Skip to main content

Cybersécurité Petite Enfance

Cybersécurité Petite Enfance
Menu

Segma, Xpayrience, CodeRED : quand le fournisseur piraté devient votre problème

Faille de sécurité Par Eric Rousseau · 8 septembre 2026 · Mis à jour le 2 novembre 2026 · 10 min de lecture
Allée étroite entre des baies de serveurs éclairées en bleu dans un centre de données
En bref

Un sondeur, une billetterie, un système d’alerte : piratés chez le fournisseur, ce sont les clients qui ont dû rendre des comptes.

Le CISSS de Laval voulait savoir si ses patients étaient satisfaits. Il a confié une liste de 100 000 noms à une firme de sondage. La firme a subi un rançongiciel, et des milliers de ces patients se sont retrouvés sur le web clandestin, avec des renseignements qui pouvaient inclure la raison de leur consultation. Le CISSS n’a pas été piraté. Il a quand même lancé un appel à la vigilance et fait une déclaration à la Commission d’accès à l’information (CAI).

Ce n’est pas un cas isolé au Québec. En 2025, le système d’alerte aux citoyens de plusieurs municipalités du Grand Montréal a été attaqué chez son fournisseur. En 2026, une billetterie de l’Estrie a vu les coordonnées de plus de 400 000 clients circuler en ligne. Trois secteurs, trois fournisseurs, une même leçon pour un CPE qui confie les noms des familles à un photographe, à une plateforme d’inscription ou à une application de communication : votre fournisseur, c’est votre porte d’entrée.

Ce qui s’est passé

  • Du 1er juillet au 31 décembre 2022 : période de consultation des usagers dont la liste est confiée à Segma Recherche pour un sondage de satisfaction du CISSS de Laval (La Presse).
  • Août 2023 : Segma Recherche est touchée par un rançongiciel, selon son directeur général cité par La Presse.
  • 14 février 2024 : le CISSS de Laval annonce la fuite. Les renseignements d’au moins 9 000 patients auraient été retrouvés sur le web clandestin. Le MSSS annonce une enquête avec le ministère de la Cybersécurité et du Numérique et la CAI (La Presse, Courrier Laval).
  • 10 novembre 2025 : la plateforme d’alertes OnSolve CodeRED, d’une filiale de GardaWorld, est mise hors ligne à la suite d’une cyberattaque, selon un communiqué de Garda cité par Métro.
  • Fin novembre 2025 : des municipalités, dont Brossard, Mont-Royal et Côte-Saint-Luc, avisent les citoyens inscrits que leurs données ont pu être volées. Selon La Presse, les pirates ont publié en ligne des noms, courriels, numéros de téléphone et mots de passe.
  • 11 juillet 2026 : intrusion chez xPayrience, plateforme de billetterie des Cantons-de-l’Est qui sert notamment le Parc de la Gorge de Coaticook, ComediHa! et des équipes de hockey junior (TVA Nouvelles, CIGN FM).
  • 18 août 2026 : selon TVA Nouvelles, le fichier circule en ligne depuis un mois sans que les clients aient été avisés. Le président de l’entreprise affirme que la CAI n’a pas encore été avisée et que l’enquête interne se poursuit.

Les données touchées

Segma Recherche et CISSS de Laval. Une liste de 100 000 noms avait été fournie au sondeur. Selon le communiqué du CISSS cité par La Presse, les renseignements peuvent inclure les prénoms, noms, numéros de téléphone, raisons de consultation, services obtenus, dates de service et numéros de dossier. Les usagers visés avaient consulté à l’urgence, en chirurgie, en imagerie, en santé mentale, en clinique externe, en soins à domicile ou dans un centre de vaccination contre la COVID-19.

CodeRED. Les avis municipaux rapportés par Métro mentionnent les noms, adresses, courriels, numéros de téléphone et mots de passe associés à CodeRED. À Brossard, 6 000 citoyens sont touchés, selon la porte-parole de la Ville citée par La Presse. GardaWorld se disait incapable de chiffrer le nombre de personnes touchées au Québec.

xPayrience. Selon TVA Nouvelles, le fichier contient les noms, courriels, numéros de téléphone et adresses complètes de 413 935 clients. Un expert en cybersécurité qui l’a téléchargé y a aussi trouvé les données d’environ 476 000 billets et de 402 000 réservations de camping et d’hébergement. L’entreprise affirme ne conserver aucune donnée de carte de crédit, les paiements étant traités par un tiers.

Sirène d'alerte à la population et haut-parleurs installés sur un toit d'ardoise
Quand le fournisseur du système d’alerte est attaqué, c’est la municipalité qui doit joindre ses citoyens autrement.

Ce qu’en disent les parents, les experts et les autorités

Aucune réaction de parent ou de citoyen touché n’a été publiée dans les sources que nous avons consultées. Les déclarations viennent des organisations, d’un expert et de la CAI.

Les fournisseurs. Le directeur général de Segma Recherche, cité par La Presse : « Notre entreprise a été touchée par une attaque de type rançongiciel en août dernier ». Il ajoutait que rien ne permettait de croire à une utilisation des données autre que leur publication. GardaWorld a déclaré à La Presse avoir mis hors service l’ancienne plateforme et transféré tous ses clients vers une nouvelle. Chez xPayrience, le président disait ne pas pouvoir confirmer le nombre de clients touchés.

Les clients des fournisseurs. Le CISSS de Laval précisait au Courrier Laval qu’il avait fait de façon proactive une déclaration à la CAI, même si l’outil touché n’était pas sous sa gouverne. La directrice du Parc de la Gorge de Coaticook disait à CIGN FM être en communication avec son fournisseur pour obtenir un portrait complet. Autrement dit, au moment où l’incident faisait la manchette, le client n’avait pas encore le portrait complet de la part de son fournisseur.

Un expert et la CAI. Un expert en cybersécurité interrogé par TVA Nouvelles jugeait que l’entreprise aurait pu avertir tout le monde et que l’absence de communication pourrait constituer une infraction. Une porte-parole de la CAI a rappelé au même média qu’une entreprise doit aviser rapidement la Commission et les personnes touchées quand un incident présente un risque de préjudice sérieux, que la CAI peut lui ordonner de le faire et qu’elle peut enquêter sans attendre de plainte.

Ce que ça enseigne à un CPE québécois

Un CPE confie des renseignements sur les familles à bien plus de fournisseurs qu’il ne le pense : logiciel de gestion, application de messagerie aux parents, photographe de la journée photo, plateforme de paiement, outil de sondage, service de courriel. La Loi sur la protection des renseignements personnels dans le secteur privé est claire sur la responsabilité : l’entreprise est responsable des renseignements qu’elle détient (art. 3.1), même quand un tiers les traite pour elle.

Quand vous transmettez des renseignements à un fournisseur pour qu’il exécute un contrat, l’article 18.3 vous oblige à confier le mandat par écrit et à y prévoir les mesures de protection, l’usage limité au contrat et la non-conservation après la fin. Le fournisseur doit aviser sans délai votre responsable de la protection des renseignements personnels de toute violation ou tentative de violation, et vous permettre de vérifier. Si les données sortent du Québec, une évaluation des facteurs relatifs à la vie privée et une entente écrite sont exigées avant (art. 17). Et ce qui ne sert plus doit être détruit ou anonymisé (art. 23).

Les trois cas montrent trois failles distinctes. Chez Segma, une liste dont le simple contenu révélait qu’une personne avait reçu des soins. Chez CodeRED, des mots de passe publiés, dangereux pour quiconque les réutilise ailleurs, et un outil d’alerte devenu inutilisable. Chez xPayrience, un délai : un mois sans avis aux clients. Pour un CPE, l’équivalent serait une liste d’enfants avec leur groupe et leurs allergies chez un photographe, un mot de passe de portail parents réutilisé pour la banque, ou une application de communication en panne le jour d’une fermeture d’urgence.

Ce que ça change pour votre service de garde

  1. Dressez la liste de vos fournisseurs qui reçoivent des données. Pour chacun : quelles données, combien de familles, où elles sont hébergées, qui est le contact en cas d’incident. Outil : un tableau d’une page. Délai : un mois. Coût : du temps de direction.
  2. Mettez un contrat écrit conforme à l’article 18.3. Mesures de protection, usage limité, destruction à la fin, avis sans délai en cas de violation. Exigez un délai d’avis chiffré, par exemple 72 heures après la découverte. Nos 12 questions à poser à votre fournisseur de logiciel détaillent les bonnes réponses.
  3. Envoyez le strict nécessaire. Le photographe a besoin du prénom et du groupe, pas de la date de naissance ni de la fiche santé. Un sondage aux parents n’a pas besoin du nom de l’enfant. Retirez les colonnes inutiles avant chaque envoi.
  4. Exigez la destruction à la fin du mandat, avec une confirmation écrite. Une liste remise pour la journée photo de l’automne n’a aucune raison d’exister au printemps.
  5. Protégez les comptes. Activez l’authentification à deux facteurs partout où elle est offerte, et rappelez aux parents de ne pas réutiliser le mot de passe du portail ailleurs. C’est exactement le risque créé par la publication des mots de passe de CodeRED.
  6. Gardez un plan B pour joindre les parents. Une liste téléphonique à jour, imprimée et gardée sous clé, permet de joindre les familles si l’application de communication tombe. Testez-la une fois par année.
  7. Préparez votre réponse au fournisseur piraté. Qui appelle le fournisseur, qui inscrit l’incident au registre, qui évalue le risque de préjudice, qui écrit aux parents. Si les données sont hébergées hors du Canada, lisez aussi nos 8 questions sur l’hébergement.

Foire aux questions

Si mon fournisseur est piraté, est-ce mon incident ou le sien ?

Les deux, en pratique. Vous restez responsable des renseignements que vous détenez (art. 3.1), et votre fournisseur doit vous aviser sans délai de toute violation (art. 18.3). Le CISSS de Laval a lui-même fait une déclaration à la CAI, même si l’outil touché n’était pas sous sa gouverne.

Combien de personnes ont été touchées dans ces trois cas ?

Chez Segma, au moins 9 000 patients sur une liste de 100 000 noms. Chez xPayrience, 413 935 clients selon TVA Nouvelles. Pour CodeRED, aucun total québécois n’a été publié ; Brossard parle de 6 000 citoyens.

Quel délai d’avis exiger dans le contrat ?

La loi dit « sans délai » (art. 18.3), sans chiffre. Un délai écrit et court, par exemple 72 heures après la découverte, vous donne un repère vérifiable. Chez xPayrience, selon TVA Nouvelles, les clients n’étaient toujours pas avisés plus d’un mois après l’intrusion.

Faut-il faire une évaluation des facteurs relatifs à la vie privée pour chaque fournisseur ?

Elle est obligatoire pour tout projet d’acquisition ou de refonte d’un système d’information qui traite des renseignements personnels (art. 3.3) et avant toute communication hors du Québec (art. 17). Pour un petit envoi ponctuel au Québec, le contrat écrit de l’article 18.3 est le minimum.

Transparence

Ce blogue est publié par Amisgest Technologie inc., éditeur de logiciels pour les services de garde éducatifs. Les faits rapportés ici proviennent de sources publiques citées en fin d’article. Une erreur à signaler ? Écrivez à [email protected].

Sources

À lire aussi

Étiqueté , , , ,

Laisser un commentaire

Votre adresse courriel ne sera pas publiée. Les champs obligatoires sont indiqués avec *