Une pièce jointe, puis une demande de rançon chez ABC Head Start, à Edmonton

En mai 2021, à Edmonton, une employée d’ABC Head Start Society ouvre les pièces jointes d’un courriel. Rien ne se passe, en apparence. Puis, le 29 mai, son compte demande l’accès au site SharePoint des finances de l’organisme. Un gestionnaire vérifie auprès d’elle : elle n’a rien demandé. Le même jour, Microsoft envoie deux alertes pour un volume inhabituel de suppressions de fichiers. Le 2 juin, l’organisme reçoit une demande de rançon : payez, ou vos données seront publiées. ABC Head Start est un organisme de bienfaisance fondé en 1985 qui offre un programme d’éducation de la petite enfance, avec une boîte Microsoft, des dossiers d’enfants et la paie du personnel. Bref, à peu près le portrait informatique d’un CPE. L’affaire n’a jamais fait les manchettes : on la connaît par la décision que le commissariat albertain à la vie privée (OIPC) a publiée le 4 mars 2022.

Ce qui s’est passé

La chronologie suivante provient entièrement de la décision P2021-ND-311 de l’OIPC de l’Alberta.

• Du 26 au 29 mai 2021 : un intrus accède au compte Microsoft Office 365 d’une employée. L’organisme apprendra que l’employée avait ouvert les pièces jointes d’un courriel de rançongiciel.
• 29 mai 2021 : une demande d’accès au SharePoint des finances part du compte compromis. Un gestionnaire fait un suivi ; l’employée confirme ne pas l’avoir faite. Le même jour, Microsoft envoie deux alertes pour un volume inhabituel de suppressions de fichiers.
• 31 mai 2021 : le coordonnateur informatique fait un suivi ; l’employée confirme n’avoir ni déplacé ni supprimé de fichiers.
• 2 juin 2021 : l’organisme reçoit une demande de rançon qui menace de publier ses données.
• 15 juin 2021 : l’incident est déclaré à l’OIPC.
• 21 juillet 2021 : les personnes touchées sont avisées par lettre.
• 4 mars 2022 : l’OIPC conclut à un risque réel de préjudice grave et confirme que l’avis aux personnes était requis ; celui de juillet suffit.

Entre-temps, l’organisme a avisé la police et son assureur, écrit à tout le personnel de ne pas ouvrir de pièces jointes, rencontré une firme d’enquête, changé les mots de passe, déconnecté tous les employés de tous leurs appareils, et dit envisager l’authentification multifacteur sur tous les comptes, revoir ses politiques informatiques et renforcer la formation.

Les données touchées

Selon la décision, l’incident touche 10 personnes dont les renseignements ont été recueillis en Alberta : deux employés et trois familles. Le chiffre est petit ; le contenu, lui, ne l’est pas.

Pour qui	Renseignements touchés (décision P2021-ND-311)
Employés	Contrat de travail, évaluation de rendement, contrat d’assurance (date de naissance, adresse, téléphones, nom et date de naissance des personnes à charge, numéro de police), renseignements bancaires, signature, numéro de certificat de premiers soins
Enfants et parents	Nom complet de l’enfant, nom du parent, adresse, téléphones, courriel, date de naissance, photos, numéro d’élève albertain, noms des intervenants, renseignements de santé : poids, taille, dépistage visuel, audition, rapports d’orthophonie et d’autres membres de l’équipe

La décision précise que les renseignements ont été consultés et volés, et qu’on ignore s’ils ont été récupérés.

Ce qu’en disent les parents, les experts et les autorités

Les réactions sont minces, et il faut le dire : aucun média n’a couvert l’incident, et aucun parent ni expert ne s’est exprimé publiquement. La seule voix publique est celle de l’autorité.

La commissaire à l’information et à la protection de la vie privée de l’Alberta, qui signe la décision, retient d’abord la gravité : les renseignements d’identité, d’emploi, d’assurance et financiers peuvent servir au vol d’identité et à la fraude, les adresses courriel à l’hameçonnage, et les renseignements de santé à humilier ou à embarrasser. Elle retient ensuite la probabilité, accrue pour quatre raisons : l’intrusion était délibérée et accompagnée d’une rançon, les renseignements ont été consultés et volés sans qu’on sache s’ils ont été récupérés, certaines personnes touchées sont des enfants, une « vulnerable population » (en français : une population vulnérable), et l’intrus a pu y accéder pendant environ cinq jours.

L’organisme, lui, jugeait dans sa déclaration qu’un préjudice supplémentaire semblait peu probable, tout en précisant que la question était évaluée par une firme d’enquête et par l’unité des crimes informatiques de la police d’Edmonton. L’OIPC ne l’a pas suivi sur ce point.

Une seconde décision albertaine, visant un programme préscolaire de Calgary (encadré ci-dessous), ajoute une phrase qui vaut pour tous les gestionnaires : pour la commissaire adjointe qui la signe, l’absence de vol d’identité constaté jusqu’ici n’atténue pas le risque, puisque le vol d’identité peut survenir des mois, voire des années après une fuite. Enfin, sans viser ce cas, le Centre canadien pour la cybersécurité recommande aux petites organisations d’utiliser, dans la mesure du possible, l’authentification à deux facteurs ou multifacteur.

Encadré : CUPS Calgary, le même scénario en octobre 2021. Le 21 octobre 2021, une employée de CUPS Calgary Society, qui offre aussi un programme d’éducation de la petite enfance, reçoit un courriel d’hameçonnage venu d’un compte de confiance et entre son identifiant et son mot de passe. Le même lien piégé part ensuite à toute sa liste de contacts. Cent cinquante personnes sont touchées : noms des enfants et des parents, adresses, courriels, numéros d’élève et codes d’éducation spécialisée. Parmi les mesures prises, la décision P2022-ND-081 mentionne la suppression d’une règle de lecture automatique des courriels, le retrait des renseignements de clients des courriels et le déploiement de l’authentification multifacteur. Les parents ont été avisés par courriel le 29 octobre 2021, puis par lettre ou par téléphone le 23 juin 2022.

Ce que ça enseigne à un CPE québécois

Le scénario d’Edmonton est celui que redoute tout CPE : une boîte Microsoft 365, un SharePoint où dort la paie, des fiches d’enfants avec des renseignements de santé, et une employée qui a cliqué. Transposé au Québec, il relève de la Loi sur la protection des renseignements personnels dans le secteur privé, la Loi 25, qui vise les CPE comme toute entreprise (voir notre article sur le CPE et la Loi 25).

Une boîte consultée par un intrus, c’est un « accès non autorisé par la loi », donc un incident de confidentialité (article 3.6). Il s’inscrit au registre (article 3.8). Puis vient l’évaluation du risque de préjudice sérieux, selon la sensibilité des renseignements, les conséquences appréhendées et la probabilité d’une utilisation préjudiciable (article 3.7). Des rapports d’orthophonie d’enfants, des données bancaires d’employées et une demande de rançon : il est difficile d’imaginer une conclusion autre que « sérieux », ce qui entraîne l’avis à la Commission d’accès à l’information (CAI) et à chaque personne concernée (article 3.5). La différence avec l’Alberta, expliquée dans notre article sur le courriel du YMCA de Medicine Hat, c’est qu’ici personne ne tranche à votre place : c’est vous qui évaluez, avec votre responsable de la protection des renseignements personnels.

Deux autres articles de la loi touchent directement le cas. L’article 10 exige des mesures de sécurité raisonnables compte tenu de la sensibilité des renseignements : en 2021, l’authentification multifacteur n’était encore qu’envisagée chez ABC Head Start. Et l’article 20 réserve l’accès d’un renseignement aux employés pour qui il est nécessaire à leurs fonctions : un compte d’éducatrice n’a pas à pouvoir demander l’accès aux finances, et un dossier de santé d’enfant n’a pas sa place dans une boîte de courriel ordinaire.

Ce que ça change pour votre service de garde

1. Activez l’authentification multifacteur sur tous les comptes Microsoft 365, cette semaine. Direction, adjointe, comptabilité, éducatrices, comptes partagés compris. Les réglages de sécurité de base de Microsoft 365 la rendent obligatoire sans module payant. Une journée pour une petite équipe. Notre article sur la double authentification en trois questions explique comment la présenter au personnel.
2. Nommez la personne qui lit les alertes Microsoft, et un délai. À Edmonton, l’alerte de suppressions massives est arrivée le 29 mai ; le suivi informatique, le 31. Faites acheminer les alertes de sécurité à deux personnes (direction et technicien) avec une consigne simple : toute alerte est vérifiée dans les 24 heures.
3. Après tout clic douteux, vérifiez les règles de la boîte. CUPS a dû supprimer une règle de lecture automatique installée par l’intrus. Les règles de transfert ou de suppression ajoutées à l’insu de l’employée sont le premier endroit à regarder, avec la liste des appareils connectés. Quinze minutes, à inscrire dans votre procédure.
4. Séparez les accès aux finances. Le SharePoint de la paie et des finances ne doit être ouvert qu’à la direction et à la comptabilité, conformément à l’article 20. Revue des membres de chaque groupe tous les trois mois, et à chaque départ, comme le montre notre article sur le compte d’un employé en congé depuis 11 mois.
5. Sortez les dossiers d’enfants du courriel. Les rapports d’orthophonie, les listes d’enfants à besoins particuliers et les fiches de santé vont dans votre logiciel de gestion ou un espace à accès contrôlé, pas en pièce jointe. Faites le ménage des pièces jointes existantes une fois par année.
6. Formez sur la pièce jointe inattendue et sur le signalement sans honte. Une employée qui dit « j’ai ouvert quelque chose de bizarre » le jour même vaut mieux qu’une alerte lue deux jours plus tard. Trente minutes en réunion d’équipe, deux fois par année.
7. Préparez la journée de la rançon avant qu’elle arrive. Liste des appels (technicien, assureur, police), consigne de ne pas payer sans conseil, modèle d’avis aux familles : notre article sur la première heure après une cyberattaque et notre modèle d’avis aux parents en six mentions vous donnent la trame.

Sources

• Office of the Information and Privacy Commissioner of Alberta, décision P2021-ND-311, ABC Head Start Society, 4 mars 2022 (PDF)
• Office of the Information and Privacy Commissioner of Alberta, décision P2022-ND-081, CUPS Calgary Society (PDF)
• Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1), art. 3.5 à 3.8, 10 et 20, LégisQuébec
• Centre canadien pour la cybersécurité, « Les meilleures mesures pour renforcer la cybersécurité des petites et moyennes entreprises » (ITSAP.10.035)

À lire aussi

Faille de sécurité

HopHop débranchée du jour au lendemain : ce que la faille a exposé

2 novembre 2026 · 8 min de lecture

Faille de sécurité

Rosemère : les numéros d’assurance sociale de plus de 1 000 parents envoyés par courriel

15 août 2026 · 8 min de lecture

Faille de sécurité

Le traiteur qui change de compte bancaire : l’appel de cinq minutes qui arrête la fraude

25 octobre 2026 · 10 min de lecture