Attaques DDoS contre Threema

Si vous utilisez régulièrement Threema, vous avez peut-être remarqué que le service était temporairement indisponible ou seulement partiellement accessible mardi soir et mercredi matin. Cela était dû à une série d'attaques DDoS. Ci-dessous, nous expliquons ce qui s'est passé et présentons les mesures que nous avons prises.

Qu'est-ce qu'une attaque DDoS ?

Lors d'une attaque par « Déni de Service » (DoS - Denial of Service), un attaquant envoie un nombre disproportionné de requêtes ou de paquets de données à un service en ligne afin de surcharger son infrastructure et de le rendre temporairement inaccessible aux utilisateurs.

Si l'attaque provient simultanément de sources multiples (et potentiellement changeantes), on parle d'attaque par « Déni de Service Distribué » (DDoS). Cela rend la défense nettement plus difficile, car il n'est pas possible de simplement bloquer une source unique.

Une attaque DoS vise uniquement la disponibilité d'un service en ligne, et non sa sécurité. Même si une attaque DoS réussit, les attaquants n'obtiennent aucun accès aux systèmes ni aux données.

Pour parler simplement, cela revient à une compétition de ressources entre l'attaquant et le fournisseur de services : l'attaquant tente de générer plus de trafic que l'infrastructure du fournisseur ne peut en traiter ou que ses mécanismes de protection ne peuvent en filtrer (c'est-à-dire intercepter). Dans le même temps, le fournisseur de services analyse l'attaque, ajuste ses mesures défensives et s'efforce de bloquer le trafic illégitime sans perturber les requêtes légitimes.

Comme les attaquants sophistiqués changent constamment de méthodes, de sources et de schémas d'attaque au cours de l'assaut, un jeu du chat et de la souris s'engage, où chaque partie réagit continuellement à la dernière action de l'autre.

Même avec une protection DDoS efficace, les interruptions temporaires ne peuvent pas toujours être entièrement évitées lors d'attaques impliquant de grands volumes de trafic et des schémas d'attaque qui évoluent rapidement. C'est d'autant plus vrai lorsqu'un attaquant dispose de ressources techniques et financières considérables, comme cela peut être le cas d'acteurs étatiques.

Les récentes attaques DDoS contre Threema
Comme la plupart des services en ligne, Threema fait l'objet d'attaques DDoS récurrentes. Dans la grande majorité des cas cependant, les utilisateurs de Threema ne remarquent (presque) rien car nos mécanismes de défense sont efficaces ou parce que nous nous adaptons si rapidement aux nouveaux schémas d'attaque que la perturbation de service qui en résulte est au pire très brève et généralement peu étendue (par exemple, seuls certains services individuels sont temporairement indisponibles ou le site web met plus de temps à charger).

Cette semaine toutefois, une série d'attaques DDoS de grande ampleur a ciblé Threema et notre partenaire d'hébergement (colocation), Nine. Il n'est pas tout à fait clair si Threema était la cible principale ou si les attaques visaient plusieurs cibles. Dans tous les cas, elles se sont poursuivies sur une longue période et leurs schémas ont été continuellement adaptés, ce qui a rendu la défense particulièrement difficile.

En raison de ces attaques, Threema a été indisponible le mardi entre 19h30 et 23h30 HAEC (CEST). La page fournissant des informations sur l'état actuel du système n'a initialement pas été mise à jour en raison d'un problème technique indépendant de l'attaque. Nous l'avons donc temporairement mise hors ligne jusqu'à ce que le problème soit résolu.

Le mercredi matin, les attaques se sont poursuivies et le jeu du chat et de la souris décrit ci-dessus a suivi son cours. Par conséquent, des interruptions de service brèves et intermittentes se sont produites tout au long de la matinée de mercredi. À 12h23, le fonctionnement normal avait été rétabli, et tous les services sont pleinement opérationnels depuis lors.

Mesures prises
Les interruptions de service ont été communiquées étape par étape sur nos réseaux sociaux, sur la base des informations disponibles à ce moment-là. Les clients professionnels utilisant Threema Work ont été informés par e-mail le mercredi matin de l'instabilité du service, et les chargés de compte ont fourni des informations sur la situation actuelle en réponse aux demandes.

Étant donné que les organisations utilisant Threema OnPrem s'appuient sur leur propre infrastructure, elles n'ont pas été affectées par cette vague d'attaques et ont pu utiliser leurs instances Threema OnPrem comme d'habitude à tout moment, sans aucune interruption.

Pour compléter nos mécanismes de défense existants, nous mettons en œuvre une protection DDoS spécialisée en tant que mesure supplémentaire. Celle-ci filtre le trafic d'attaque en amont, réduisant ainsi la charge sur notre propre infrastructure. Une fois les derniers tests de stabilité terminés – ce qui devrait être le cas dans les prochaines heures –, le mécanisme sera activé dans l'environnement de production.

Nous allons également enrichir la page de statut dans les prochains jours. La mise à jour inclura un historique des incidents ainsi qu'un flux RSS auquel les utilisateurs intéressés et les administrateurs de Threema Work pourront s'abonner afin de recevoir les mises à jour du système via un canal indépendant.

Nous nous excusons pour le désagrément occasionné et vous remercions de votre compréhension.

Source : Blog officiel Threema: https://threema.com/en/blog/outage-august-2026

Date de publication : 14 août 2026

Titre original : DDoS Attacks on Threema

Perso je n'ai rien compris.