Whānau Manaaki et EFAJE : un prestataire piraté, une sauvegarde de la veille

Début juillet 2021, dans plus de 100 jardins d’enfants du centre et du sud de l’île du Nord de la Nouvelle-Zélande, les éducatrices ont reçu une consigne inhabituelle : éteindre les ordinateurs et les portables, et ne plus communiquer que par tablette. À Whanganui, douze jardins d’enfants sont revenus au crayon et au papier. Leur association, Whānau Manaaki Kindergartens, n’avait rien fait de travers. Son prestataire informatique utilisait un logiciel de télégestion, Kaseya VSA, que des criminels venaient de transformer en machine à distribuer un rançongiciel.

Sept mois plus tard, en Suisse romande, un autre organisme de la petite enfance a vécu sa propre attaque : l’Association pour l’entraide familiale et l’accueil de jour des enfants du Gros-de-Vaud et environs (EFAJE). Ses données ont été chiffrées et copiées, une rançon a été exigée. L’association a refusé de payer, et elle a pu redémarrer. La raison tient en une phrase : une sauvegarde avait été faite la veille.

Deux histoires, deux leçons complémentaires pour un CPE : le prestataire informatique peut être votre porte d’entrée, et la sauvegarde peut être votre porte de sortie.

Ce qui s’est passé

Whānau Manaaki Kindergartens (Nouvelle-Zélande)

• 2 juillet 2021 : l’agence américaine de cybersécurité CISA signale une attaque de rançongiciel contre la chaîne d’approvisionnement, qui exploite une vulnérabilité du logiciel Kaseya VSA, utilisé par des fournisseurs de services gérés pour administrer à distance les ordinateurs de leurs clients. Les autorités américaines soupçonnent le groupe criminel REvil (RNZ).
• Entre le 2 et le 5 juillet 2021 : Whānau Manaaki confirme être touchée par l’intermédiaire de son prestataire informatique, et avec elle ses plus de 100 jardins d’enfants membres (RNZ). L’attaque semble limitée au siège social de Porirua, mais on craint qu’elle s’étende si les appareils sont utilisés (NZ Herald).
• 5 juillet 2021 : la direction générale demande à tous de garder ordinateurs et portables éteints pendant que le prestataire, qui travaille avec le ministère de l’Éducation, vérifie chaque appareil (RNZ).
• 6 juillet 2021 : les douze jardins d’enfants de Whanganui fonctionnent au papier ; ils restent ouverts (NZ Herald). Le ministère indique que 11 écoles et un fournisseur de la petite enfance ont été ciblés en Nouvelle-Zélande.

EFAJE (Gros-de-Vaud, Suisse)

• Vendredi 25 février 2022, en soirée : des pirates chiffrent et copient les données de l’association (24 heures ; Netzwoche).
• Quelques jours plus tard : demande de rançon pour fournir la clé de déchiffrement. L’association refuse de négocier, contacte la police et porte plainte (Netzwoche, citant 24 heures).
• 2 mars 2022 : le quotidien 24 heures révèle l’attaque. Selon le début de l’article, c’est la vulnérabilité du réseau qui a valu l’attaque, et les données sur les enfants n’étaient pas particulièrement ciblées.
• 4 mars 2022 : le site spécialisé Netzwoche rapporte, d’après 24 heures, que la plupart des données ont été restaurées grâce à une sauvegarde faite la veille de l’attaque et que les salaires ont été versés à temps.

L’ampleur de Kaseya aide à comprendre le cas néo-zélandais. Selon l’éditeur, moins de 60 de ses clients, tous des utilisateurs de la version installée sur place de VSA, ont été directement compromis ; comme beaucoup d’entre eux gèrent l’informatique d’autres entreprises, l’impact s’étendait à moins de 1 500 organisations en aval. Whānau Manaaki était l’une d’elles.

Les données touchées

Whānau Manaaki : au moment des faits, l’association ne savait pas si des données avaient été consultées ou copiées. Sa directrice générale l’a dit simplement à RNZ : l’objectif était de déterminer si l’organisation avait été compromise ou non. Le ministère de l’Éducation a indiqué que si des renseignements personnels avaient été touchés, les personnes seraient contactées directement par leur établissement (NZ Herald). Nous n’avons trouvé aucun suivi public sur ce point.

EFAJE : selon 24 heures, les pirates ont chiffré les données des employés et des familles. Selon la reprise de Netzwoche, le directeur général de l’association a précisé que les attaquants avaient eu accès aux données administratives des employés et des familles, mais pas aux informations sur le suivi quotidien des enfants. Le nombre de personnes touchées n’a pas été publié. L’article complet de 24 heures est réservé aux abonnés : nous ne rapportons que ce que nous avons pu lire, soit le début de l’article et sa reprise par Netzwoche.

Une précision importante : la sauvegarde d’EFAJE lui a permis de redémarrer, pas d’effacer la fuite. Des données ont été copiées avant le chiffrement. Restaurer ses fichiers ne fait pas disparaître ceux que les criminels ont emportés.

Ce qu’en disent les parents, les experts et les autorités

Aucun parent n’a été cité dans les articles que nous avons pu lire, ni en Nouvelle-Zélande ni en Suisse. Les réactions viennent des organisations et des autorités.

La directrice générale de Whānau Manaaki a résumé la situation à RNZ : « There are so many unknowns with this attack » (« Il y a tellement d’inconnues dans cette attaque », traduction libre). Elle a expliqué que le prestataire vérifiait chaque machine, une par une.

Une porte-parole du ministère de l’Éducation a déclaré au NZ Herald : « Parents need to know that if there is anyone whose personal information has been impacted by this they will be contacted by their education provider directly » (les parents doivent savoir que toute personne dont les renseignements personnels ont été touchés sera contactée directement par son établissement, traduction libre).

Le directeur général du Government Communications Security Bureau (GCSB), le service néo-zélandais de renseignement électronique, a expliqué à RNZ que les attaques par rançongiciel remontent la chaîne d’approvisionnement, en visant les fournisseurs de logiciels plutôt que les entreprises une à une, ce qui élargit leurs effets. Il a averti que les organisations doivent savoir comment continuer à fonctionner si elles sont bloquées. L’équipe nationale d’intervention CERT NZ a demandé aux utilisateurs de Kaseya d’analyser leurs serveurs.

Aux États-Unis, la CISA et le FBI ont publié des consignes pour les clients des fournisseurs touchés : garder des sauvegardes à jour, faciles à récupérer et isolées du réseau de l’organisation, activer l’authentification multifacteur et appliquer le principe du moindre privilège aux comptes d’administration.

En Suisse, enfin, le directeur général d’EFAJE a déclaré à 24 heures que négocier avec les criminels n’était pas une option pour l’association (selon Netzwoche).

Ce que ça enseigne à un CPE québécois

Votre prestataire informatique a les clés de tous vos postes. Beaucoup de CPE, de garderies et de bureaux coordonnateurs confient leur parc à un technicien ou à une petite firme qui installe un outil de télégestion sur chaque ordinateur. C’est pratique : il corrige un problème sans se déplacer. C’est aussi un accès permanent et privilégié. Si l’outil ou le compte du prestataire est compromis, l’attaquant hérite de cet accès. Comme le dit l’un de nos articles : pourquoi vous ne devriez pas confier toute votre cybersécurité à votre technicien. Le Centre canadien pour la cybersécurité en a fait une fiche que nous avons résumée : les menaces de la chaîne d’approvisionnement des logiciels.

Le contrat avec ce prestataire est encadré par la loi. Un prestataire qui peut voir vos dossiers d’enfants reçoit des renseignements personnels pour exécuter un contrat. La Loi sur la protection des renseignements personnels dans le secteur privé exige alors un contrat écrit, qui précise les mesures de protection et l’oblige à aviser sans délai votre responsable de toute violation ou tentative de violation (art. 18.3). Vous devez aussi prendre des mesures de sécurité raisonnables compte tenu de la sensibilité des renseignements (art. 10).

Le papier fait partie de votre plan, la loi le suppose déjà. Le Règlement sur les services de garde éducatifs à l’enfance exige une fiche d’assiduité mise à jour chaque jour et accessible sur les lieux (art. 123), et une fiche d’inscription qui contient notamment les personnes autorisées à venir chercher l’enfant, les contacts d’urgence et les renseignements de santé qui demandent une attention particulière (art. 122). Le jour où les ordinateurs sont éteints, ce sont ces informations qu’il faut avoir sous la main. Whanganui a continué d’accueillir les enfants au papier.

Une sauvegarde qui sauve est une sauvegarde isolée et récente. EFAJE a restauré la plupart de ses données grâce à une copie faite la veille. Une sauvegarde branchée en permanence sur le réseau peut être chiffrée en même temps que le reste. Au Québec, le rançongiciel du CPE du CHUL a montré qu’aucun service de garde n’est trop petit pour être visé.

Restaurer ne dispense pas d’évaluer la fuite. Dans le cas d’EFAJE, des données ont été copiées. Au Québec, un vol de données lors d’un rançongiciel est un incident de confidentialité : il faut l’inscrire au registre et, si le risque de préjudice est sérieux, aviser la Commission d’accès à l’information et les personnes concernées (P-39.1, art. 3.5 et 3.8), même si tout fonctionne de nouveau.

Ce que ça change pour votre service de garde

1. Dresser la liste des accès à distance, d’ici 30 jours. Demandez à votre prestataire quel outil de télégestion est installé sur vos postes, quels comptes y ont accès et si l’authentification multifacteur est obligatoire. Exigez-la, avec un accès limité aux adresses connues du prestataire, comme le recommandent la CISA et le FBI. Coût : nul, sauf si l’outil doit être mis à niveau.
2. Mettre le contrat à jour, au prochain renouvellement. Ajoutez les exigences de l’article 18.3 : mesures de sécurité, avis sans délai de tout incident, y compris un incident chez ses propres fournisseurs, droit de vérification, et procédure pour couper son accès en urgence. Nos 12 questions à poser à un fournisseur s’appliquent aussi au prestataire informatique. Coût : une révision de l’entente.
3. Avoir une sauvegarde quotidienne isolée du réseau, ce mois-ci. Une copie chaque nuit, dont au moins une version hors ligne ou dans un service qui empêche la modification des copies anciennes. Coût : celui d’un disque externe en rotation ou d’un service de sauvegarde infonuagique, selon votre volume.
4. Tester la restauration, chaque trimestre. Une sauvegarde jamais testée est une promesse. Restaurez un dossier choisi au hasard et notez le temps requis. Notre article pourquoi tester vos sauvegardes explique la marche à suivre. Coût : une heure.
5. Préparer la trousse papier, d’ici 30 jours. Imprimez des fiches d’assiduité vierges, la liste des personnes autorisées par enfant, les contacts d’urgence et les renseignements de santé à surveiller. Rangez-la sous clé, mettez-la à jour chaque mois et détruisez les anciennes versions de façon sécuritaire. Coût : du papier et une armoire qui ferme à clé.
6. Décider à l’avance de la position sur la rançon. Faites adopter par le conseil d’administration une position claire : on ne négocie pas seul, on avise la police, on consulte un spécialiste. EFAJE a refusé de négocier et a porté plainte. Notre guide sur la première heure après une cyberattaque vous aide à préparer la suite. Coût : un point à l’ordre du jour.
7. Prévoir un canal de communication hors réseau. Whānau Manaaki a communiqué par tablette pendant que les ordinateurs étaient éteints. Gardez une liste imprimée des numéros du personnel, du prestataire et du conseil d’administration, et un téléphone qui ne dépend pas de votre réseau. Coût : nul.

Sources

• RNZ, « Kaseya ransomware attack hits New Zealand kindergartens », 5 juillet 2021
• NZ Herald (Whanganui Chronicle), « Whanganui kindergartens back to pen and paper after organisation’s IT network attacked », 6 juillet 2021
• CISA et FBI, « Guidance for MSPs and their Customers Affected by the Kaseya VSA Supply-Chain Ransomware Attack », juillet 2021
• Kaseya, avis important sur l’incident VSA (nombre de clients touchés)
• 24 heures, « Un réseau d’accueil de jour a été victime d’une cyberattaque », 2 mars 2022 (accès payant, début de l’article consulté)
• Netzwoche, « Waadtländer Kita von Cyberangriff betroffen », 4 mars 2022
• Règlement sur les services de garde éducatifs à l’enfance (RLRQ, c. S-4.1.1, r. 2), art. 122 et 123, LégisQuébec

À lire aussi

Faille de sécurité

Fraude du président : des OBNL du Saguenay et un CIUSSS visés, un CPE a le même profil

3 octobre 2026 · 10 min de lecture

Faille de sécurité

Segma, Xpayrience, CodeRED : quand le fournisseur piraté devient votre problème

8 septembre 2026 · 10 min de lecture

Faille de sécurité

Une double signature qui reposait sur un mot de passe partagé (jugement 2026 QCCS 3826)

5 octobre 2026 · 10 min de lecture