Des attaques DDoS mettent Threema hors service pendant plusieurs heures

Threema, le service suisse de messagerie payant axé sur la protection de la vie privée, a subi une série d’attaques DDoS ayant provoqué une interruption complète d’environ quatre heures, suivie de nouveaux problèmes intermittents.

L’information a été publiée le 16 août 2026. Les utilisateurs avaient commencé à signaler des dysfonctionnements mardi soir. Dans un premier temps, Threema avait attribué l’incident à un problème réseau chez son fournisseur de colocation, avant de confirmer l’implication d’une attaque distribuée.

Quatre heures d’indisponibilité et de nouveaux incidents

Le service est resté indisponible de 19 h 30 à 23 h 30 CEST mardi. Le rétablissement n’a toutefois pas été immédiatement stable : mercredi matin, plusieurs utilisateurs continuaient de signaler des interruptions et des difficultés d’accès.

Des signalements provenaient de plusieurs pays, même après que la page d’état officielle eut indiqué un retour à la normale. Les conditions opérationnelles ont été rétablies à 12 h 23 CEST.

La durée et la répartition géographique des problèmes montrent un impact important sur la disponibilité de la plateforme. Ni le volume total du trafic malveillant ni le nombre d’utilisateurs concernés n’ont été communiqués.

L’attaque a également touché Nine, le partenaire de colocation de Threema. Il n’a pas été établi si Threema constituait la cible principale ou si elle faisait partie des objectifs d’une opération plus vaste visant l’infrastructure du fournisseur.

Une attaque DDoS adaptative et difficile à filtrer

Une attaque DDoS, ou Distributed Denial of Service, vise à saturer ou à surcharger des systèmes au moyen de requêtes et de trafic provenant de nombreuses sources.

Dans ce cas, selon les éléments disponibles, les attaquants ont modifié à plusieurs reprises :

• les sources du trafic ;
• les méthodes utilisées ;
• les schémas de requêtes ;
• les patterns globaux de l’opération.

Cette variabilité rend peu efficace le simple blocage d’une adresse ou d’une source unique. Les équipes de défense doivent au contraire reconfigurer en permanence les filtres afin de distinguer le trafic malveillant des connexions légitimes des utilisateurs.

Threema a décrit une activité prolongée, marquée par des changements constants. La combinaison de la durée, de l’ampleur géographique et de la variation des patterns a compliqué les opérations de mitigation.

L’incident concerne la disponibilité du service. Il n’a été associé à aucune vulnérabilité logicielle précise, aucun identifiant CVE n’a été communiqué et aucun indicateur de compromission n’a été fourni.

Qui a subi les conséquences

Les utilisateurs des applications Threema classiques ont rencontré des problèmes d’accès et de continuité des communications pendant l’interruption et dans les heures qui ont suivi.

Les clients professionnels de Threema Work ont également été touchés. L’entreprise leur a envoyé des communications par e-mail mercredi matin, tandis que les account managers ont fourni des informations complémentaires en réponse aux demandes.

La situation est différente pour Threema On-Prem. Les organisations utilisant ce mode de déploiement n’ont pas subi les effets de l’attaque, car leurs installations fonctionnent sur leur propre infrastructure et ne dépendent pas de l’environnement de colocation touché.

Cette séparation de l’infrastructure a donc limité l’impact pour les entreprises qui ont besoin d’un niveau d’isolation opérationnelle plus élevé. Elle n’élimine pas tous les risques liés à la connectivité propre à chaque organisation, mais évite la dépendance à l’infrastructure centrale concernée par l’incident.

La page d’état a compliqué le suivi de l’incident

Pendant l’incident, la page dédiée à l’état des systèmes n’a pas été mise à jour dans un premier temps en raison d’un problème technique indépendant de l’attaque DDoS. Le service a donc été temporairement désactivé.

L’absence de ce canal a rendu plus difficile, pour les utilisateurs comme pour les administrateurs, le suivi réel de la situation. Cela explique la poursuite de signalements contradictoires alors même que la plateforme était officiellement rétablie.

Threema a utilisé les réseaux sociaux pour diffuser des mises à jour successives. Pour les clients de Threema Work, le principal canal de communication a toutefois été l’e-mail, complété par un contact direct avec les account managers.

Les contre-mesures mises en place par Threema

Le 14 août, Threema a ajouté une protection DDoS spécialisée en amont de son infrastructure. Ce système devrait filtrer le trafic malveillant avant qu’il n’atteigne les systèmes de l’entreprise, afin de réduire la charge et l’exposition directe de l’environnement de production.

Cette mesure ne garantit pas que de futures attaques seront impossibles, mais elle déporte une partie des capacités de détection et d’absorption hors de l’infrastructure principale. Cette approche est particulièrement pertinente lorsque les attaques modifient rapidement leur origine et leurs caractéristiques.

L’entreprise prévoit également de renforcer sa page d’état avec :

• une chronologie des incidents ;
• un flux RSS ;
• un canal indépendant pour recevoir les mises à jour du service ;
• une fonctionnalité d’abonnement destinée aux utilisateurs et aux administrateurs de Threema Work.

Pour les organisations qui ne peuvent pas accepter une dépendance à une infrastructure partagée, Threema On-Prem reste disponible et n’a pas été concerné par la panne décrite.

Ce qui reste inconnu sur l’opération

Les attaques n’ont été attribuées à aucun groupe précis et aucun mobile n’a été indiqué. On ignore également si la cible était directement Threema, Nine ou les deux infrastructures.

Aucun détail public ne permet de confirmer d’éventuels accès non autorisés aux données ou la compromission de systèmes. Les éléments disponibles décrivent un incident touchant la disponibilité, et non une violation résultant d’une faille logicielle.

Pour la même raison, il ne s’agit pas d’un cas à rattacher au catalogue KEV de la CISA : aucune vulnérabilité exploitée ni aucun identifiant associé n’a été signalé. Les mesures immédiates pour les utilisateurs consistent donc à consulter les mises à jour officielles du service, à utiliser les canaux alternatifs indiqués par Threema et, pour les organisations soumises à des exigences plus strictes, à envisager une architecture On-Prem.