Le mois d'août n'a pas été calme au Québec et en Ontario. Six incidents documentés en quatre semaines, dans la construction, la billetterie, la finance, la santé, la technologie et le milieu communautaire. Pris un par un, chacun ressemble à un fait divers de plus. Mis côte à côte, ils dessinent cinq constats précis, et ces constats se traduisent en actions concrètes pour un propriétaire de risque.
Voici les faits d'abord, les constats ensuite.
Ce qui s'est passé
Québec
Commission de la construction du Québec, 24 août. Les services en ligne et téléphoniques de la CCQ sont fermés depuis le lundi matin 24 août à cause d'une cyberattaque. L'organisme, qui sert près de 200 000 travailleurs de la construction, a coupé ses systèmes de façon préventive dès les premiers signaux et mandaté des experts externes. Au 27 août, l'avis d'interruption était toujours en ligne et la CCQ n'était pas en mesure de confirmer si des données avaient été compromises.
xPayrience (Projex Media), intrusion le 11 juillet, révélée le 18 août. Un fichier circulant sur le dark web contient les renseignements d'environ 413 935 clients de cette plateforme de billetterie de Magog : noms, courriels, téléphones et adresses complètes, plus les détails de 476 000 billets vendus et 402 000 réservations d'hébergement. Ni données bancaires ni numéros d'assurance sociale. Les organisations clientes touchées sont des noms connus : Foresta Lumina, ComediHa!, les Saguenéens de Chicoutimi, les Foreurs de Val-d'Or, le Grand Prix Ski-Doo de Valcourt. C'est un chercheur en sécurité, Stéphane Auger, qui a téléchargé et analysé le fichier. Au 19 août, selon le président de l'entreprise, la Commission d'accès à l'information n'avait toujours pas été avisée.
Senvest Capital, 19 août. Le groupe d'extorsion TheGentlemen a revendiqué une attaque contre cette société d'investissement dont le siège est à Montréal et à New York, avec menace de publication des données. Revendication non confirmée par l'entreprise à ce jour.
Ontario
Waterloo Regional Health Network, enquête toujours en cours en août. Le réseau hospitalier a été avisé le 6 février 2026 par OntarioMD d'un incident touchant sa connexion au Health Report Manager, l'outil hébergé par Ontario Health qui transmet l'information de séjour hospitalier au médecin de famille. Les renseignements potentiellement exposés concernent les soins reçus par 150 000 personnes entre avril 2025 et janvier 2026. Le commissaire à l'information et à la protection de la vie privée de l'Ontario enquête toujours, six mois après avoir été avisé, et a ouvert des lignes téléphoniques dédiées pour les patients inquiets.
MOSAID Technologies, 16 août. L'entreprise technologique d'Ottawa a été revendiquée par le groupe Qilin sur son site de fuite.
Association canadienne pour la santé mentale, 14 août. L'organisme, dont le siège social est à Toronto, a été revendiqué par le groupe Storm, avec une date d'attaque estimée au 11 août. Groupe émergent, revendication à traiter avec prudence tant qu'elle n'est pas confirmée.
Constat 1 : dans la moitié des cas, l'organisation touchée n'est pas celle qui a été attaquée
Les festivals, les équipes de hockey junior et les campings dont les clients figurent dans le fichier xPayrience n'ont pas été piratés. Leur prestataire de billetterie l'a été. Le Waterloo Regional Health Network n'a pas été piraté non plus : l'incident a touché OntarioMD et l'outil provincial de transmission des rapports. Dans les deux cas, l'organisation qui devra expliquer la situation à ses clients ou à ses patients n'est pas celle qui a subi l'intrusion.
C'est exactement le scénario que nous décrivions à propos de Ceva Logistics et de Wesco, et il se répète ici à l'échelle locale, chez des organisations de taille moyenne qui n'ont pas d'équipe de sécurité dédiée.
Ce que ça implique : votre inventaire de fournisseurs doit distinguer ceux qui détiennent des renseignements de vos clients de ceux qui détiennent seulement les vôtres. Une plateforme de billetterie, un fournisseur de paie, un outil de prise de rendez-vous : ce sont des dépositaires de données de vos clients. S'ils tombent, c'est votre nom qui apparaît dans la lettre de notification.
Constat 2 : personne ne l'a appris de son fournisseur
Le fichier xPayrience a été révélé par un chercheur en sécurité qui l'a trouvé sur le dark web, 38 jours après l'intrusion. Les revendications visant MOSAID, Senvest et l'ACSM proviennent des sites de fuite des groupes criminels, pas des entreprises. Dans le cas ontarien de l'an dernier chez Ontario Health atHome, ce sont l'opposition parlementaire et la presse qui ont sorti l'affaire.
Le canal de divulgation par défaut, aujourd'hui, ce n'est ni le fournisseur ni le régulateur. C'est le site de fuite du groupe criminel, ou un chercheur qui télécharge un fichier.
Ce que ça implique : si votre veille sur les tiers repose sur « notre fournisseur nous préviendra », vous apprendrez l'incident en même temps que vos clients. Une surveillance des sites de fuite et des fuites de données, avec la liste nominative de vos fournisseurs critiques, n'est plus un luxe de grande entreprise. C'est précisément ce que fait un module de renseignement sur les menaces quand il est alimenté par votre registre de tiers plutôt que par un flux générique.
Constat 3 : le délai est le vrai problème, pas la brèche
Reprenons les dates. xPayrience : intrusion le 11 juillet, découverte publique le 18 août, Commission d'accès à l'information non avisée le 19. Waterloo : notification par OntarioMD le 6 février, enquête du commissaire toujours ouverte fin août. La Loi 25 demande de déclarer « avec diligence » tout incident présentant un risque de préjudice sérieux, et de tenir un registre des incidents. Trente-huit jours pendant lesquels un fichier de 414 000 personnes circule sans que personne ne le sache, ce n'est pas un problème de conformité rédactionnelle. C'est une fenêtre grande ouverte pour l'hameçonnage ciblé et la fraude.
Ce que ça implique : votre plan de réponse doit être chronométré, pas seulement documenté. Combien d'heures entre la détection et la décision de notifier ? Qui décide ? Qui rédige ? La question à poser à votre équipe cette semaine : si un fournisseur nous avise vendredi à 16 h, qui prend la décision de notifier, et selon quel critère écrit ?
Constat 4 : la disponibilité est le préjudice visible, la confidentialité est la question qu'on pose
La CCQ illustre parfaitement le décalage. Ce que le public constate, c'est que 200 000 travailleurs de la construction n'ont plus accès à leurs services en ligne et téléphoniques depuis quatre jours, en pleine saison. Ce que les journalistes demandent, c'est « les données ont-elles été compromises ? ». Les deux comptent, mais ils ne se gèrent pas au même endroit : le premier relève du plan de continuité et des délais de reprise, le second de la Loi 25 et du registre d'incidents.
Notons aussi la décision de la CCQ : couper ses systèmes dès les premiers signaux du lundi matin. C'est une bonne décision de confinement, et elle a un coût opérationnel immédiat et visible. Si personne n'a préautorisé ce genre d'arbitrage chez vous, votre équipe le prendra sous pression, à 6 h du matin, sans mandat clair.
Ce que ça implique : votre plan doit répondre à deux questions distinctes. Combien de temps pouvons-nous fonctionner sans ce système, et qui a l'autorité de le débrancher ?
Constat 5 : le registre public du régulateur n'est plus une source de veille
Depuis mai 2025, la Commission d'accès à l'information a cessé de publier les noms des entreprises et organismes qui lui déclarent un incident de confidentialité. Elle continue de diffuser des données statistiques trimestrielles, mais plus les noms. La justification est défendable du point de vue de la protection des personnes concernées et de la sécurité des organisations en cours de gestion d'incident.
Pour un gestionnaire de risque tiers, la conséquence est nette : vous ne pouvez plus consulter une liste officielle pour savoir si un de vos fournisseurs a déclaré un incident au Québec. La source publique la plus à jour sur vos fournisseurs est devenue la presse, les sites de fuite et les chercheurs indépendants.
Ce que ça implique : cette information doit désormais venir de vos contrats. Une clause de notification d'incident avec un délai chiffré, applicable à tout incident touchant vos données ou celles de vos clients, qu'il y ait ou non « risque de préjudice sérieux » au sens de la loi. Sans cette clause, vous dépendez de la bonne volonté et du calendrier de communication de quelqu'un d'autre.
Ce qu'on fait cette semaine
Cinq actions, dans l'ordre, réalisables par une équipe qui n'a pas de département de sécurité.
- Sortez la liste de vos fournisseurs qui détiennent des données de vos clients. Pas tous les fournisseurs : ceux-là. Billetterie, paie, prise de rendez-vous, infolettre, service à la clientèle, hébergement. Un tableur suffit pour commencer.
- Pour chacun, notez la clause de notification du contrat. Existe-t-elle ? Prévoit-elle un délai ? En pratique, une majorité de contrats de PME n'en contient aucune. C'est la première chose à corriger au renouvellement.
- Nommez un responsable par fournisseur critique. Une personne, pas une direction. C'est elle qui appelle si un nom apparaît sur un site de fuite.
- Chronométrez votre décision de notification. Une réunion d'une heure, un scénario simple : un fournisseur nous avise, que se passe-t-il dans les 72 premières heures, et qui signe ? Écrivez la réponse.
- Mettez vos fournisseurs critiques sous surveillance. Alertes sur les noms, veille des sites de fuite. Si vous ne le faites pas à l'interne, c'est le rôle d'un service de renseignement sur les menaces branché sur votre registre de tiers.
Deux ressources pour aller plus loin : notre questionnaire de sécurité fournisseur gratuit et le guide pour construire un programme de gestion du risque tiers. Si votre exposition porte surtout sur les renseignements personnels de résidents du Québec, notre diagnostic Loi 25 situe en dix minutes vos écarts sur la notification, le registre et les contrats.
Les six incidents d'août ont un point commun de plus : aucun n'était spectaculaire techniquement. Ce sont des organisations ordinaires, avec des fournisseurs ordinaires, qui ont découvert leur exposition par un tiers. C'est la version la plus probable de votre propre prochain incident.
Sources : La Presse, cyberattaque à la CCQ · CCQ, avis d'interruption de services · Dernière Heure QC, fuite xPayrience · CBC, enquête du commissaire ontarien sur Waterloo · WRHN, avis d'incident de sécurité · Ransomware.live, victimes canadiennes · La Presse, la CAI cesse de publier les noms · CAI, diffusion des déclarations d'incidents