para reconocer vectores de compromiso de credenciales y construimos cultura de seguridad como práctica continua. Porque cuando la cuenta está comprometida, la soberanía del servidor no va a salvarlo.