Skip to main content

Cybersécurité Petite Enfance

Cybersécurité Petite Enfance
Menu

CSS du Fer : tout un réseau scolaire à l’arrêt, et comment continuer quand même

Faille de sécurité Par Eric Rousseau · 18 mars 2026 · 8 min de lecture
Salle de classe vide avec pupitres en bois alignés et grandes fenêtres
En bref

Le 16 février 2026, une cyberattaque a mis à l’arrêt tous les systèmes du Centre de services scolaire du Fer, à Sept-Îles, pendant des semaines.

Le lundi 16 février 2026 au matin, les employés du Centre de services scolaire du Fer, sur la Côte-Nord, découvrent qu’ils ne peuvent plus ouvrir leurs dossiers sur le serveur. En quelques heures, tout est débranché : Internet, serveurs, paie, finances, transport, portail des parents, site web. Les écoles de Sept-Îles, Port-Cartier et Fermont continuent d’enseigner, mais sans réseau, pendant des semaines. Cet article s’intéresse moins au « qui » qu’au « comment continuer » : que fait un milieu qui accueille des enfants quand plus rien ne fonctionne ?

Ce qui s’est passé

La chronologie s’appuie sur Le Nord-Côtier, Radio-Canada et la page officielle du CSS du Fer.

  • 16 février 2026, matin : les spécialistes informatiques du CSS découvrent l’attaque. « Présentement, tous nos systèmes sont en arrêt, les serveurs, internet, toutes les plateformes sur lesquelles on travaille », déclare le directeur général Marc-André Masse au Nord-Côtier. Tous les accès Internet et serveurs sont débranchés ; le Centre gouvernemental de cyberdéfense est en soutien.
  • 16 février 2026, en journée : des écoles se tournent vers les réseaux sociaux pour joindre les parents, rapporte Radio-Canada. La ligne téléphonique du service de garde de l’école du Boisé, à Sept-Îles, ne fonctionne plus sans Internet ; la direction remet aux parents un formulaire papier pour l’horaire de leur enfant. À Fermont, l’école des Découvertes donne aux parents une adresse d’urgence hors du réseau.
  • 18 février 2026 : la direction confirme que « tous les départements sont touchés à différents niveaux », selon Radio-Canada.
  • 19 février 2026 : mise à jour officielle : l’analyse se poursuit avec le Centre opérationnel de cyberdéfense (COCD) du ministère de l’Éducation et le ministère de la Cybersécurité et du Numérique ; « l’identification des données touchées est en cours ». Le CSS invite à verrouiller gratuitement son dossier de crédit chez Equifax et TransUnion.
  • 20 février 2026 : courriels rétablis, ainsi que certaines applications de la GRICS (portail Mozaïk, relevés de salaire). La paie automatique sera traitée grâce à une solution temporaire ; les entrées reçues après le 13 février sont reportées à la paie du 12 mars.
  • 26 février 2026 : le CSS ne peut toujours pas identifier la source de l’attaque ni confirmer si des données ont été compromises. Paie, paiement des fournisseurs et inscriptions sont maintenus avec l’aide du CSS du Littoral.
  • Début mars 2026 : le retour du réseau prendra encore quelques semaines ; près de 4 200 ordinateurs et tablettes doivent être vérifiés avant d’être rebranchés, rapporte Radio-Canada. Les bulletins sont produits grâce à une salle et un lien Internet prêtés par le CSS du Littoral.
  • 13 mai 2026 : Le Nord-Côtier rapporte que le personnel et les parents manquent d’information sur le sort de leurs données ; le directeur général indique n’avoir « pas d’informations à divulguer en ce moment, en lien avec ces données ».

Le mécanisme, expliqué simplement. Selon Radio-Canada, le serveur touché contenait pratiquement tous les dossiers du centre. Quand un serveur central devient inaccessible et qu’on ignore comment l’attaquant est entré, la réponse prudente est de tout couper, puis de vérifier chaque appareil avant de le rebrancher : d’où un arrêt de plusieurs semaines pour 4 200 appareils. La nature et l’origine de l’attaque n’ont pas été rendues publiques.

Plume d'un stylo écrivant sur une feuille de papier lignée

Pendant des semaines, les enseignants du CSS du Fer sont revenus au papier et au crayon, selon Radio-Canada.

Les données touchées

Personne ne le sait publiquement. Le 16 février, Marc-André Masse disait ignorer si des informations d’élèves, de parents ou d’employés avaient été compromises. Le 26 février, le CSS ne pouvait « confirmer si des données ont été compromises ». Le 13 mai, l’enquête se poursuivait. Par prudence, le CSS a recommandé dès le 19 février le verrouillage du dossier de crédit et la vigilance bancaire.

Ce que l’attaque a touché, en revanche, est documenté : serveurs, Internet, enseignement, paie, finances, taxation, transport, communications avec les parents via Mozaïk, site web, et jusqu’à la ligne téléphonique d’un service de garde. Le CSS compte près de 1 000 employés et plus de 4 000 élèves selon Radio-Canada.

Ce qu’en disent les parents, les experts et les autorités

Marc-André Masse, directeur général du CSS du Fer, au Nord-Côtier le 16 février 2026 : « Avoir une perte de renseignements personnels, ça pourrait être notre plus grande crainte. » Le 13 mai, sur l’impact pédagogique : « Les apprentissages demeurent les mêmes, c’est uniquement que les méthodes ont été revues ».

Monica Chiasson, présidente du Syndicat de l’enseignement de la région du Fer-CSQ, au Nord-Côtier le 13 mai 2026 : « Pour ce qui est des données personnelles, l’administration du CSS ne nous a pas fait de suivi par rapport à celles-ci jusqu’à maintenant. » Sur le fardeau concret : « Les enseignants ont dû télécharger à partir de leurs données personnelles les documents et autres dont ils avaient besoin. Sans oublier qu’ils ont fait des partages de connexion avec leur cellulaire, afin d’avoir du réseau ».

Steve Waterhouse, spécialiste en cybersécurité et ancien sous-ministre adjoint à la sécurité de l’information gouvernementale, au Nord-Côtier le 18 février 2026, sur le délai des conséquences : « c’est vraiment cinq, six, sept ans plus tard de l’événement, quand la poussière est tombée, qu’on va voir des impacts ». Le 13 mai, il juge que le peu de suivi « est une très mauvaise stratégie de communication » et recommande un point d’information hebdomadaire, même sans nouveauté.

Aucune réaction de parents n’a été publiée nommément ; Le Nord-Côtier rapporte, de sources anonymes, un climat d’incertitude et d’anxiété.

Ce que ça change pour votre service de garde

Un CPE ou une garderie ne peut pas fermer parce que le logiciel ne répond plus. L’école du Boisé a sorti un formulaire papier le jour même ; c’est l’esprit. Sept gestes de continuité :

  1. Imprimez chaque vendredi la trousse hors ligne : liste des enfants par groupe, personnes autorisées, allergies et médicaments, numéros d’urgence des parents. Classeur verrouillé, version précédente détruite. Quinze minutes par semaine.
  2. Prévoyez une ligne téléphonique qui survit à la panne : un cellulaire de l’installation, chargé, dont le numéro est connu des parents à l’avance. À Sept-Îles, la ligne du service de garde passait par Internet et s’est tue avec lui.
  3. Créez une adresse courriel d’urgence hors de votre domaine et un canal de secours (page Facebook ou groupe de messagerie) annoncés dès l’inscription. L’école des Découvertes l’a fait pendant la crise ; mieux vaut l’avoir avant.
  4. Gardez la paie possible sans vos systèmes : conservez hors ligne la dernière liste de paie et demandez par écrit à votre fournisseur comment il traite une période si vous ne pouvez pas transmettre les heures. Le CSS du Fer a dû reporter des entrées au 12 mars.
  5. Trouvez votre « CSS du Littoral » : un milieu voisin ou un regroupement avec qui convenir, par écrit, d’un prêt de local, de connexion et d’imprimante pendant une semaine. Une entente d’une page suffit.
  6. Sachez quoi dire aux parents quand vous ne savez pas : un message hebdomadaire court, même sans nouvelle, comme le recommande Steve Waterhouse. Le silence crée la rumeur, pas la confiance.
  7. Testez la trousse une fois par année : une matinée « sans système » planifiée, où accueil, présences et départs se font sur papier. Vous découvrirez ce qui manque avant qu’un attaquant le fasse pour vous.

Foire aux questions

Des données d’élèves ont-elles été volées au CSS du Fer ?

Au 13 mai 2026, le CSS indiquait que l’enquête se poursuivait et qu’il n’avait pas d’information à divulguer. Aucune fuite n’a été confirmée publiquement, et aucune revendication n’a été rapportée par les sources consultées.

Combien de temps l’arrêt a-t-il duré ?

Le courriel et certaines applications sont revenus le 20 février, quatre jours après l’attaque. Début mars, le réseau complet n’était pas encore rétabli pour tous, selon Radio-Canada. En mai, Le Nord-Côtier parlait d’un retour à la normale prévu dans les prochaines semaines.

Les parents ont-ils reçu les bulletins ?

Oui, selon le directeur général cité par Radio-Canada, grâce à une salle et un lien Internet prêtés par le CSS du Littoral. L’application de communication entre enseignants et parents avait été rétablie dès la première semaine.

Mon service de garde dépend d’un seul logiciel : par où commencer ?

Par la trousse papier hebdomadaire (présences, personnes autorisées, urgences) et par un numéro de téléphone qui ne passe pas par Internet. Ces deux gestes couvrent la sécurité des enfants le jour même ; le reste se planifie dans le mois qui suit.

Transparence

Ce blogue est publié par Amisgest Technologie inc., éditeur de logiciels pour les services de garde éducatifs. Les faits rapportés ici proviennent de sources publiques citées en fin d’article. Une erreur à signaler ? Écrivez à info@amisgest.ca.

Sources

À lire aussi

Étiqueté , , , ,