如果你的工作群聊里，突然混進(jìn)一個陌生人，把過去幾年所有人發(fā)的文件、鏈接、聊天記錄全部打包帶走，你是什么感覺？

法國公務(wù)員們正面臨這樣的狀況。

法國政府?dāng)?shù)字事務(wù)局（DINUM）本周一發(fā)布公告，確認(rèn)其專為公共部門打造的加密通訊平臺Tchap遭到入侵。攻擊者利用一個被盜用戶賬號，突破了這款承載著30萬月活用戶的應(yīng)用防線。法國網(wǎng)絡(luò)安全局（ANSSI）在上周日率先監(jiān)測到異?；顒?，隨即展開應(yīng)急響應(yīng)。

Tchap這個產(chǎn)品本身有點來頭。它由DINUM在2018年與ANSSI聯(lián)合自研，底層基于去中心化的Matrix協(xié)議，設(shè)計上只對法國公共部門開放。2025年8月初，總理弗朗索瓦·貝魯一紙禁令，要求所有公務(wù)員在工作通訊中停用WhatsApp、Telegram等外國應(yīng)用，強(qiáng)制遷移到Tchap。這個決定讓Tchap的下載量迅速突破50萬次，僅在Google Play商店就積累了可觀的裝機(jī)量。

但強(qiáng)制性從來不是安全性的保證書。

根據(jù)DINUM披露的信息，事件觸發(fā)后，技術(shù)團(tuán)隊立即鎖定了發(fā)起惡意請求的賬號并予以封禁，切斷了攻擊者的持久化訪問通道。目前調(diào)查仍在進(jìn)行中，團(tuán)隊正在逐條分析事件日志，試圖弄清楚攻擊者究竟進(jìn)入了哪些對話、接觸到了什么類型的數(shù)據(jù)。DINUM同時向法國數(shù)據(jù)保護(hù)機(jī)構(gòu)CNIL上報了這一事件，理由很直接：攻擊者能夠訪問的部分會話中，可能包含用戶共享的個人信息。

公告里有一句話值得所有人注意：“公共聊天室可以被任何用戶發(fā)現(xiàn)并加入，其內(nèi)容不加密”。DINUM在發(fā)給全體用戶的提醒中重申，按照Tchap的服務(wù)條款，任何個人信息、敏感數(shù)據(jù)或機(jī)密內(nèi)容都不應(yīng)該在公共聊天室里傳遞，這些內(nèi)容必須留在私密聊天室中。

這實際上揭示了一個產(chǎn)品設(shè)計與用戶行為之間的經(jīng)典裂縫。平臺在技術(shù)層面確實提供了加密的私密通道，但當(dāng)人們涌進(jìn)一個公共空間討論工作時，誰會在發(fā)每條消息前先確認(rèn)聊天室的加密狀態(tài)？

事件背后還有一個更讓人不安的細(xì)節(jié)。雖然DINUM沒有公布入侵的具體手法，但一名自稱實施此次攻擊的黑客在周末聲稱對事件負(fù)責(zé)，并公開了部分竊取文件的樣本。據(jù)此人描述，整個行動的入口是一條社會工程攻擊——“我成功社工了一個教育分片上的有效賬號（matrix.agent.education.tchap.gouv.fr），下面這些都是那一個賬號能看到的東西，其他分片可能會有更多。”

所謂“分片”，指的是Matrix協(xié)議中不同服務(wù)器實例承載的獨立數(shù)據(jù)空間。法國政府為不同部門部署了各自的Tchap分片，理論上各分片之間相互隔離。但如果攻擊者的說法屬實，意味著一個教育系統(tǒng)的賬號淪陷后，橫向移動的門并沒有被完全關(guān)上。

攻擊者聲稱的成果清單觸目驚心：一個據(jù)稱由法國稅務(wù)部門地區(qū)主管通過PowerShell腳本泄露的硬編碼LDAP憑據(jù)；超過13.5GB公務(wù)員通過Tchap共享的文檔和媒體文件；近65萬條抓取到的消息記錄；超過7.3萬個賬號的相關(guān)信息，包括郵箱地址、所屬機(jī)構(gòu)信息、會議鏈接、賬號與設(shè)備元數(shù)據(jù)。攻擊者甚至宣稱，“Tchap上任何分片里曾經(jīng)共享過的每一個文件，都可以被下載”——這句話指向的，或許是一個在文件權(quán)限管理上存在的深層架構(gòu)問題。

整個事件中，最值得思考的并不是某個具體的漏洞或攻擊技巧，而是一個簡單卻容易被忽視的事實：在強(qiáng)制遷移令下達(dá)不過四個月后，法國政府這套專為安全而生的封閉通訊系統(tǒng)，就被一個社工賬號撕開了口子。封閉不等于安全，自研不等于無懈可擊，真正的防線往往不在代碼里，而在每一個拿著賬號密碼的人面對一條可疑鏈接時，那零點幾秒的判斷中。