Le 24 août 2026, un incident de sécurité informatique frappe la Commission de la construction du Québec (CCQ). Rapidement, les services en ligne et téléphoniques sont paralysés. Quelques jours plus tard, l’ampleur de l’incident se précise : il s’agit bien d’une cyberattaque et des renseignements personnels appartenant à des clients et à des employés ont été volés.
Selon La Presse, environ 350 000 personnes seraient touchées. Parmi les renseignements sensibles potentiellement concernés figurent notamment des dates de naissance et des numéros d’assurance sociale, bien que la nature exacte des données compromises varie d’une personne à l’autre.
La Presse rapporte également que l’attaque a été revendiquée par Qilin, un groupe cybercriminel russophone associé aux rançongiciels et à l’extorsion. Des services indépendants de surveillance des rançongiciels ont aussi répertorié la CCQ parmi les victimes revendiquées par ce groupe.
Au-delà de l’ampleur de l’incident, cette cyberattaque pose une question importante aux dirigeants québécois :
Si votre entreprise subissait la même attaque demain matin, seriez-vous prêt?
Une cyberattaque ne se résume plus à des fichiers chiffrés
Pendant longtemps, le scénario typique associé aux rançongiciels semblait relativement simple : un pirate pénètre dans un réseau, chiffre les fichiers de l’entreprise et exige une rançon pour les récupérer.
La réalité est aujourd’hui beaucoup plus préoccupante.
Des groupes comme Qilin sont associés à ce qu’on appelle la double extorsion. Les cybercriminels peuvent voler des données avant de chiffrer les systèmes. Ils disposent alors de deux leviers : perturber les opérations et menacer de divulguer les renseignements volés.
C’est une distinction fondamentale pour une entreprise.
Une excellente sauvegarde peut permettre de restaurer des serveurs. Elle ne permet toutefois pas de « récupérer » des renseignements personnels qui ont déjà été copiés par un attaquant.
Une fois les données sorties de l’organisation, le problème change complètement de nature.
Le véritable coût apparaît lorsque l’entreprise arrête de fonctionner
Le cas de la CCQ illustre également une conséquence parfois sous-estimée des cyberattaques : l’interruption des opérations.
À la suite de la découverte de l’incident, la CCQ a interrompu plusieurs services pendant que ses équipes sécurisaient et analysaient son environnement informatique. L’organisation a dû mettre en place des mesures temporaires et informer régulièrement travailleurs, employeurs et partenaires de l’évolution de la situation.
La reprise complète des services a été annoncée pour le 8 septembre, soit environ deux semaines après la découverte de l’incident.
Imaginez maintenant le même scénario dans une PME.
Plus de système de gestion. Plus d’accès à certains documents. Des employés incapables de travailler normalement. Des clients qui appellent. Des fournisseurs qui attendent. Une équipe de direction qui tente simultanément de comprendre ce qui s’est passé, de communiquer avec ses partenaires TI et de déterminer quelles données ont été compromises.
Le coût d’une cyberattaque ne se calcule donc pas seulement en rançon ou en frais informatiques.
Il faut également considérer les heures de travail perdues, les ventes retardées, les services interrompus, les spécialistes externes, les communications aux clients et les conséquences sur la réputation de l’entreprise.
350 000 victimes : pourquoi les renseignements personnels ont autant de valeur?
Une base de données contenant des renseignements personnels représente une cible particulièrement intéressante pour les cybercriminels.
Pourquoi?
Parce que ces renseignements peuvent continuer d’avoir de la valeur longtemps après l’attaque.
Une adresse courriel peut alimenter une campagne d’hameçonnage. Des informations personnelles peuvent servir à rendre une fraude beaucoup plus crédible. Des renseignements plus sensibles peuvent augmenter les risques de vol d’identité.
C’est notamment pour cette raison que la CCQ offre aux personnes concernées des services de surveillance du crédit et du Web clandestin par l’entremise d’Equifax, ainsi qu’un accompagnement en cas de fraude ou de vol d’identité.
Pour une PME, la leçon est importante : une donnée conservée inutilement représente aussi un risque conservé inutilement.
Les entreprises devraient donc régulièrement se demander quelles informations elles détiennent, pourquoi elles les conservent, qui peut y accéder et combien de temps elles doivent réellement être gardées.
La Loi 25 ajoute une autre dimension au problème
Au Québec, une cyberattaque impliquant des renseignements personnels n’est pas uniquement un problème informatique.
C’est également un enjeu de gouvernance et de conformité.
En vertu des obligations découlant de la Loi 25, les entreprises doivent notamment tenir un registre des incidents de confidentialité et prendre rapidement des mesures pour réduire les risques qu’un préjudice soit causé aux personnes concernées.
Lorsqu’un incident présente un risque de préjudice sérieux, l’entreprise doit également aviser la Commission d’accès à l’information du Québec ainsi que les personnes concernées.
Autrement dit, découvrir une intrusion n’est que le début.
Il faut être capable de déterminer rapidement ce qui s’est passé, quelles données sont touchées, quelles personnes sont concernées et quelles mesures doivent être prises.
Improviser ces décisions pendant une crise est rarement une bonne stratégie.
« Nous avons des sauvegardes » ne suffit plus
Lorsqu’on demande à une entreprise si elle est préparée à une cyberattaque, une réponse revient souvent : « Nos données sont sauvegardées. »
C’est essentiel. Mais ce n’est qu’une partie de la solution.
Une véritable stratégie de résilience devrait également prévoir :
- des sauvegardes isolées et régulièrement testées;
- l’authentification multifacteur sur les comptes critiques;
- une gestion rigoureuse des accès et des privilèges administratifs;
- la surveillance des appareils et des comportements suspects;
- la correction rapide des vulnérabilités;
- la sensibilisation des employés à l’hameçonnage et à l’ingénierie sociale;
- un plan documenté de réponse aux incidents;
- une procédure de continuité des activités si les systèmes deviennent indisponibles.
Un détail est particulièrement important : tester le plan.
Un document de réponse aux incidents qui dort depuis trois ans dans SharePoint n’est pas nécessairement un plan fonctionnel.
Qui appelle le fournisseur TI? Qui décide de couper certains systèmes? Qui communique avec les employés? Comment joindre les responsables si Microsoft 365 ou le réseau interne n’est plus accessible? Qui contacte l’assureur cyber? Qui détermine si la Commission d’accès à l’information doit être avisée?
Ces questions sont beaucoup plus faciles à résoudre un mardi matin tranquille que pendant une cyberattaque.
La cybersécurité est aussi une question de continuité des affaires
L’incident de la CCQ rappelle finalement une réalité fondamentale : la cybersécurité n’est plus uniquement la responsabilité du département informatique.
Lorsqu’une attaque peut interrompre les opérations pendant plusieurs jours, compromettre les renseignements de centaines de milliers de personnes et déclencher des obligations légales, elle devient un risque d’affaires.
La direction doit donc participer à la préparation.
Un gestionnaire n’a pas besoin de comprendre le fonctionnement technique d’un rançongiciel. Il devrait toutefois connaître la réponse à quelques questions simples :
- Combien de temps pouvons-nous fonctionner sans nos systèmes?
- Quelles données seraient les plus dommageables à perdre ou à voir voler?
- Combien de temps nous faudrait-il réellement pour restaurer nos opérations?
- Et surtout : avons-nous déjà testé ces réponses?
Si personne dans l’organisation ne peut répondre clairement, le problème n’est peut-être pas technologique. C’est un problème de préparation.
La meilleure réponse à une cyberattaque commence avant l’attaque
La cyberattaque de la CCQ fera probablement encore l’objet d’analyses au fur et à mesure que l’enquête progressera. Plusieurs détails techniques sur la façon dont les attaquants sont entrés dans l’environnement ne sont pas encore publics.
Il serait donc prématuré de tirer des conclusions sur les causes précises de l’incident.
Une conclusion peut toutefois déjà être tirée.
Aucune organisation ne devrait attendre une cyberattaque pour déterminer comment elle réagira à une cyberattaque.
Pour une PME québécoise, la priorité n’est pas de tenter de devenir invulnérable. Aucun environnement informatique ne peut garantir un risque zéro.
L’objectif est plutôt de réduire les possibilités d’intrusion, de détecter rapidement les comportements suspects, de limiter les dommages si un compte ou un appareil est compromis et d’être capable de reprendre les opérations rapidement.
Parce qu’au moment où une attaque commence, il est déjà trop tard pour commencer à écrire le plan.
Si la cyberattaque de la CCQ vous amène à vous demander comment votre entreprise réagirait dans une situation similaire, les spécialistes de MONTECHNICIEN peuvent vous aider à y voir plus clair. Notre équipe accompagne les PME du Québec dans la protection de leurs environnements TI, la prévention des cybermenaces et la préparation aux incidents de sécurité.
