Un compte d’employé en congé a servi à copier 20 000 dossiers à South East Cornerstone

Le 8 février 2023, l’équipe informatique de la South East Cornerstone Public School Division, une division scolaire publique du sud-est de la Saskatchewan, surprend un intrus en train de copier des données de son réseau vers un service de stockage infonuagique. Environ 20 000 personnes pourraient être touchées : élèves, parents, employés actuels et anciens. Un an plus tard, le rapport d’enquête 200-2023 du commissaire à l’information et à la protection de la vie privée de la Saskatchewan révèle la porte d’entrée : les identifiants d’un employé en congé depuis 11 mois. Son compte était resté actif parce qu’il en avait besoin pour entraîner une équipe de basketball.

Dans un CPE, les absences longues sont la norme : congés de maternité et parentaux, congés de maladie, éducatrices qui ne reviennent qu’à l’automne. Chacune laisse derrière elle un compte de messagerie, un accès au logiciel de gestion, parfois à l’application parents. Ce cas montre ce qui peut passer par cette porte.

Ce qui s’est passé

La chronologie suivante provient du rapport 200-2023, qui reprend les informations fournies par la division scolaire.

• 8 février 2023 : le personnel informatique découvre qu’un tiers non autorisé a accédé au réseau et copie des données vers un service infonuagique. Le responsable de la protection des renseignements personnels et le ministère de l’Éducation sont avisés. La division isole des systèmes et restreint les connexions à distance.
• 9 février 2023 : la division retient des experts en cybersécurité et des avocats spécialisés.
• 10 février 2023 : avis au Centre national de coordination en cybercriminalité de la GRC, et avis préliminaire à tout le personnel et aux parents des élèves inscrits. À ce moment, la division écrit aux parents qu’il n’y a aucune indication que des renseignements personnels aient été touchés.
• 18 février 2023 : le fournisseur de stockage infonuagique confirme la suspension définitive des comptes liés à l’incident.
• 22 février 2023 : l’expert externe déclare l’incident contenu.
• 21 mars et 29 mai 2023 : un premier, puis un second expert concluent qu’on ne peut pas déterminer précisément quels fichiers ont été copiés.
• Juin à août 2023 : la division passe en revue les systèmes touchés et repère huit fichiers d’archives exfiltrés provenant de trois systèmes. Aucun logiciel malveillant n’est trouvé.
• 28 août 2023 : avis détaillé par lettre aux personnes possiblement touchées, et avis sur le site Web pour les anciens élèves.
• 1er février 2024 : publication du rapport d’enquête 200-2023.

Sur la cause, le rapport est précis. La division a indiqué que les identifiants d’un employé en congé avaient été compromis, sans savoir comment, malgré des analyses judiciaires, y compris de son ordinateur portable. Rien n’indiquait de l’hameçonnage ni la perte de l’appareil. Selon les experts de la division, l’incident ressemblait au prélude d’une attaque par rançongiciel. Au paragraphe 59, le commissaire écrit : « the credentials that were used in this case belonged to an employee who was on leave for a period of 11 months ». Il ajoute qu’on lui a expliqué que l’employé avait besoin de l’accès, depuis son portable, pour entraîner au basketball. La division a reconnu n’avoir aucune politique sur l’accès aux systèmes pendant les congés.

Les données touchées

La division n’a jamais pu établir avec certitude ce qui avait été pris. Selon le rapport, les renseignements possiblement touchés variaient selon les personnes :

• Employés actuels et anciens : noms et coordonnées ; pour certains, numéro d’assurance sociale et renseignements bancaires.
• Élèves et parents : noms et coordonnées, date de naissance, sexe, numéro de carte santé, allergies, numéro d’élève, résultats et réalisations scolaires.

Le rapport note aussi l’âge des données : des dossiers d’anciens employés remontant à février 2010, de parents à septembre 2013, et d’élèves à septembre 1997. Le commissaire relève que certains dossiers d’élèves semblent avoir été conservés deux ans de plus que les 25 ans prévus au calendrier de conservation. Une destruction en temps voulu, écrit-il, réduit l’impact d’une fuite.

Ce qu’en disent les parents, les experts et les autorités

Aucune réaction publique de parents n’a été trouvée. Les réactions disponibles viennent du commissaire, de la division et d’une experte interrogée par CBC News le 13 février 2024.

Le commissaire conclut que la division a bien contenu l’incident, avisé les personnes touchées et enquêté. Il juge toutefois qu’elle pouvait en faire plus pour prévenir la suite. À CBC, il a expliqué que des données volées peuvent dormir six mois, un an ou plus avant d’être utilisées, d’où sa recommandation de surveiller le web clandestin pendant cinq ans, une durée devenue courante selon lui.

Une professeure en informatique de l’Université de la Saskatchewan, titulaire d’une chaire de recherche du Canada en sécurité et vie privée, a qualifié d’étonnante la quantité de renseignements possiblement exposés. Elle a dit à CBC que les conséquences pourraient suivre une personne toute sa vie, et que cinq ans de surveillance ne suffisent pas, puisque des données volées sont parfois exploitées bien plus tard.

La division scolaire a indiqué à CBC que ses experts n’avaient pas pu confirmer quelles informations avaient été prises, et que la surveillance du web clandestin n’avait rien trouvé jusque-là. Après l’incident, elle a réinitialisé tous les mots de passe, bloqué les connexions étrangères, déployé un outil de détection sur tous les postes et serveurs, et appliqué la double authentification au réseau privé virtuel, à Office 365 et aux domaines informatiques. Le rapport mentionne qu’une double authentification existait déjà pour les comptes du personnel. La longueur minimale des mots de passe est passée de 8 à 12 caractères.

Le commissaire a formulé huit recommandations, dont cinq à réaliser dans les 30 jours : étudier une solution d’accès réseau « zéro confiance », adopter une politique de mots de passe, adopter une politique d’accès aux systèmes pour le personnel en congé, revoir la conservation des dossiers, et rendre la formation en sécurité obligatoire et annuelle.

Ce que ça enseigne à un CPE québécois

L’accès suit la fonction, pas le contrat de travail. L’article 20 de la Loi sur la protection des renseignements personnels dans le secteur privé prévoit qu’un renseignement personnel n’est accessible à un employé que s’il est nécessaire à l’exercice de ses fonctions. Une éducatrice en congé de maternité n’exerce pas ses fonctions : son accès au dossier des enfants n’a pas de raison d’être pendant cette période.

La sécurité doit être raisonnable. L’article 10 exige des mesures de sécurité raisonnables compte tenu de la sensibilité, de la quantité et de la répartition des renseignements. Un compte actif et inutilisé pendant des mois, c’est un risque connu et facile à éviter.

Garder moins, c’est exposer moins. L’article 23 exige de détruire ou d’anonymiser un renseignement une fois ses fins accomplies, sous réserve d’un délai prévu par une loi. Le Règlement sur les services de garde éducatifs à l’enfance fixe certains délais : la fiche d’assiduité se conserve 6 ans après la fin des services (article 123), et la copie du dossier éducatif 1 an après sa remise au parent (article 123.0.6). Notre article sur la conservation du dossier de l’enfant fait le tour de la question.

Ce qui diffère : la division scolaire relevait de la loi saskatchewanaise sur l’accès à l’information des autorités locales (LA FOIP), qui oblige à aviser les personnes en cas de risque réel de préjudice important, et le commissaire y formule des recommandations. Un CPE québécois relève de la loi sur le secteur privé : il doit inscrire tout incident à son registre (article 3.8) et aviser la Commission d’accès à l’information et les personnes concernées si l’incident présente un risque de préjudice sérieux (article 3.5). La Commission peut ordonner des mesures (article 81.4) et des sanctions administratives pécuniaires sont prévues, notamment pour l’absence de mesures de sécurité conformes à l’article 10 (article 90.1).

Ce que ça change pour votre service de garde

1. Écrivez une procédure d’absence prolongée. Dès le premier jour d’un congé de plus de quatre semaines, suspendez les accès : messagerie, logiciel de gestion, application parents, administration de la page Facebook, accès bancaires, Wi-Fi du personnel. Prévoyez la réactivation au retour. Une liste à cocher d’une page suffit. Délai : un mois pour l’écrire et l’adopter.
2. Faites une revue des comptes chaque trimestre. Comparez la liste des comptes actifs de chaque outil à la liste du personnel en poste. Trente minutes, quatre fois par année. Notez la date et le résultat : c’est une preuve de diligence.
3. Encadrez les exceptions. Si une personne en congé doit garder un accès (un comité, une tâche ponctuelle), donnez-lui seulement ce dont elle a besoin, avec une date de fin, et consignez la décision. C’est la recommandation du commissaire : seulement l’information raisonnablement nécessaire.
4. Activez la double authentification partout où c’est possible. Messagerie, logiciel de gestion, accès à distance. Commencez par la direction et l’administration. Notre article sur la double authentification explique comment s’y prendre. Coût : généralement inclus dans les forfaits de messagerie professionnelle.
5. Adoptez une politique de mots de passe écrite. Au moins 12 caractères, des phrases de passe plutôt que des mots, un mot de passe différent par outil, et un gestionnaire de mots de passe pour l’équipe administrative.
6. Appliquez votre calendrier de conservation. Une fois par année, détruisez ce qui a dépassé son délai, de façon sécuritaire, et notez-le. Les dossiers d’enfants partis depuis des années ne protègent personne.
7. Rendez la formation annuelle et obligatoire. Le commissaire l’a recommandé. Une heure par année, à la rentrée, avec une feuille de présence.

Et si l’incident survient malgré tout, notre guide de la première heure après une cyberattaque vous aidera à garder la tête froide.

Sources

• Commissaire à l’information et à la protection de la vie privée de la Saskatchewan, rapport d’enquête 200-2023, South East Cornerstone Public School Division No. 209, 1er février 2024 (PDF)
• CBC News Saskatoon, 13 février 2024 : surveillance du web clandestin recommandée après la fuite
• DiscoverEstevan.com : le commissaire salue la réponse et recommande des améliorations
• Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1), art. 3.5, 3.8, 10, 20, 23, 81.4 et 90.1, LégisQuébec
• Règlement sur les services de garde éducatifs à l’enfance (RLRQ, c. S-4.1.1, r. 2), art. 123 et 123.0.6, LégisQuébec

À lire aussi

Faille de sécurité

Rosemère : les numéros d’assurance sociale de plus de 1 000 parents envoyés par courriel

15 août 2026 · 8 min de lecture

Faille de sécurité

HopHop débranchée du jour au lendemain : ce que la faille a exposé

2 novembre 2026 · 8 min de lecture

Faille de sécurité

Le traiteur qui change de compte bancaire : l’appel de cinq minutes qui arrête la fraude

25 octobre 2026 · 10 min de lecture