Skip to main content

Cybersécurité Petite Enfance

Cybersécurité Petite Enfance
Menu

CSS des Appalaches, frappé deux fois : du rançongiciel de 2016 à la fuite de 2025

Faille de sécurité Par Eric Rousseau · 24 septembre 2025 · 8 min de lecture
Corridor d'école secondaire vide avec casiers gris
En bref

Le Centre de services scolaire des Appalaches a subi un rançongiciel en 2016, puis une attaque avec fuite sur le dark web en août 2025.

Le lundi 25 août 2025, deux jours avant la rentrée, le Centre de services scolaire des Appalaches (CSSA), à Thetford Mines, détecte une intrusion informatique. Les cours commencent quand même. Mais le 3 septembre, un groupe criminel revendique l’attaque et affirme détenir 180 Go de données. Le 10 septembre, des renseignements personnels sont publiés sur le dark web ; le CSSA le confirme le 22. Neuf ans plus tôt, en septembre 2016, la même organisation, alors Commission scolaire des Appalaches, avait vu des milliers de fichiers chiffrés par un rançongiciel. Même organisation, même directeur général, deux époques du crime informatique.

Ce qui s’est passé

Premier épisode : septembre 2016. Selon CBC, repris par databreaches.net, des milliers de fichiers sont chiffrés par le virus Zepto ; une rançon de 20 000 $ est réclamée. Le 1er février 2017, le Courrier Frontenac fait le point : la commission a refusé de négocier, a tout reconstruit avec l’aide du ministère de l’Éducation et de la GRICS, pour « quelques centaines de milliers de dollars ». L’enquête de la Sûreté du Québec a été close sans identifier ni les auteurs ni la source de l’infection. Aucune exfiltration n’a été documentée : c’était un incident de chiffrement, pas de vol.

Deuxième épisode : août à novembre 2025, d’après le communiqué du CSSA, le Courrier Frontenac et Le Soleil.

  • 25 août 2025 : intrusion détectée et confinée ; le CSSA collabore avec le Centre opérationnel de cyberdéfense (COCD) du ministère de l’Éducation et avec le ministère de la Cybersécurité et du Numérique.
  • 27 août 2025 : rentrée maintenue. Le directeur général Jean Roberge dira au Courrier Frontenac : « on a travaillé pour que la rentrée scolaire se tienne comme celle des années passées ».
  • 3 septembre 2025 : le groupe INC Ransom revendique l’attaque sur le dark web et affirme détenir 180 Go de données ; selon ce qu’il a diffusé, rapporté par le Courrier Frontenac, environ 70 % seraient des renseignements personnels d’importance sur des élèves et des employés. Ce sont les affirmations du groupe criminel, pas une confirmation du CSSA.
  • 5 septembre 2025 : communiqué du CSSA : « les malfaiteurs prétendent détenir des renseignements personnels et menacent de les divulguer » ; l’intrusion est circonscrite et une enquête doit établir les données touchées. Le Soleil parle d’une « possible fuite ».
  • 10 septembre 2025 : publication de renseignements personnels sensibles sur le dark web, selon le Courrier Frontenac.
  • 22 septembre 2025 : le CSSA confirme la fuite. Plainte à la Sûreté du Québec, Commission d’accès à l’information informée, lettre aux parents et au personnel, communication individuelle aux personnes touchées, surveillance de crédit offerte « au besoin ». Jean Roberge affirme qu’il n’y a eu ni contact ni négociation avec les attaquants.
  • 26 septembre 2025 : dépôt d’une demande d’autorisation d’action collective, selon la page de Lex Group.
  • 7 novembre 2025 : le Courrier Frontenac rapporte le recours ; le CSSA ne commente pas, le dossier étant judiciarisé.

Le mécanisme, en termes simples. En 2016, le rançongiciel chiffrait vos fichiers et vendait la clé : avec des sauvegardes, on pouvait refuser de payer, ce que la commission a fait. En 2025, les attaquants copient d’abord les données, puis menacent de les publier. Même avec des sauvegardes parfaites, la pression demeure, parce que ce qui est sorti ne reviendra pas. La question n’est plus seulement « est-ce que je peux restaurer ? », mais « qu’est-ce qui sort de chez moi si ça arrive ? ».

Lignes de code colorées sur un écran d'ordinateur sombre

Les échantillons publiés en 2025 contenaient, selon le Courrier Frontenac, des photos de passeports et de permis de conduire accumulés au fil des ans.

Les données touchées

Le CSSA n’a jamais chiffré publiquement le nombre de personnes touchées ; le 22 septembre 2025, il indiquait qu’il n’était pas encore possible de le connaître.

Selon le Courrier Frontenac, les échantillons mis en circulation incluaient des photos de passeports, de permis de conduire et de spécimens de chèques. La page de Lex Group énumère les données qui auraient pu être touchées : noms, dates de naissance, copies de passeports et de permis, spécimens de chèques, documents administratifs et scolaires, en précisant que l’ampleur exacte demeure inconnue.

Un détail frappant : la représentante du recours, Kéliane Laporte, a reçu une lettre l’informant qu’une photo de son passeport avait été publiée ; elle croit que la copie remonte à un voyage scolaire de 2012. Treize ans de conservation, puis la publication : c’est le risque de la rétention sans fin.

Ce qu’en disent les parents, les experts et les autorités

Jean Roberge, directeur général du CSSA, dans le communiqué du 5 septembre 2025 : « Je tiens à souligner le travail exemplaire de nos équipes. » Au Courrier Frontenac, le 22 septembre : « Les gens qui mènent ces attaques sont de plus en plus outillés, mais les mesures de protection se perfectionnent elles aussi. »

Steve Waterhouse, consultant en cybersécurité et ancien sous-ministre adjoint à la sécurité de l’information gouvernementale, au Courrier Frontenac le 3 septembre 2025, sur un éventuel paiement de rançon : « ça me surprendrait parce que ce n’est pas dans l’approche du gouvernement ».

Kéliane Laporte, avocate fiscaliste, ancienne élève de la Polyvalente de Thetford Mines et représentante proposée du groupe, au Courrier Frontenac le 7 novembre 2025, à propos du passeport : « À mon avis, c’est l’un des documents les plus fiables pour la vérification d’identité. »

La demande d’action collective, telle que rapportée par le Courrier Frontenac, allègue l’absence de mesures de protection efficaces, un retard dans l’information des personnes touchées, l’absence d’offre immédiate de surveillance de crédit et des vulnérabilités non corrigées après une violation survenue « par le passé ». Elle réclame un minimum de 1 000 $ par membre en dommages punitifs. Ces allégations n’ont été ni prouvées ni autorisées par un tribunal au moment d’écrire ces lignes.

Ce que ça change pour votre service de garde

Un CPE garde les mêmes types de documents qu’une école : copies de pièces d’identité, spécimens de chèques, dossiers d’enfants. Sept gestes réalistes :

  1. Faites l’inventaire des documents sensibles que vous conservez : certificats de naissance numérisés, spécimens de chèques, relevés bancaires, NAS. Un tableau à trois colonnes (document, où, depuis quand) et une demi-journée suffisent.
  2. Fixez une durée de conservation et détruisez ce qui a dépassé la date. Un spécimen de chèque sert à configurer un prélèvement ; une fois celui-ci actif, la copie n’a plus de raison d’être. La Loi 25 exige un calendrier de conservation ; le vôtre peut tenir sur une page.
  3. Sortez les documents sensibles des boîtes courriel et des dossiers partagés, vers un seul emplacement chiffré à accès nominatif. Les boîtes courriel sont souvent le premier endroit fouillé.
  4. Testez une restauration ce mois-ci, pas seulement la présence d’une sauvegarde. En 2016, c’est la capacité à reconstruire qui a permis de refuser la rançon. Choisissez un fichier, faites-le restaurer et notez le temps requis.
  5. Préparez deux lettres types, aux parents et au personnel, à envoyer dans les 72 heures d’un incident confirmé : ce qui s’est passé, quelles données, les gestes de protection (verrouillage du dossier de crédit, vigilance à l’hameçonnage), un point de contact unique.
  6. Sachez d’avance à qui déclarer : la Commission d’accès à l’information pour tout incident présentant un risque de préjudice sérieux, la police pour une extorsion. Inscrivez les deux dans votre plan d’urgence.
  7. Décidez maintenant de votre position sur la rançon, en conseil d’administration, et consignez-la. Une décision prise à froid évite d’en prendre une sous pression.

Foire aux questions

Le CSSA a-t-il payé une rançon ?

Non, selon ses déclarations publiques. En 2017, le président Denis Langlois disait au Courrier Frontenac qu’« il n’était pas question pour nous de négocier avec les auteurs ». En 2025, Jean Roberge a affirmé qu’il n’y avait eu ni contact ni négociation.

Combien de personnes sont touchées par la fuite de 2025 ?

Le nombre n’a pas été rendu public. Le chiffre de 180 Go vient du groupe INC Ransom et n’a pas été confirmé par le CSSA.

Les deux attaques sont-elles liées ?

Rien ne l’indique publiquement. L’enquête de 2016 n’a identifié ni auteurs ni source d’infection. La demande d’action collective évoque une violation antérieure sans en préciser la date dans la couverture médiatique.

Qu’est-ce qu’un CPE peut retenir d’un cas scolaire ?

Que la valeur d’un document sensible ne diminue pas avec le temps : une copie de passeport de 2012 reste exploitable en 2025. Et que le passage du chiffrement à l’exfiltration change la défense : il faut sauvegarder, mais aussi détenir moins.

Transparence

Ce blogue est publié par Amisgest Technologie inc., éditeur de logiciels pour les services de garde éducatifs. Les faits rapportés ici proviennent de sources publiques citées en fin d’article. Une erreur à signaler ? Écrivez à info@amisgest.ca.

Sources

À lire aussi

Étiqueté , , , ,