La première heure après une cyberattaque : débranchez la prise, pas le bouton

Il est 7 h 45. La directrice adjointe allume l’ordinateur du bureau pour imprimer les fiches d’assiduité et l’écran affiche un message : vos fichiers sont chiffrés, payez pour les récupérer. Les parents arrivent dans quinze minutes. Qu’est-ce qu’on fait dans les 60 prochaines minutes ? Trois choses, dans cet ordre : isoler les appareils sans détruire les preuves, continuer d’accueillir les enfants en mode papier, et appeler les bonnes personnes dans le bon ordre. Le conseil le plus contre-intuitif vient de la Sûreté du Québec : pour éteindre le poste touché, tirez la prise électrique, n’utilisez pas le menu d’arrêt de Windows.

Les dix premières minutes : isoler sans effacer les traces

L’aide-mémoire de la Sûreté du Québec pour les victimes d’un rançongiciel, publié en mars 2026, est écrit pour les enquêteurs qui viendront prendre votre plainte :

• Identifiez et préservez le premier poste infecté, le « patient 0 ». Aucune manipulation, aucune réinitialisation.
• Éteignez ce poste en le débranchant de la prise électrique, pas par Windows. Un arrêt normal exécute des programmes et réécrit des fichiers ; couper l’alimentation fige la machine pour l’analyse.
• Débranchez du réseau les autres appareils : câble Ethernet retiré, Wi-Fi coupé, routeur éteint si nécessaire. Le Centre canadien pour la cybersécurité le confirme : déconnecter les systèmes est une mesure d’endiguement efficace.
• Ne payez aucune rançon. Le paiement ne garantit ni la récupération ni la non-publication des données, et il encourage la récidive.
• Gardez les preuves : le fichier texte de la demande de rançon (pas une capture d’écran), les courriels suspects avec leur en-tête d’origine (pas un transfert ni un PDF), les journaux d’événements et un plan de votre réseau.

Si vous ignorez quel poste a été touché en premier, préservez-en plusieurs ; si c’est impossible, faites faire une copie intégrale des disques par votre technicien avant toute restauration.

Le cycle en six phases du Centre canadien pour la cybersécurité

La fiche ITSAP.40.003 du Centre canadien pour la cybersécurité, mise à jour en janvier 2026, décrit un plan d’intervention en six phases : préparation, détection et analyse, endiguement, éradication, reprise, puis activités après incident et leçons apprises. Le matin de l’attaque, vous êtes dans les phases deux et trois. L’éradication (nettoyer, corriger, mettre à niveau) et la reprise (restaurer à partir de sauvegardes vérifiées, tester, surveiller) viendront avec votre fournisseur TI. La préparation, elle, se fait avant, et c’est elle qui décide si votre première heure sera une crise ou une procédure.

Qui appeler, dans quel ordre

1. Votre fournisseur TI (technicien, firme, ou éditeur de votre logiciel de gestion si l’incident touche son service). C’est lui qui isole proprement et évalue l’étendue.
2. Votre assureur, si votre police prévoit une couverture cyber : plusieurs exigent un appel avant tout mandat à une firme externe. Vérifiez votre contrat aujourd’hui, pas ce matin-là.
3. La direction générale et la présidence du conseil d’administration. Un rançongiciel est un enjeu de gouvernance, pas seulement technique.
4. Votre service de police local ou votre poste de la Sûreté du Québec, pour déposer une plainte. L’aide-mémoire de la SQ liste les documents à préparer et les questions de la déclaration (qui, quand, où, quoi, comment).
5. Le Centre canadien pour la cybersécurité, par le formulaire de cyber.gc.ca ou au 1-833-CYBER-88. Le Centre précise qu’il n’est pas un organisme d’application de la loi et que le signalement ne déclenche pas d’intervention immédiate ; il nourrit les avis diffusés à tous.
6. Le Centre antifraude du Canada, en ligne à signalercyberetfraude.canada.ca. Son numéro habituel est le 1-888-495-8501, mais sa page indiquait, au moment d’écrire ces lignes, que la ligne téléphonique était hors service.
7. La Commission d’accès à l’information et les parents, si des renseignements personnels ont pu être consultés et que l’incident présente un risque de préjudice sérieux. Dans tous les cas, l’incident va au registre. Le contenu de l’avis aux parents fait l’objet d’un article distinct : l’avis aux parents en six mentions obligatoires.

Qui ne viendra pas : le CERT-QC n’est pas votre 911

Le document RFC 2350 du CERT-QC, publié par le ministère de la Cybersécurité et du Numérique le 14 mars 2025, est sans ambiguïté : le CERT-QC « ne dessert que les organismes publics assujettis » à la Loi sur la gouvernance et la gestion des ressources informationnelles. Un CPE, une garderie, un bureau coordonnateur ou une responsable en milieu familial n’en font pas partie. Votre équipe d’intervention, c’est votre fournisseur TI, votre assureur et la police. Vous n’êtes pas seuls : selon une enquête de 2021 du Centre canadien pour la cybersécurité, citée par Innovation, Sciences et Développement économique Canada, près des deux tiers des entreprises canadiennes ont subi un cyberincident, et seulement le quart l’ont signalé.

Faut-il aviser le ministère de la Famille ?

Nous avons relu la Loi sur les services de garde éducatifs à l’enfance et son règlement en cherchant une obligation de déclarer un cyberincident. À notre connaissance, aucune obligation spécifique de ce genre n’y figure : la loi prévoit des avis au ministre pour un changement d’administrateur (art. 17), pour l’admission d’un enfant (art. 59.10) ou pour tout renseignement qu’il demande (art. 102), mais rien sur une attaque informatique. Vos obligations réelles sont celles de la Loi sur le privé : registre, avis à la CAI et aux parents si préjudice sérieux. Cela dit, si l’attaque vous empêche de produire vos fiches d’assiduité ou vos rapports financiers à temps, prévenez votre bureau coordonnateur ou votre direction régionale du ministère par simple prudence, et vérifiez auprès d’eux s’ils attendent autre chose.

L’exemple : le CSS des Appalaches, deux jours avant la rentrée

Le lundi 25 août 2025, le Centre de services scolaire des Appalaches, à Thetford Mines, détecte une intrusion deux jours avant la rentrée. Les cours commencent quand même. Le 3 septembre, un groupe criminel revendique l’attaque et affirme détenir 180 Go de données ; le 10 septembre, des renseignements personnels sont publiés sur le dark web. En 2016, la même organisation avait refusé de négocier avec les auteurs d’un rançongiciel et tout reconstruit. Les deux épisodes sont dans CSS des Appalaches : frappé deux fois. La leçon pour un service de garde tient en une phrase : les enfants arrivent à 7 h 30, que le serveur fonctionne ou non.

Ce que ça change pour votre service de garde

1. Imprimez la carte du frigo. Une page plastifiée dans le bureau avec les cinq gestes et les sept numéros ci-dessus, le nom de votre fournisseur TI, votre numéro de police d’assurance et l’emplacement du routeur. Trente minutes, moins de 5 $.
2. Préparez la trousse papier. Chaque mois, imprimez la liste des enfants par groupe, les contacts d’urgence, les fiches d’allergies et des fiches d’assiduité vierges. Quinze minutes par mois.
3. Vérifiez votre sauvegarde hors ligne. Une copie déconnectée du réseau et un test de restauration réel deux fois par année. Si votre logiciel est hébergé par un fournisseur, demandez-lui par écrit sa fréquence de sauvegarde et son délai de reprise.
4. Changez les mots de passe critiques depuis un appareil sain : courriel de la direction, logiciel de gestion, clicSÉQUR, banque. Utilisez un téléphone ou un portable qui n’était pas branché au réseau touché.
5. Relisez votre police d’assurance en cherchant « cyber », « rançon », « interruption des activités » et la ligne d’assistance. Sinon, posez la question au courtier avant le renouvellement.
6. Faites un exercice de 30 minutes avec l’équipe. L’écran de rançon apparaît à 7 h 45 : qui débranche quoi, qui appelle qui, comment on accueille les enfants. Corrigez la carte du frigo avec ce qui bloque.
7. Tenez le registre des incidents et préparez l’avis à la CAI. Même si vous concluez qu’aucune donnée n’a été consultée, l’incident doit être consigné avec les éléments qui justifient votre conclusion.

Sources

• Sûreté du Québec, « Dépôt d’une plainte à la police : aide-mémoire pour victime d’un rançongiciel », mars 2026 (PDF)
• Centre canadien pour la cybersécurité, « Élaborer un plan d’intervention en cas d’incident » (ITSAP.40.003), janvier 2026
• Centre canadien pour la cybersécurité, page de signalement d’un cyberincident
• Centre antifraude du Canada, « Signalez un incident »
• Ministère de la Cybersécurité et du Numérique, « CERT-QC RFC 2350 », version 1.0, 14 mars 2025 (PDF)
• Innovation, Sciences et Développement économique Canada, « Que faire en cas de cyberattaque? »
• Loi sur les services de garde éducatifs à l’enfance (RLRQ, c. S-4.1.1), LégisQuébec

À lire aussi

Recommendations

Le parcours des données d’un enfant, de l’inscription au portail jusqu’à l’admission

1 novembre 2026 · 12 min de lecture

Recommendations

La double authentification en trois questions: une solution pour la sécurité des enfants

18 février 2023 · 7 min de lecture

Recommendations

Comment éviter les pièges des médias sociaux au travail

4 avril 2023 · 7 min de lecture