Attaquée le 18 décembre 2025, la commission scolaire Eastern Townships a appris le 13 février 2026 que des fichiers exfiltrés circulaient en ligne.
Le scénario le plus courant d’une cyberattaque n’est pas celui qu’on imagine. On pense à l’écran noir, à la panique du premier jour, à la reconstruction. On pense moins au deuxième acte, celui qui arrive quand tout semble réglé : un appel du gouvernement, deux mois plus tard, pour dire que des fichiers volés pendant l’attaque viennent d’apparaître sur le dark web. C’est exactement ce qui est arrivé à la commission scolaire Eastern Townships (ETSB), en Estrie, entre décembre 2025 et février 2026. Pour un service de garde, c’est la leçon la plus utile du dossier : un incident ne se termine pas quand les systèmes reviennent.
Ce qui s’est passé
L’ETSB est la commission scolaire anglophone de l’Estrie. Voici la chronologie, telle que reconstituée à partir de son communiqué et de trois médias régionaux.
- 18 décembre 2025, un peu avant 9 h : détection d’une intrusion sur les serveurs. Par précaution, la commission scolaire coupe immédiatement l’ensemble de son réseau informatique. Les écoles restent ouvertes (CJMQ, 17 février 2026). Le courriel, les serveurs où les élèves remettent leurs travaux, les téléphones fixes et les clés d’accès aux bâtiments sont perturbés ; la fonction d’appel automatique au 911 en cas d’alarme incendie est désactivée, les alarmes elles-mêmes continuant de fonctionner (Sherbrooke Record, 8 juin 2026).
- Congé des Fêtes : le personnel informatique travaille presque sans arrêt pour reconstruire. Les premières déclarations indiquent que les bases de données les plus sensibles, dont les systèmes d’identité des élèves et la paie, n’auraient pas été percées (CJMQ).
- Janvier 2026 : les systèmes sont en grande partie fonctionnels dès la deuxième semaine de classes (Sherbrooke Record, juin 2026).
- 13 février 2026 : le ministère de la Cybersécurité et du Numérique du Québec avertit la commission scolaire que des renseignements sur son personnel circulent sur le dark web (Sherbrooke Record, 17 février 2026). L’enquête confirme que des fichiers stockés sur certains serveurs ont été exfiltrés pendant l’attaque de décembre, puis publiés.
- 17 février 2026, 13 h : l’ETSB publie un communiqué. Des lettres sont envoyées à tous les membres de la communauté joignables ; une ligne d’information (1 833 381-1196) et une adresse courriel sont ouvertes (Journal Express ; Sherbrooke Record).
- Juin 2026 : la commission scolaire évalue toujours les dommages financiers et travaille avec le ministère de la Cybersécurité et du Numérique à l’adoption de protocoles plus sûrs. Une révision interne est prévue (Sherbrooke Record, 8 juin 2026).
Le mécanisme est celui de la « double extorsion », devenu la norme depuis quelques années : avant de chiffrer ou de perturber les systèmes, les attaquants copient des fichiers vers l’extérieur. Même si la victime reconstruit tout sans payer, ils gardent cette copie et peuvent la publier plus tard, pour faire pression ou simplement par représailles. Le délai de deux mois n’a rien d’inhabituel ; il s’explique souvent par le temps que prennent les criminels à trier les fichiers et à les mettre en vente ou en ligne.
Sur l’origine de l’attaque : la Sherbrooke Record et CJMQ ont rapporté que l’attaque aurait été retracée à une source russe, sur la foi d’informations transmises au président de la commission scolaire. Le communiqué officiel ne le mentionne pas, et aucune autorité n’a confirmé cette attribution. Nous la rapportons donc comme une information de presse non corroborée.
Des lignes de code colorées sur un écran sombre. Photo : Markus Spiske, CC0 (Wikimedia Commons)
Les données touchées
C’est le point le plus flou du dossier, et c’est voulu : la commission scolaire a choisi de dire ce qu’elle savait et de ne pas inventer le reste. Les fichiers exfiltrés contiennent des renseignements personnels concernant des membres du personnel et, « possiblement », des parents et des élèves, « dont nous ignorons la nature exacte à ce jour », écrit l’ETSB dans son communiqué du 17 février 2026 (Journal Express). Avant le 13 février, la commission scolaire croyait qu’aucun dossier du personnel ou des élèves n’avait été consulté (Sherbrooke Record).
En juin 2026, le président Michael Murray expliquait que « des dizaines de milliers de fichiers ont dû être examinés individuellement par une personne » (traduction libre) pour déterminer ce qu’ils contenaient, ce qui a coûté cher et détourné le personnel de ses tâches habituelles. La commission scolaire a payé une assurance contre la fraude et un suivi des données pour les membres du personnel dont les renseignements pourraient avoir été compromis (Sherbrooke Record, 8 juin 2026). Le nombre de personnes touchées n’a jamais été publié.
Ce qu’en disent les parents, les experts et les autorités
Les réactions publiées sont minces et viennent presque toutes de la commission scolaire elle-même. Nous n’avons trouvé aucune citation de parent, de syndicat ni de la Commission d’accès à l’information dans ce dossier. Voici ce qui a été dit publiquement.
« We are trying to be as cautious as possible in saying that we know only what we know, we don’t know what we don’t know. » Michael Murray, président de la commission scolaire Eastern Townships, Sherbrooke Record, 17 février 2026.
Le même jour, M. Murray reconnaissait les limites de ce que la commission pouvait faire : « We don’t know at this point what further steps we can take », ajoutant « only that we’re doing the best we can, and we will continue to do the best we can » (Sherbrooke Record).
En juin 2026, interrogé sur les coûts, il répondait : « How much it might cost is still open-ended », et résumait l’état d’esprit d’une organisation après ce type d’incident par une phrase qui vaut pour tout gestionnaire : « There is no point at which the problem is over. » (Sherbrooke Record, 8 juin 2026).
Le communiqué officiel de l’ETSB, repris par le Journal Express, indique que l’organisation « prend cette situation très au sérieux » et recommande à chacun de vérifier l’identité de tout interlocuteur avant de transmettre des renseignements personnels, surtout à la suite d’un appel, d’un courriel ou d’un message suspect, et de surveiller ses transactions bancaires.
Ce que ça change pour votre service de garde
Un CPE n’a pas de serveurs de commission scolaire, mais il a la même vulnérabilité : des fichiers (contrats, fiches d’inscription numérisées, feuilles de paie, relevés bancaires) qui, une fois copiés, peuvent ressortir des mois plus tard. Voici comment se préparer au deuxième acte.
- Écrire la liste de vos « fichiers qui feraient mal » en une heure. Parcourez vos dossiers partagés et votre courriel : où sont les photos de pièces d’identité des parents, les spécimens de chèques, les NAS du personnel, les rapports d’incidents sur des enfants ? Pour chaque catégorie, notez où elle est et qui y a accès. C’est cette liste qui vous permettra, le jour venu, de répondre en heures plutôt qu’en mois à la question « qu’est-ce qui est sorti ? ».
- Réduire cette liste. Beaucoup de ces fichiers n’ont plus de raison d’exister : la copie du permis de conduire d’un parent parti en 2021, la numérisation d’un chèque pour un prélèvement configuré depuis longtemps. Supprimez ce qui est périmé et cessez de demander ce qui n’est pas nécessaire. Ce qui n’existe pas ne peut pas fuir.
- Prévoir le scénario « ça ressort plus tard » dans votre plan d’incident. Même sans équipe TI, un plan d’une page suffit : qui appeler (fournisseur informatique, Commission d’accès à l’information, police, assureur), quoi dire aux parents et au personnel, et une section explicite « si des données apparaissent en ligne après l’incident ». L’ETSB a dû improviser cette étape ; vous pouvez l’écrire d’avance.
- Tenir un registre des incidents et déclarer à la Commission d’accès à l’information. La Loi 25 oblige toute organisation québécoise à tenir un registre des incidents de confidentialité et à déclarer ceux qui présentent un risque de préjudice sérieux. Une attaque suivie d’une publication en ligne entre clairement dans cette catégorie. Un tableau simple (date, nature, données, personnes, mesures, déclaration oui/non) répond à l’obligation.
- S’assurer que le téléphone et l’alarme survivent à une panne informatique. À l’ETSB, les téléphones fixes et l’appel automatique au 911 ont été touchés. Vérifiez avec votre installateur si votre système d’alarme et votre téléphonie dépendent de votre réseau informatique, et prévoyez un cellulaire de service avec les numéros d’urgence et la liste des parents imprimée à jour.
- Prévenir les parents et le personnel contre l’hameçonnage qui suit toujours. Après une fuite, les criminels utilisent les données pour écrire des courriels crédibles. Diffusez d’avance la consigne de l’ETSB : ne jamais transmettre de renseignements personnels à la suite d’un appel ou d’un message sans avoir vérifié l’identité par un autre canal.
- Demander à votre assureur ce que couvre votre police. L’ETSB a payé de sa poche une assurance contre la fraude pour son personnel. Beaucoup de polices d’entreprise n’incluent pas la cyberassurance par défaut. Une question à votre courtier suffit pour le savoir.
Foire aux questions
Combien de personnes ont été touchées par la fuite de l’ETSB ?
La commission scolaire ne l’a jamais précisé. Elle a indiqué que les fichiers concernaient des membres du personnel et, possiblement, des parents et des élèves, sans en connaître la nature exacte au moment du communiqué.
Pourquoi la fuite n’a-t-elle été connue que deux mois après l’attaque ?
Parce que l’exfiltration de fichiers n’a été découverte qu’après leur publication en ligne, signalée par le ministère de la Cybersécurité et du Numérique le 13 février 2026. C’est fréquent : les attaquants copient d’abord et publient plus tard.
L’attaque venait-elle de Russie ?
Deux médias régionaux l’ont rapporté, sur la base d’informations transmises au président de la commission scolaire. Aucune autorité ne l’a confirmé publiquement. Il faut le lire comme une hypothèse rapportée, pas comme un fait établi.
Une garderie est-elle obligée de déclarer une telle fuite ?
Oui. Depuis la Loi 25, toute organisation québécoise qui subit un incident de confidentialité présentant un risque de préjudice sérieux doit le déclarer à la Commission d’accès à l’information et aviser les personnes concernées, en plus de tenir un registre de tous les incidents.
Ce blogue est publié par Amisgest Technologie inc., éditeur de logiciels pour les services de garde éducatifs. Les faits rapportés ici proviennent de sources publiques citées en fin d’article. Une erreur à signaler ? Écrivez à info@amisgest.ca.
Sources
- Journal Express, 17 février 2026 : « Fuite de renseignements personnels à la suite de la cyberattaque à la Commission scolaire Eastern Townships »
- Sherbrooke Record, 17 février 2026 : « ETSB reports some personal info caught up in Dec. 18 cyberattack »
- Sherbrooke Record, 8 juin 2026 : « ETSB still picking up the pieces months after cybersecurity breach »
- CJMQ, 17 février 2026 : « Dark Web leak confirmed in ETSB cyberattack »
À lire aussi
CSS du Fer : tout un réseau scolaire à l’arrêt, et comment continuer quand même
18 mars 2026 · 8 min de lecture
Kido : des photos et adresses d’enfants de garderie publiées par des pirates
25 octobre 2025 · 9 min de lecture