Skip to main content

Cybersécurité Petite Enfance

Cybersécurité Petite Enfance
Menu

Goddard, Kids Co., Children’s Council : environ sept mois avant d’aviser les familles

Faille de sécurité Par Eric Rousseau · 8 juillet 2026 · Mis à jour le 2 novembre 2026 · 12 min de lecture
Rangée de boîtes aux lettres rurales colorées sur des poteaux de bois au bord d'une route
En bref

Trois organismes de garde américains ont mis environ sept mois à aviser les personnes touchées ; leurs avis officiels éclairent ce qu’exige la Loi 25.

Aux États-Unis, une garderie victime d’une fuite ne peut pas toujours se contenter d’un courriel discret aux familles. En Californie comme dans l’État de Washington, dès que plus de 500 résidents sont touchés, l’avis doit aussi être transmis au procureur général, et ces avis sont rendus publics. Ces registres montrent ce qui arrive vraiment à un organisme de la petite enfance après une cyberattaque : quelles données sortent, combien de personnes sont touchées et combien de temps s’écoule avant que quelqu’un soit prévenu.

Nous avons ouvert les avis de trois organismes : le Children’s Council of San Francisco, qui gère des fonds publics de garde éducative ; Kids Co., un organisme sans but lucratif de Seattle qui offre de la garde préscolaire et scolaire ; et Goddard Systems, le franchiseur des écoles préscolaires The Goddard School. Trois tailles, trois types d’attaque, un point commun : entre l’intrusion et la lettre, environ sept mois.

Ce qui s’est passé

Goddard Systems, franchiseur des écoles The Goddard School (plus de 460 écoles franchisées dans 36 États, selon ClaimDepot)

  • Du 8 au 13 septembre 2023 : activité anormale dans la boîte courriel d’un employé du franchiseur. Le registre de l’État de Washington classe l’attaque comme de l’hameçonnage.
  • 13 septembre 2023 : Goddard repère l’activité suspecte et sécurise le compte.
  • 13 mars 2024 : l’enquête confirme que des données de personnes se trouvaient dans la boîte courriel.
  • 12 avril 2024 : lettres aux personnes touchées et avis aux autorités des États concernés.

Children’s Council of San Francisco (organisme sans but lucratif qui gère, pour l’État de Californie et la Ville de San Francisco, des fonds destinés aux services de garde et aide les familles à trouver et financer une place, selon Comparitech)

  • 1er août 2025 : date de la brèche inscrite au registre du procureur général de la Californie. Selon HIPAA Journal, c’est la date d’entrée de l’attaquant dans le réseau.
  • 3 août 2025 : selon la lettre de l’organisme, une perturbation du réseau survient ; des experts sont appelés et le FBI est avisé.
  • Vers le 23 février 2026 : fin de l’examen des fichiers, qui confirme la présence de noms et de numéros d’assurance sociale (HIPAA Journal).
  • 27 février 2026 : date de la lettre type déposée au procureur général de la Californie.

Kids Co. (Evergreen Children’s Association), Seattle (préscolaire, garde avant et après l’école et camps d’été pour les 3 à 12 ans, dans des écoles publiques de Seattle et de Mercer Island, selon ClaimDepot)

  • 11 et 12 novembre 2025 : un acteur non autorisé accède à des données du réseau ou les copie. Type d’attaque déclaré à l’État de Washington : rançongiciel.
  • Vers le 12 novembre 2025 : Kids Co. remarque une activité suspecte sur son réseau et lance une enquête. Il avise ensuite les forces de l’ordre fédérales.
  • 2 juillet 2026 : avis écrit aux personnes touchées et dépôt au procureur général de l’État de Washington.

Les données touchées

Organisme Personnes avisées Données déclarées Délai jusqu’à l’avis
Goddard Systems 2 041 au total, dont 640 dans l’État de Washington (registres de l’Indiana et de Washington) Nom et numéro d’assurance sociale américain, selon ClaimDepot 212 jours (registre de Washington)
Children’s Council of San Francisco 12 655 (Comparitech, HIPAA Journal) Nom et numéro d’assurance sociale américain (lettre type) Environ 7 mois entre le 1er août 2025 et la lettre du 27 février 2026
Kids Co. (Seattle) 511 résidents de Washington, et 2 du Massachusetts selon ClaimDepot Nom, numéro d’assurance sociale, permis de conduire, passeport, renseignements financiers, renseignements médicaux et d’assurance santé (avis déposé) 232 jours (registre de Washington)

Deux nuances. La lettre de Goddard affirme que l’enquête n’a trouvé aucune preuve que les données de la boîte courriel aient été consultées par un tiers : l’organisme avise parce qu’elles s’y trouvaient. Et aucun de ces avis ne précise si des enfants font partie des personnes touchées, ce que Comparitech souligne pour le Children’s Council.

Dans les trois cas, les organismes offrent une surveillance du crédit gratuite : 12 mois pour le Children’s Council (avec une assurance contre le vol d’identité de 1 million de dollars), 12 mois selon l’avis de Kids Co. (12 à 24 mois selon ClaimDepot) et 24 mois pour Goddard.

Rangées de casiers postaux métalliques numérotés sous un mur de blocs ajourés
Aux États-Unis, la lettre arrive souvent par la poste, des mois après l’attaque. Photo : Wikimedia Commons, CC0.

Ce qu’en disent les parents, les experts et les autorités

Nous n’avons trouvé aucune réaction publiée de parents ni d’employés pour ces trois incidents. Ce sont les avis, les registres et quelques médias spécialisés qui parlent.

Les organismes, d’abord. Le Children’s Council écrit dans sa lettre que le 3 août 2025, il a subi une perturbation de son réseau et que l’enquête a déterminé qu’un acteur inconnu avait « accédé à certaines données et les avait acquises sans autorisation » (traduction libre). Kids Co. écrit qu’il n’a connaissance d’aucune tentative de vol d’identité ou de fraude liée à l’événement, et qu’il ajoute des mesures de protection et de la formation pour ses employés. Goddard dit avoir réinitialisé l’authentification multifacteur, revu ses règles d’accès aux courriels et resserré les permissions.

Comparitech, qui suit les attaques par rançongiciel, rapporte que le groupe criminel SafePay a revendiqué l’attaque contre le Children’s Council sur son site de fuite, environ deux semaines après les faits. Le média précise que l’organisme n’a pas reconnu cette revendication et qu’il ne peut pas la vérifier lui-même. Il s’agit donc d’une revendication, pas d’un fait établi.

Le législateur de l’État de Washington a expliqué pourquoi il a renforcé son régime d’avis en 2015 : il voulait mieux protéger les renseignements personnels, prévenir le vol d’identité et s’assurer que le procureur général soit avisé des brèches pour que des mesures puissent être prises pour protéger les consommateurs (déclaration d’intention annexée à la loi, traduction libre). La loi fixe un délai : l’avis aux personnes doit être fait le plus rapidement possible et au plus tard 30 jours civils après la découverte, sauf si le délai est demandé par la police ou nécessaire pour déterminer l’ampleur de la brèche. Le registre ne dit pas laquelle de ces exceptions a été invoquée par Goddard ou Kids Co. : nous ne concluons donc pas à un manquement.

Ce que ça enseigne à un CPE québécois

Sept mois, c’est le temps de savoir ce qu’il y avait dans les fichiers. Dans les trois cas, l’intrusion a été repérée en quelques jours. Ce qui a pris des mois, c’est l’examen de chaque fichier et de chaque courriel pour savoir qui y figurait. Un CPE dont la boîte courriel de la direction contient dix ans de pièces jointes vivrait la même chose. L’ETSB a mis deux mois à confirmer sa fuite pour la même raison.

Ici, la loi ne fixe pas 30 jours, elle exige la diligence. La Loi sur la protection des renseignements personnels dans le secteur privé, qui s’applique aux CPE, aux garderies et aux bureaux coordonnateurs, oblige l’organisation qui a des motifs de croire qu’un incident s’est produit à diminuer les risques, puis, si le risque de préjudice est sérieux, à aviser « avec diligence » la Commission d’accès à l’information (CAI) et les personnes concernées (art. 3.5). Le Règlement sur les incidents de confidentialité précise que l’avis à la CAI peut être complété au fur et à mesure (art. 4). Autrement dit, la loi québécoise ne vous permet pas d’attendre d’avoir tout compris pour parler : vous avisez avec ce que vous savez, puis vous complétez. Le cas du Collège Saint-Charles-Garnier, qui a avisé tout le monde faute de savoir ce qui avait été pris, en est une illustration québécoise.

Le contenu de l’avis est déjà écrit dans le règlement. L’avis à une personne doit décrire les renseignements visés, les circonstances, la date ou la période de l’incident, les mesures prises, les mesures que la personne peut prendre et les coordonnées pour en savoir plus (règlement, art. 5). Les lettres américaines que nous avons lues suivent presque exactement ce plan. Notre article sur les six mentions obligatoires de l’avis aux parents vous donne un gabarit.

Au Québec, il n’y a pas de registre public. La CAI reçoit les déclarations, mais elle a annoncé le 27 mai 2025 qu’elle ne publierait plus la liste des organisations qui lui déclarent des incidents, pour limiter les risques de préjudice et éviter d’exposer des vulnérabilités, selon le cabinet qui en a fait l’analyse (Mondaq). Elle continue de publier des statistiques. Son rapport annuel 2024-2025 fait état de 514 avis d’incidents reçus, une hausse de 16 % en un an, dont 80 % venaient du secteur privé. Les causes les plus fréquentes : cyberattaques, erreurs humaines et rançongiciels. Pour un parent québécois, la seule façon d’apprendre qu’un service de garde a été touché reste donc l’avis que ce service lui envoie.

Le registre interne, lui, est obligatoire pour tout incident. Même sans risque de préjudice sérieux, l’incident doit être consigné (P-39.1, art. 3.8), avec notamment la date à laquelle vous en avez pris connaissance et le nombre de personnes visées, et conservé au moins 5 ans (règlement, art. 7 et 8). C’est exactement l’information que les registres américains rendent publique.

Ce que ça change pour votre service de garde

  1. Vider la boîte courriel de la direction des documents sensibles, d’ici 60 jours. Le cas Goddard part d’une seule boîte courriel. Repérez les pièces jointes contenant des numéros d’assurance sociale, des relevés bancaires, des pièces d’identité ou des dossiers de santé, classez-les et supprimez les courriels. Plus la boîte est mince, plus l’examen sera court. Coût : environ une demi-journée par boîte.
  2. Écrire maintenant la procédure des 72 premières heures. Qui constate, qui débranche, qui appelle votre fournisseur informatique, qui ouvre le registre, qui décide d’aviser la CAI. Inspirez-vous de notre guide sur la première heure après une cyberattaque. Délai : 30 jours. Coût : une rencontre de la direction et du conseil d’administration.
  3. Tenir à jour le registre des incidents, dès aujourd’hui. Utilisez un modèle simple qui reprend les huit éléments exigés : voyez le registre en 8 colonnes. Coût : nul.
  4. Préparer un avis aux parents et un avis aux employés. Les lettres américaines visaient aussi des employés. Faites relire les deux gabarits par votre responsable de la protection des renseignements personnels et gardez-en une copie hors de votre réseau. Délai : 60 jours. Coût : nul.
  5. Exiger l’authentification multifacteur sur toutes les boîtes courriel, cette semaine. C’est la première mesure que Goddard dit avoir prise après coup. Elle est incluse dans la plupart des suites infonuagiques courantes. Coût : généralement nul.
  6. Mettre à jour les coordonnées des familles et des anciens employés. Une partie des mois perdus aux États-Unis sert à retrouver des adresses. Le Children’s Council a confirmé la portée de l’incident et réuni l’information nécessaire pour aviser seulement après un long examen. Gardez des coordonnées à jour, mais seulement le temps nécessaire. Délai : à chaque rentrée. Coût : nul.
  7. Prévoir l’avis public. Le règlement impose un avis public quand l’avis direct causerait un préjudice accru, représenterait une difficulté excessive ou quand vous n’avez pas les coordonnées de la personne, et le permet aussi pour agir vite (art. 6). Sachez à l’avance où vous le publieriez : site Web, portail des parents, babillard. Coût : nul.

Foire aux questions

Pourquoi les avis américains arrivent-ils des mois après l’attaque ?

Parce que l’organisme doit d’abord examiner les fichiers touchés pour savoir qui y figure et retrouver les adresses. Le registre de Washington compte 212 jours pour Goddard et 232 jours pour Kids Co. entre l’incident et l’avis.

Un CPE québécois a-t-il 30 jours pour aviser les parents ?

Non. La loi québécoise ne fixe pas de nombre de jours : elle exige d’aviser « avec diligence » la CAI et les personnes concernées lorsque l’incident présente un risque de préjudice sérieux (P-39.1, art. 3.5). L’avis à la CAI peut ensuite être complété.

Peut-on savoir si une garderie québécoise a déclaré un incident à la CAI ?

Pas par un registre public. La CAI a cessé en 2025 de publier la liste des organisations déclarantes et ne diffuse que des statistiques. Les parents l’apprennent par l’avis que le service de garde doit leur envoyer.

Le groupe SafePay a-t-il attaqué le Children’s Council of San Francisco ?

Il l’a revendiqué, selon Comparitech, mais l’organisme n’a pas reconnu cette revendication et elle n’a pas été vérifiée de façon indépendante. L’attaque et le vol de données, eux, sont confirmés par l’avis officiel.

Transparence

Ce blogue est publié par Amisgest Technologie inc., éditeur de logiciels pour les services de garde éducatifs. Les faits rapportés ici proviennent de sources publiques citées en fin d’article. Une erreur à signaler ? Écrivez à [email protected].

Sources

À lire aussi

Étiqueté , , , ,

Laisser un commentaire

Votre adresse courriel ne sera pas publiée. Les champs obligatoires sont indiqués avec *