Skip to main content

Cybersécurité Petite Enfance

Cybersécurité Petite Enfance
Menu

Vari Tech, Stay Informed, KigaRoo : quand l’éditeur du logiciel de garderie fuit

Faille de sécurité Par Eric Rousseau · 24 janvier 2025 · Mis à jour le 2 novembre 2026 · 11 min de lecture
Loupe et stylo posés sur un livre ouvert, un globe terrestre en arrière-plan
En bref

Au Canada et en Allemagne, des dossiers d’enfants ont fui chez l’éditeur du logiciel de garderie : voici quoi exiger de votre fournisseur.

Le 4 mai 2017, une garderie du Manitoba téléphone à son fournisseur de logiciel, Vari Tech Systems. Une personne qui cherchait un numéro de téléphone sur Internet est tombée, dans les résultats de recherche, sur le rapport PDF d’un enfant de la garderie. Le fournisseur enquête : des rapports générés par son logiciel web dormaient dans un dossier non sécurisé de ses serveurs, et le moteur Bing en avait indexé une partie. Nom, date de naissance et photo de l’enfant, allergies, médecin, personnes autorisées à venir le chercher, ordonnances restrictives. La garderie n’avait rien fait de mal. Elle a simplement été la première à s’en apercevoir. Sept ans plus tard en Allemagne, la même histoire se répète deux fois, avec une application parents-garderie utilisée par 11 000 établissements, puis avec un logiciel de gestion où un simple compte d’essai suffisait à consulter les fiches des autres.

Ce qui s’est passé

Vari Tech Systems (Canada), selon la décision P2018-ND-022 de l’OIPC de l’Alberta

  • 25 février 2017 : début de l’exposition. Quand un client récupère un rapport avec Internet Explorer sous Windows 10, le navigateur transmet l’adresse du fichier à Bing, qui l’indexe.
  • 4 mai 2017 : appel de la garderie manitobaine. Les fichiers sont déplacés et protégés par mot de passe ; ils ne sont plus en ligne le 9 mai, et l’exposition prend fin le 10 mai.
  • 23 mai 2017 : déclaration à l’OIPC. Le 31 mai, la personne touchée au Manitoba est avisée ; le 16 juin, tous les clients et centres le sont.
  • 30 janvier 2018 : l’OIPC conclut à un risque réel de préjudice grave.

Stay Informed (Allemagne), application de communication avec les parents

  • Au plus tôt le 20 octobre 2021, au plus tard le 18 août 2023 : un serveur web mal configuré rend librement accessibles des fichiers partagés dans l’application, selon la Ville de Balingen, l’autorité bavaroise de protection des données et l’éditeur cité par heise.
  • 15 mars 2024 : quelqu’un télécharge l’ensemble des données, ce que l’éditeur confirmera ensuite selon la Ville de Balingen.
  • Lundi 18 mars 2024 : le magazine c’t, alerté par une source anonyme, prévient l’éditeur. L’accès est fermé en moins de deux heures. Les journaux du serveur n’étant conservés que 14 jours, les accès ne peuvent être vérifiés qu’à partir du 5 mars 2024.
  • 20 mars 2024 : tous les établissements clients sont informés ; l’éditeur leur écrit qu’il leur revient, comme responsables, d’évaluer le risque et d’aviser ou non leurs usagers.
  • 28 mars et 8 avril 2024 : la Ville de Balingen publie son avis aux familles ; l’autorité bavaroise publie ses consignes aux municipalités.

KigaRoo (Allemagne), logiciel de gestion pour garderies

  • Samedi 4 janvier 2025 : un chercheur en sécurité signale à l’éditeur qu’avec un compte d’essai gratuit, il suffit de changer le numéro d’un utilisateur dans l’adresse web pour afficher la fiche d’un autre. La faille est corrigée en quelques heures.
  • Lundi suivant : l’éditeur déclare l’incident à l’autorité de protection des données de Hambourg, qui confirme une faille de type IDOR et vérifie la correction.
  • 9 janvier 2025 : netzpolitik.org publie l’affaire. Selon nos recherches, c’est la seule source publique : le cas reste à source unique.

Les données touchées

Cas Renseignements Ampleur publiée
Vari Tech, 2017 Nom, date de naissance et photo de l’enfant, numéro d’assurance maladie, allergies et renseignements médicaux, parent et son employeur, médecin, contacts d’urgence, lieu de résidence de l’enfant, personnes autorisées à venir le chercher, ordonnances restrictives Environ 1 500 personnes et leurs familles au Canada, dont une touchée directement au Manitoba (OIPC)
Stay Informed, 2021 à 2024 Près de 1 500 fichiers CSV de données personnelles, surtout de mineurs (noms, dates de naissance, adresses, parfois pays d’origine, vaccination, confession, tuteurs, contacts d’urgence) ; plus de 16 000 images de profil, dont des photos d’enfants ; PDF et photos déposés par les établissements ; signatures numériques chiffrées des parents Plus de 11 000 établissements et plus de 800 000 utilisateurs dans le système ; les CSV concernaient 15 % des établissements clients (heise). À Balingen seulement : 988 PDF
KigaRoo, 2025 Lien avec l’établissement, coordonnées, adresses, données bancaires, statut de réfugié Environ 1,29 million de fiches d’adultes selon le chercheur, plus des fiches d’enfants dont le nombre publié contient une coquille ; possiblement des comptes de test ; ce sont des enregistrements, pas des personnes

Pour KigaRoo, l’autorité de Hambourg affirme qu’aucun accès autre que celui du chercheur n’a eu lieu, et qu’une seule garderie, pour trois fiches, a été avisée. L’éditeur dit pouvoir exclure tout accès non autorisé. Aucun chiffre publié ne doit donc être lu comme un nombre d’enfants touchés.

Technicien de dos, accroupi devant une baie de serveurs ouverte, un ordinateur portable posé au sol
Vos dossiers d’enfants vivent aussi sur les serveurs de votre fournisseur : leur configuration est un risque que vous ne voyez pas.

Ce qu’en disent les parents, les experts et les autorités

La commissaire à l’information et à la protection de la vie privée de l’Alberta n’a pas suivi Vari Tech, qui jugeait le risque minime parce qu’il fallait taper des termes très précis pour trouver un rapport. Même si l’incident découlait d’une erreur humaine et non d’une intention malveillante, écrit-elle, la probabilité de préjudice augmente parce qu’un inconnu a découvert les renseignements sur Internet, que le fournisseur ignore combien d’autres familles ont été touchées et que l’exposition a duré environ trois mois. Détail révélateur : dans sa déclaration, le fournisseur attribuait la fuite aux ordinateurs de ses clients, mal installés et mal protégés selon lui.

L’autorité bavaroise de protection des données, le 8 avril 2024, a eu cette formule pour les municipalités clientes de Stay Informed : la sous-traitance n’est pas une « Problementsorgung » (en français : une façon de se débarrasser du problème). Elle demande à chaque municipalité d’évaluer elle-même son risque, de traiter les signatures numérisées comme un risque élevé et souligne que des journaux gardés deux semaines ne permettent presque plus de prouver les accès plus anciens. La Ville de Balingen, de son côté, a analysé ses 988 fichiers, listé les risques pour les familles (détournement d’images, vol d’identité dans quelques cas, données bancaires dans un cas) et annoncé étudier une solution pour remplacer l’application.

Selon heise, un conseiller qui accompagne plusieurs organismes estimait que certains établissements pourraient être dépassés par les décisions que l’éditeur leur renvoyait. Dans l’affaire KigaRoo, une porte-parole de l’autorité de Hambourg a expliqué que le remplacement des numéros séquentiels par des identifiants aléatoires empêche désormais de parcourir toute la base en devinant des numéros, et une porte-parole de l’éditeur a remercié le chercheur. Aucun parent ne s’est exprimé publiquement dans ces trois affaires, selon les sources consultées.

Ce que ça enseigne à un CPE québécois

Ces trois cas renversent une idée répandue : « nos données sont chez le fournisseur, c’est lui qui s’en occupe ». Au Québec, la Loi sur la protection des renseignements personnels dans le secteur privé (la Loi 25) dit exactement ce que l’autorité bavaroise a rappelé. Confier des renseignements à un fournisseur est permis sans le consentement des parents, mais à des conditions précises : un contrat écrit qui indique les mesures de protection, l’usage limité au mandat et l’interdiction de conserver les données après la fin du contrat, et l’obligation pour le fournisseur d’aviser sans délai votre responsable de toute violation (article 18.3). Le service de garde reste celui qui détient les renseignements : s’il y a incident, c’est à lui d’inscrire l’incident au registre, d’évaluer le risque et d’aviser la Commission d’accès à l’information (CAI) et les familles au besoin (articles 3.5 à 3.8).

Le cas Vari Tech montre aussi quelles données font le plus de dégâts. La liste des personnes autorisées à venir chercher l’enfant et les ordonnances restrictives ne sont pas de simples coordonnées : notre article sur l’inconnu de Vancouver qui connaissait le nom d’une fillette en montre le poids. Et l’indexation par un moteur de recherche n’a rien d’exotique : notre article sur les fiches d’inscription de Petite-Ourse restées en ligne tout l’été raconte un cas québécois.

Enfin, l’article 3.3 exige une évaluation des facteurs relatifs à la vie privée avant d’acquérir un système d’information, et l’article 17 en exige une avant que des renseignements soient communiqués ou confiés hors Québec, comme l’explique notre article sur l’hébergement « au Canada ». C’est le bon moment pour poser les questions que ces trois affaires rendent évidentes.

Ce que ça change pour votre service de garde

  1. Demandez par écrit où vont les rapports et les exportations. Les PDF, CSV et photos générés par le logiciel sont-ils accessibles sans connexion, par une simple adresse web ? Les liens expirent-ils ? Vari Tech et Stay Informed ont fui par là. Un courriel, réponse attendue sous 30 jours.
  2. Exigez la preuve que chaque fiche est protégée contre les autres comptes. Demandez si un test d’intrusion externe vérifie qu’un utilisateur ne peut pas voir les données d’un autre établissement en changeant un numéro dans l’adresse (le cas KigaRoo), et demandez-en le résumé. Stay Informed affirmait faire des tests réguliers : la réponse doit être datée et vérifiable.
  3. Demandez combien de temps les journaux d’accès sont conservés. Avec 14 jours, Stay Informed ne pouvait rien dire des accès antérieurs au 5 mars 2024. Une conservation d’au moins un an vous permettra de répondre aux parents si un incident survient.
  4. Révisez le contrat selon l’article 18.3. Mesures de sécurité écrites, interdiction de réutiliser les données, destruction à la fin du contrat, avis sans délai de toute violation, et engagement à vous fournir la liste de vos personnes touchées. Une heure avec le fournisseur, au renouvellement ou dès maintenant.
  5. Déposez moins de choses dans l’application. Pas d’exportation complète de vos listes d’enfants dans la messagerie, pas de signatures numérisées si elles ne sont pas nécessaires, ordonnances restrictives limitées aux personnes qui doivent les connaître. Ce qui n’y est pas ne peut pas fuir.
  6. Cherchez-vous vous-même dans les moteurs de recherche. Une fois par trimestre, quinze minutes : le nom de votre service de garde avec « PDF », le nom de votre logiciel avec celui de votre ville. Si un document d’enfant apparaît, prévenez le fournisseur et demandez le retrait de l’indexation.
  7. Préparez l’avis du fournisseur avant qu’il arrive. Le jour où il vous écrit, vous aurez à inscrire l’incident, évaluer le risque et peut-être aviser les familles : nos 12 questions à poser à un fournisseur de logiciel, notre article sur les fournisseurs piratés qui deviennent votre problème et notre modèle d’avis aux parents vous y préparent.

Foire aux questions

Si la fuite vient du fournisseur de logiciel, qui est responsable ?

Le service de garde reste responsable des renseignements qu’il confie. La Loi sur le privé exige un contrat écrit avec le fournisseur et l’oblige à aviser sans délai le responsable de toute violation (article 18.3), mais c’est le service de garde qui tient le registre, évalue le risque et avise la CAI et les parents au besoin.

Comment un moteur de recherche a-t-il pu indexer des dossiers d’enfants ?

Selon la décision de l’OIPC de l’Alberta, les rapports de Vari Tech étaient dans un dossier non sécurisé. Quand des clients les ouvraient avec Internet Explorer sous Windows 10, le navigateur transmettait leurs adresses à Bing, qui a indexé ces rapports. Le fournisseur a ensuite exigé un nom d’utilisateur et un mot de passe pour y accéder.

Qu’est-ce qu’une faille IDOR, comme chez KigaRoo ?

C’est une faille où le logiciel ne vérifie pas que l’utilisateur a le droit de voir la fiche demandée. En changeant un numéro dans l’adresse web, on affiche la fiche d’une autre personne. Chez KigaRoo, les numéros étaient séquentiels, ce qui permettait de les parcourir un à un.

Quelles questions poser à mon fournisseur après ces incidents ?

Où sont stockés les rapports et exportations, et sont-ils accessibles sans connexion ? Un test d’intrusion vérifie-t-il le cloisonnement entre établissements ? Combien de temps les journaux d’accès sont-ils conservés ? Le contrat prévoit-il l’avis sans délai de toute violation, comme l’exige l’article 18.3 ?

Transparence

Ce blogue est publié par Amisgest Technologie inc., éditeur de logiciels pour les services de garde éducatifs. Les faits rapportés ici proviennent de sources publiques citées en fin d’article. Une erreur à signaler ? Écrivez à [email protected].

Sources

À lire aussi

Étiqueté , , , ,

Laisser un commentaire

Votre adresse courriel ne sera pas publiée. Les champs obligatoires sont indiqués avec *