Le rançongiciel au CPE du CHUL : trop petit pour être une cible ?

« On est trop petits pour intéresser des pirates. » C’est la phrase qu’on entend le plus souvent dans les services de garde, et c’est celle que cet article veut déconstruire avec un seul exemple, québécois et ancien. En octobre 2016, selon un reportage du quotidien Le Soleil, le Centre de la petite enfance du CHUL, à Québec, a trouvé un matin son logiciel comptable verrouillé et une demande de rançon à la place. Environ 70 enfants fréquentaient ce CPE. Pour les criminels, ce n’était pas une cible trop petite : c’était une cible facile.

Une précision honnête avant de continuer : cet incident n’est rapporté que par une seule source, l’article de Jean-François Néron publié dans Le Soleil le 13 octobre 2016. Nous avons cherché une deuxième source (autres médias, communiqués, décisions) sans en trouver. Tout ce qui suit est donc attribué à ce reportage, et nous n’y ajoutons rien.

Ce qui s’est passé

• Nuit du vendredi au samedi, vers les 7 et 8 octobre 2016 : des pirates prennent en otage les données du système comptable du CPE du CHUL. « La totalité des données a été cryptée », déclare le directeur général, Richard Bigaouette, au Soleil.
• Découverte : « On s’en est rendu compte au moment où un responsable ne pouvait plus accéder au logiciel », explique le DG. C’est le signe classique d’un rançongiciel : les fichiers sont toujours là, mais illisibles.
• La demande : trois bitcoins, soit environ 2 500 $ à l’époque, selon Le Soleil.
• Le mardi suivant : le CPE avise les parents et leur demande de rester vigilants.
• Décision : le CPE refuse de payer et porte plainte à la police de Québec. Il fait face à une conséquence immédiate : impossible de faire la paie de la semaine suivante, le DG devant avancer des fonds.

Le mécanisme d’un rançongiciel en 2016 était déjà celui qu’on connaît aujourd’hui, en plus rudimentaire. Un fichier malveillant, souvent reçu par courriel, s’exécute sur un poste ; il chiffre les fichiers accessibles depuis ce poste (y compris sur un disque partagé) avec une clé que seuls les criminels possèdent ; puis il affiche une note indiquant le montant et l’adresse de paiement en cryptomonnaie. Sans la clé, les fichiers sont irrécupérables ; sans sauvegarde saine, il ne reste que deux options : payer ou tout refaire.

Le reportage ne précise pas comment le logiciel malveillant est entré. Il ne faut donc pas le deviner. Ce qu’il dit, en revanche, c’est la nature du choix auquel le DG a fait face : « Ça va coûter beaucoup plus cher de tout recommencer à partir de notre dernier exercice financier de mars », a reconnu M. Bigaouette, avant d’ajouter qu’il était « hors de question » d’encourager les pirates. Cette phrase révèle, en creux, le vrai problème : la dernière copie utilisable datait de la fin de l’exercice financier, sept mois plus tôt.

Le Soleil rappelait dans le même article qu’un mois plus tôt, en septembre 2016, la Commission scolaire des Appalaches avait elle aussi été frappée par un rançongiciel, avait perdu 75 % de ses données, avait refusé de payer et devait débourser plusieurs centaines de milliers de dollars pour restaurer ses systèmes. Deux cibles très différentes en taille, le même mécanisme, la même décision.

Les données touchées

Ce qui rend ce cas instructif, c’est le contenu d’un simple logiciel comptable de CPE. Selon Le Soleil, celui du CPE du CHUL servait à toutes les opérations bancaires de l’organisation : les paiements des familles, les sommes versées par le ministère de la Famille et les salaires des employés. Il contenait aussi des numéros d’assurance sociale, des certificats de naissance et des numéros de comptes bancaires, concernant les familles d’environ 70 enfants et le personnel.

Un rançongiciel de 2016 chiffrait les données sur place ; le reportage ne parle d’aucun vol ni d’aucune publication. La question « les données ont-elles été copiées ? » n’était pas encore le réflexe qu’elle est devenue. Mais le contenu, lui, était du niveau de ce qu’on trouverait dans n’importe quelle fuite d’aujourd’hui : avec un NAS, un certificat de naissance et un numéro de compte, on peut usurper une identité. Le CPE a eu raison de demander aux parents d’être vigilants.

Ce qu’en disent les parents, les experts et les autorités

Les réactions publiées sont limitées à deux voix, toutes deux dans le même article du Soleil. Nous n’avons trouvé aucune réaction de parent, d’association de CPE, du ministère de la Famille ni de la Commission d’accès à l’information. Nous le signalons plutôt que de combler le vide.

« Mais il est hors de question d’encourager ces gens-là. » Richard Bigaouette, directeur général du CPE du CHUL, Le Soleil, 13 octobre 2016.

Du côté policier, le capitaine Guy Lapointe, responsable des communications à la Sûreté du Québec, intervenait à titre général sur le phénomène : « Nous répétons qu’il vaut mieux ne pas verser la rançon. » Il insistait aussi sur l’importance de porter plainte, des ententes internationales permettant d’agir même quand les fraudeurs sont à l’étranger (Le Soleil).

Ces deux positions, celle du gestionnaire et celle de la police, se rejoignent sur un point que les incidents suivants ont confirmé : payer n’offre aucune garantie. Neuf ans plus tard, l’affaire PowerSchool le démontrera à grande échelle (voir notre article « PowerSchool : la rançon payée, les données ressorties quand même »).

Ce que ça change pour votre service de garde

Ce CPE a survécu à l’incident en refaisant sept mois de comptabilité. Voici comment faire en sorte que, chez vous, la même attaque coûte une journée plutôt qu’un semestre.

1. Mettre en place une sauvegarde automatique quotidienne, dès cette semaine. Le point de rupture du CPE du CHUL était une copie datant de mars. Aujourd’hui, une sauvegarde automatique vers un service infonuagique (les options courantes coûtent quelques dollars par mois par poste) ou vers un disque externe branché seulement le temps de la copie se configure en une heure. Règle 3-2-1 : trois copies, sur deux supports, dont une hors site.
2. Garder une copie que le rançongiciel ne peut pas atteindre. Un disque externe branché en permanence sera chiffré en même temps que le reste. Il faut une copie déconnectée (disque rangé dans un tiroir, changé chaque semaine) ou un service infonuagique qui conserve les versions antérieures des fichiers pendant au moins 30 jours. Demandez à votre fournisseur informatique ou à votre logiciel de sauvegarde : « Si tous mes fichiers étaient chiffrés ce soir, lesquels pourrais-je récupérer demain matin ? »
3. Tester la restauration une fois par trimestre. Une sauvegarde jamais testée est une hypothèse. Choisissez un fichier au hasard, restaurez-le depuis la sauvegarde, vérifiez qu’il s’ouvre. Notez la date dans un cahier. Quinze minutes, quatre fois par année.
4. Sortir les NAS et les numéros de comptes de la comptabilité quand c’est possible. Demandez-vous si votre logiciel comptable a réellement besoin du NAS de chaque parent ou du certificat de naissance de chaque enfant. Si ces documents sont exigés par le ministère ou pour les relevés fiscaux, conservez-les dans votre logiciel de gestion dédié, protégé par un accès distinct, plutôt que dans le fichier comptable que tout le monde ouvre.
5. Verrouiller le poste de l’administration. Un compte utilisateur distinct pour la comptabilité (pas de session partagée), un mot de passe long et unique, les mises à jour automatiques de Windows ou macOS activées, et un antivirus à jour. Ce sont les quatre mesures gratuites qui bloquent la majorité des rançongiciels grand public.
6. Prévoir la paie sans l’ordinateur. Le DG a dû avancer des fonds personnels. Gardez une copie imprimée ou hors ligne des informations nécessaires pour faire une paie manuelle (noms, salaires de base, coordonnées bancaires chiffrées dans un gestionnaire de mots de passe) et confirmez avec votre institution financière la procédure d’urgence.
7. Savoir à qui parler dans la première heure. Plainte à la police (le Centre antifraude du Canada et le service de police local), avis au fournisseur informatique, déclaration à la Commission d’accès à l’information si des renseignements personnels sont en jeu (obligation depuis la Loi 25), puis avis aux parents. Écrivez ces quatre numéros sur une feuille affichée dans le bureau.

Sources

• Le Soleil, 13 octobre 2016, Jean-François Néron : « Cyberattaque : demande de rançon dans un CPE » (source unique pour cet incident)
• Courrier Frontenac, 1er février 2017 : la Commission scolaire des Appalaches fait le point sur le rançongiciel de septembre 2016
• DataBreaches.net, 10 septembre 2016 : rançongiciel Zepto à la Commission scolaire des Appalaches
• Commissariat à la protection de la vie privée du Canada, blogue du 9 novembre 2016 sur les rançongiciels

À lire aussi

Faille de sécurité

Rosemère : les numéros d’assurance sociale de plus de 1 000 parents envoyés par courriel

1 août 2026 · 8 min de lecture

Faille de sécurité

ETSB : la fuite confirmée deux mois après la cyberattaque

17 janvier 2026 · 10 min de lecture

Faille de sécurité

Kido : des photos et adresses d’enfants de garderie publiées par des pirates

25 octobre 2025 · 9 min de lecture