Skip to main content

Cybersécurité Petite Enfance

Cybersécurité Petite Enfance
Menu

HopHop débranchée du jour au lendemain : ce que la faille a exposé

Faille de sécurité Par Eric Rousseau · 29 octobre 2025 · 8 min de lecture
Main tenant un téléphone intelligent devant un ordinateur portable sur une table de bois
En bref

Le 7 octobre 2025, l’application HopHop a été coupée après qu’un expert eut montré à Radio-Canada qu’il accédait facilement aux données des parents.

Le mardi 7 octobre 2025, des centaines d’écoles et de services de garde du Québec perdent, du jour au lendemain, un outil quotidien : HopHop, l’application qui avertit l’éducatrice qu’un parent s’en vient chercher son enfant. Ce matin-là, Radio-Canada publie une enquête : un expert en sécurité, Patrick Mathieu, a pu retrouver les noms des parents, leurs photos, leurs téléphones et leurs courriels. L’entreprise de Laval qui édite l’application, Bleu-K, coupe elle-même ses serveurs le jour même. Le gouvernement demande aux milieux de cesser de l’utiliser jusqu’à nouvel ordre. Deux jours plus tard, une demande d’action collective est déposée.

Ce qui s’est passé

  • Depuis 2016 : HopHop s’installe dans les écoles et les garderies ; Radio-Canada parle de 500 écoles au Québec.
  • 29 septembre 2025 : début de la période d’exposition rapportée. Selon Daily Security Review, les communications de l’entreprise aux parents situent l’incident entre le 29 septembre et le 7 octobre 2025.
  • 30 septembre 2025 : HopHop annonce au Centre de services scolaire de Montréal (CSSDM) une mise à jour de sa politique de confidentialité, selon Noovo.
  • 7 octobre 2025, matin : Radio-Canada publie son enquête. Patrick Mathieu a pu accéder aux noms, photos, téléphones et courriels des parents, aux noms des enfants, et même au bouton qui avise l’école ou la garderie que le parent est en route.
  • 7 octobre 2025, en journée : l’entreprise lance « les procédures qui bloquent nos serveurs et notre application », selon un message vocal rapporté par Noovo. Le ministère de la Famille confirme que le chef gouvernemental de la sécurité de l’information demande « l’arrêt temporaire de l’utilisation de l’application HopHop jusqu’à nouvel ordre de sa part ». Des écoles avisent les parents le jour même, comme l’école Père-Marquette (CSS des Patriotes), qui renvoie les parents à la réception du service de garde.
  • 8 octobre 2025 : CTV News rapporte que l’application ne sera rétablie, selon l’entreprise, qu’après réception du rapport d’analyse et des recommandations du gouvernement.
  • 9 octobre 2025 : dépôt d’une demande d’action collective en Cour supérieure, à Montréal, contre Bleu-K, selon Radio-Canada.
  • Au 31 octobre 2026 : aucun rapport public, aucune décision de la Commission d’accès à l’information et aucun chiffre officiel de personnes touchées n’ont été repérés.

Le mécanisme, en termes simples : une application mobile n’est que la façade. Derrière, un serveur conserve les comptes, les photos et la liste des enfants de chaque milieu. Si ce serveur répond aux demandes sans vérifier assez strictement qui les envoie, une personne qui sait lui parler peut lire des données qui ne lui appartiennent pas, sans rien « casser ». Radio-Canada ajoute que l’application n’avait pas été validée directement par les ministères de la Famille et de l’Éducation.

Façade d'une école primaire en briques avec porte d'entrée verte

HopHop servait à annoncer l’arrivée du parent à la porte. Le 7 octobre 2025, des écoles sont revenues à l’accueil en personne.

Les données touchées

Selon Radio-Canada, repris par Noovo, les renseignements accessibles comprenaient : les noms des parents utilisateurs, leurs photos, leurs numéros de téléphone, leurs adresses courriel, les noms des enfants, et l’accès au bouton « parent en route ».

Ce dernier point compte : un signal qui dit à une éducatrice qu’un adulte identifié s’en vient chercher un enfant précis, c’est un mécanisme de confiance. Le reportage ne rapporte aucun abus de cette fonction ; il montre qu’elle était accessible. Aucun chiffre officiel de personnes touchées n’a été publié.

Ce qu’en disent les parents, les experts et les autorités

L’entreprise, par un message vocal d’environ 40 secondes dont l’auteur n’est pas identifié, rapporté par Noovo : « Soyez certains que nous prenons cette situation très au sérieux et que nous travaillons sans relâche pour y remédier. » Bleu-K n’a pas commenté l’action collective auprès de Radio-Canada, mais a publié un avis sur son site pour expliquer la suspension.

Le ministère de la Famille, par courriel à Noovo : les services de garde ont été informés de la demande d’« arrêt temporaire de l’utilisation de l’application HopHop » jusqu’à nouvel ordre. Il s’agit d’un arrêt temporaire, pas d’une interdiction permanente ; le mot « bannie » vu dans certains médias anglophones est une sur-traduction.

Le CSSDM, à Noovo : l’utilisation de HopHop « découle uniquement d’initiatives locales et ne relève pas d’une décision du CSSDM » ; il travaille avec le ministère de l’Éducation pour valider la conformité de l’application.

L’école Père-Marquette, dans son bulletin aux parents du 7 octobre 2025 : « Nous avons reçu l’information que l’application HopHop comporte des enjeux de cybersécurité. À la lumière de ces informations, nous avons décidé de suspendre son utilisation jusqu’à nouvel ordre. »

La demande d’action collective, rapportée par Radio-Canada le 9 octobre, est portée par Thi Cam Tu Quach, une mère utilisatrice, au nom de tous les parents. Elle allègue que « Bleu-K savait ou devait savoir que son application n’était pas totalement sécuritaire » et réclame le remboursement des frais d’abonnement payés depuis le 1er janvier 2025 (la demanderesse dit avoir payé 31,04 $). Ces allégations n’ont pas été prouvées en cour, et l’action n’avait pas été autorisée au moment d’écrire ces lignes.

Ce que ça change pour votre service de garde

HopHop n’avait été validée par aucun ministère ; chaque milieu l’avait adoptée de son côté. L’application que vous installez devient votre responsabilité. Six gestes concrets :

  1. Avant d’adopter une application, posez cinq questions écrites au fournisseur : où sont hébergées les données ; a-t-il fait un test d’intrusion indépendant dans les 12 derniers mois ; comment et dans quel délai vous avisera-t-il d’un incident ; quelle est sa politique de conservation et de suppression ; a-t-il un responsable de la protection des renseignements personnels, comme l’exige la Loi 25. Conservez les réponses au dossier.
  2. Réduisez ce que l’application sait de vous. Si un outil demande des photos de parents, demandez-vous si une initiale ou un code suffirait. Ce que l’outil n’a pas ne peut pas fuir.
  3. Tenez une liste des applications en usage, y compris celles adoptées par une seule installation ou un seul groupe. Le CSSDM n’avait pas pris la décision ; des équipes locales l’avaient fait. Une liste à jour vous fait réagir en une heure plutôt qu’en une semaine.
  4. Prévoyez un plan B sans application pour chaque fonction critique : accueil et départ des enfants, communication avec les parents, personnes autorisées. L’école Père-Marquette est revenue à la réception le jour même. Écrivez la procédure sur une page et affichez-la.
  5. Obtenez un consentement clair des parents pour chaque outil qui traite leurs données, et conservez-en la trace. Le consentement doit nommer l’outil, les données et la finalité.
  6. Faites l’évaluation exigée par la loi avant déploiement : depuis la Loi 25, une évaluation des facteurs relatifs à la vie privée est requise avant d’acquérir un système qui traite des renseignements personnels. Un gabarit de deux pages suffit souvent pour une petite organisation.

Foire aux questions

HopHop a-t-elle été piratée ?

Le reportage de Radio-Canada décrit une faille mise en évidence par un expert, pas une attaque criminelle confirmée. Aucun rapport public n’établit qu’un tiers malveillant l’ait exploitée. L’entreprise a coupé ses serveurs à titre préventif, selon CTV News.

Combien de familles ont été touchées ?

Aucun chiffre officiel n’a été publié. Radio-Canada parle de 500 écoles utilisatrices et de milliers de parents ; Noovo, de « centaines d’écoles et de garderies ».

L’application est-elle interdite au Québec ?

Non. Le gouvernement a demandé un « arrêt temporaire de l’utilisation » jusqu’à nouvel ordre, selon le ministère de la Famille cité par Noovo. Au 31 octobre 2026, aucun retour en ligne ni aucune levée de cette demande n’avaient été documentés.

Mon service de garde utilisait HopHop : que faire ?

Cesser l’utilisation conformément à la demande gouvernementale, informer les parents du mode de fonctionnement de remplacement et conserver une trace de vos communications. Si des parents demandent quelles données étaient dans l’application, répondez avec la liste publiée par Radio-Canada, sans extrapoler.

Transparence

Ce blogue est publié par Amisgest Technologie inc., éditeur de logiciels pour les services de garde éducatifs. Les faits rapportés ici proviennent de sources publiques citées en fin d’article. Une erreur à signaler ? Écrivez à info@amisgest.ca.

Sources

À lire aussi

Étiqueté , , , ,