Skip to main content

Cybersécurité Petite Enfance

Cybersécurité Petite Enfance
Menu

Rosemère : les numéros d’assurance sociale de plus de 1 000 parents envoyés par courriel

Faille de sécurité Par Eric Rousseau · 1 août 2026 · 8 min de lecture
Bureau en bois foncé avec ordinateur portable ouvert, souris et chaise blanche
En bref

Le 2 juillet 2026, un courriel de rentrée envoyé aux parents de l’École secondaire Rosemère contenait un fichier avec leurs numéros d’assurance sociale.

Pas de pirate, pas de rançon, pas de dark web. Le jeudi 2 juillet 2026, en milieu d’après-midi, les parents d’élèves inscrits à l’École secondaire Rosemère, dans les Laurentides, reçoivent un courriel de rentrée de la Commission scolaire Sir-Wilfrid-Laurier. En pièce jointe, un fichier Excel. Dedans, selon CTV News qui l’a consulté, les numéros d’assurance sociale, les dates de naissance et d’autres renseignements personnels de plus de 1 000 parents. Quarante-quatre minutes plus tard, un deuxième courriel demande de supprimer le premier. C’est le scénario d’incident le plus banal et le plus probable pour n’importe quelle organisation : une erreur humaine dans un envoi massif.

Ce qui s’est passé

La chronologie s’appuie sur CTV News, Noovo Info, la page d’information de la commission scolaire et la page du cabinet Lambert Avocats.

  • 2 juillet 2026, 15 h 27 : envoi du courriel de rentrée 2026-2027 aux parents d’enfants inscrits pour l’année suivante. La pièce jointe, un fichier nommé « letter.xls » selon Lambert Avocats, contient des renseignements personnels de parents.
  • 2 juillet 2026, 16 h 11 : deuxième courriel, « COURRIEL URGENT À SUPPRIMER », demandant de ne pas ouvrir le premier message et de le supprimer immédiatement, selon CTV.
  • 2 juillet 2026, 19 h 23 : troisième courriel demandant de remplir un formulaire attestant que le message a été supprimé, non copié, non utilisé et non partagé, avec une échéance au vendredi 16 h.
  • 3 juillet 2026 : CTV News et Noovo Info rapportent l’incident. La commission indique qu’une enquête est en cours, que l’incident a été signalé à la Commission d’accès à l’information et qu’un courriel et un texto ont été envoyés à toutes les familles concernées.
  • 6 juillet 2026 : le Conseil des commissaires annonce trois ans de surveillance de crédit et de protection contre le vol d’identité, sans frais, pour toutes les personnes touchées. Le même jour, Lambert Avocats dépose une demande d’autorisation d’action collective en Cour supérieure.
  • 8 juillet 2026 : CTV rapporte le dépôt de la demande d’action collective.
  • 17 juillet 2026 : les codes d’activation Equifax sont envoyés par courriel ; ceux des parents sans adresse courriel au dossier sont postés le 22 juillet, selon la commission.

Le mécanisme, en termes simples. Un envoi de rentrée est préparé à partir d’une liste d’élèves et de parents. Quelque part dans la chaîne, le fichier de travail qui sert à produire la liste, avec toutes ses colonnes, a été joint au courriel. Le message est parti à toute la liste. Dès que le bouton Envoyer est cliqué, le rappel est techniquement impossible : chaque destinataire possède sa propre copie. Les courriels suivants ne pouvaient que demander la coopération des parents. La commission a dit qu’elle renforcerait ses procédures pour éviter une récidive, selon CTV.

Bureau de travail avec ordinateur portable, calculatrice et carnet de notes

La fuite la plus probable ne vient pas d’un attaquant : elle part d’un bureau ordinaire, par un envoi massif mal vérifié.

Les données touchées

Selon CTV News, le fichier contenait les numéros d’assurance sociale, les dates de naissance et d’autres renseignements personnels de plus de 1 000 parents. Lambert Avocats, qui représente le demandeur, affirme qu’il contenait les renseignements de plus de 2 000 parents : prénoms et noms, téléphones, dates de naissance, adresses résidentielles, courriels et numéros d’assurance sociale. Les deux chiffres ne viennent pas de la même source et la commission n’a pas publié de décompte officiel.

Contrairement à un piratage, les destinataires sont connus et la commission savait dès la première heure ce qui avait été envoyé. Mais le NAS ne se change pas ; d’où la surveillance de crédit sur trois ans.

Ce qu’en disent les parents, les experts et les autorités

James Di Sano, président de la Commission scolaire Sir-Wilfrid-Laurier, cité par Noovo Info le 3 juillet 2026 (traduction de CTV) : « toute divulgation non autorisée de données à caractère personnel est préoccupante ». Dans la déclaration du Conseil des commissaires du 6 juillet, sur le site de la commission, il écrit que l’organisation fournira « three years of credit monitoring and identity theft protection services, at no cost » et invite les familles à remplir le formulaire de confirmation, car ces confirmations « help us verify that the information has been deleted and not shared further ».

Des parents, cités anonymement par Noovo Info et CTV. L’un d’eux : « Je n’ai presque pas dormi cette nuit; j’ai déjà été victime d’une usurpation d’identité ». Selon CTV, ce parent dit avoir mis cinq ans à se remettre d’un vol d’identité antérieur, n’a pas signé le formulaire et consulte un avocat. Un autre : « Mon numéro d’assurance sociale et toutes mes coordonnées ont été divulgués ». Un troisième a déploré le manque de directives et porté plainte au protecteur de l’élève et à la Commission d’accès à l’information, selon CTV.

Claudiu Popa, expert en cybersécurité, à CTV News : sans qu’il faille paniquer, « the school data breach was very serious ».

La demande d’action collective de Lambert Avocats réclame des dommages compensatoires et punitifs. Le cabinet allègue qu’en conservant tous les renseignements des parents dans un seul document et en le partageant, la commission a gravement négligé leur protection. Ces allégations n’ont pas été prouvées en cour ; le dossier était en attente d’autorisation au moment d’écrire ces lignes.

Ce que ça change pour votre service de garde

Un service de garde envoie des courriels massifs aux parents plusieurs fois par mois : rentrée, fermetures, relevés fiscaux, infolettres. Le risque de Rosemère est le vôtre. Sept gestes concrets :

  1. Imposez la règle des quatre yeux pour tout envoi à plus de 20 destinataires : une deuxième personne ouvre chaque pièce jointe avant l’envoi et coche une liste de cinq lignes (bon fichier, bons destinataires, pas de colonnes cachées, pas de NAS, destinataires en Cci). Deux minutes par envoi.
  2. Interdisez les NAS dans les fichiers de travail courants. Le NAS des parents sert aux relevés fiscaux ; il doit vivre dans le logiciel de gestion ou la comptabilité, à accès restreint, jamais dans une feuille « temporaire » ou un courriel.
  3. Activez le délai d’annulation de votre messagerie (30 secondes à 2 minutes selon l’outil) et, si votre fournisseur le permet, l’avertissement automatique quand une pièce jointe contient des motifs de NAS. Ce sont des réglages, pas des achats.
  4. Préparez d’avance le courriel de la première heure : quoi faire (supprimer, ne pas transférer), quoi surveiller, qui contacter. À Rosemère, le deuxième message est parti en 44 minutes ; un gabarit prêt vous en fait gagner trente.
  5. Sachez quoi déclarer à la Commission d’accès à l’information. La Loi 25 oblige à aviser la CAI et les personnes concernées de tout incident présentant un risque de préjudice sérieux, et à tenir un registre des incidents. Un NAS envoyé à mille personnes entre dans cette catégorie.
  6. Prévoyez d’offrir la surveillance de crédit si un NAS fuit : demandez un devis à Equifax ou TransUnion pour 100, 500 et 1 000 personnes et rangez-le dans votre plan d’incident. Rappelez aussi aux parents qu’ils peuvent verrouiller gratuitement leur dossier de crédit au Québec.
  7. Documentez les confirmations de suppression, comme l’a fait la commission, sans en faire une condition pour aider les parents. Un formulaire montre votre diligence ; il ne remplace pas les mesures de protection.

Foire aux questions

Est-ce que c’est une cyberattaque ?

Non. Aucune source ne fait état d’un accès non autorisé par un tiers : c’est un envoi erroné par l’organisation elle-même, signalé à la Commission d’accès à l’information, selon CTV.

Combien de parents sont touchés : 1 000 ou 2 000 ?

CTV News, qui a vu le fichier, parle de plus de 1 000 parents. Lambert Avocats, qui représente le demandeur, parle de plus de 2 000. La commission n’a pas publié de chiffre.

Les parents peuvent-ils refuser de signer le formulaire de suppression ?

Selon CTV, au moins un parent a choisi de ne pas le signer sur les conseils de son avocat. La commission présente le formulaire comme un élément de ses efforts d’atténuation, et la surveillance de crédit est offerte à toutes les personnes touchées.

Que couvre la surveillance de crédit offerte ?

Selon la déclaration du 6 juillet 2026, trois ans de surveillance de crédit et de protection contre le vol d’identité, sans frais, par Equifax. Les codes ont été envoyés le 17 juillet par courriel et le 22 juillet par la poste. La commission recommande aussi le verrouillage gratuit du dossier de crédit chez Equifax Canada et TransUnion Canada.

Transparence

Ce blogue est publié par Amisgest Technologie inc., éditeur de logiciels pour les services de garde éducatifs. Les faits rapportés ici proviennent de sources publiques citées en fin d’article. Une erreur à signaler ? Écrivez à info@amisgest.ca.

Sources

À lire aussi

Étiqueté , , , ,