Skip to main content

Cybersécurité Petite Enfance

Cybersécurité Petite Enfance
Menu

La Place 0-5 : le jour où les dossiers de 5 000 enfants ont été volés

Faille de sécurité Par Eric Rousseau · 7 juin 2021 · 8 min de lecture
Cadenas rouillé sur une vieille porte de bois rouge
En bref

En mai 2021, un intrus a téléchargé les dossiers d’environ 5 000 enfants inscrits à La Place 0-5, le guichet unique des places en garderie.

Le lundi 10 mai 2021, à 11 h 15, la Coopérative Enfance Famille apprend qu’une personne non autorisée détient une liste d’enfants en attente d’une place en service de garde. La coopérative gère alors La Place 0-5, le guichet unique par lequel passent toutes les familles qui cherchent une place en CPE ou en garderie reconnue. Selon son communiqué du 11 mai, environ 5 000 dossiers d’enfants sont concernés. Le ministre de la Famille, Mathieu Lacombe, parle d’une situation « intolérable ». Trois ans plus tard, l’affaire se termine par un règlement d’action collective de 250 000 $. Voici ce qui s’est passé, et ce que ça enseigne à quiconque gère des dossiers d’enfants.

Ce qui s’est passé

La chronologie s’appuie sur le communiqué de la Coopérative Enfance Famille (CEF), les reportages de Radio-Canada et les documents de l’action collective.

  • 27 avril 2021, 22 h 19 : dernier audit mensuel du système, qui concluait à son intégrité, selon la CEF.
  • Fin de semaine du 8 mai 2021 : l’intrusion a lieu, selon Radio-Canada. Le pirate contourne le système de cybersécurité et télécharge des fichiers, a déclaré le ministre Lacombe à Radio-Canada.
  • 10 mai 2021, 11 h 15 : la CEF est informée. Elle attribue la fuite à une brèche chez son fournisseur technologique. À 21 h, un correctif est prêt.
  • 11 mai 2021 : La Presse révèle l’affaire ; la CEF publie sa déclaration et suspend le site, le temps de l’enquête et d’un audit complet.
  • 12 mai 2021 : un audit élargi sera mené, car d’autres vulnérabilités existent dans le système, rapporte Radio-Canada.
  • 14 mai 2021 : dépôt de la demande d’action collective (Dubé c. Coopérative de services enfancefamille.org, Cour supérieure, 500-06-001148-218). Le même jour, selon La Presse, Québec ordonne la fermeture de l’accès à certains services numériques sensibles.
  • 8 juin 2021 : la réouverture est reportée à la fin juin au plus tôt, rapporte Radio-Canada. Selon la CEF, les corrections du fournisseur InMédia sont jugées insuffisantes ; une firme externe réclame des couches de sécurité supplémentaires et un audit complet.
  • 1er février 2024 : action collective autorisée aux seules fins de règlement.
  • 22 mars 2024 : règlement de 250 000 $ approuvé, maximum de 1 000 $ par réclamation documentée ; date limite de réclamation le 14 août 2024.

Le mécanisme, en termes simples : La Place 0-5 hébergeait ses données chez un fournisseur externe, et c’est là que la brèche s’est produite, selon la CEF. Le site public était la vitrine ; la base de données vivait ailleurs. La sécurité de vos données dépend de chaque maillon de la chaîne, y compris de ceux que vous ne voyez jamais.

Corridor d'école vide bordé de casiers rouges

Les données d’un enfant circulent entre le guichet, le fournisseur d’hébergement, le ministère et le service de garde. Chaque maillon compte.

Les données touchées

Selon la CEF, les renseignements susceptibles d’avoir été consultés sont le nom des parents, leurs numéros de téléphone, le nom de l’enfant, sa date de naissance et sa date d’inscription. Les mots de passe n’ont pas été compromis et les systèmes internes de la coopérative n’ont pas été touchés.

Un élément a particulièrement inquiété : le NIREC, le numéro d’inscription au registre de l’état civil, imprimé sur l’acte de naissance. Radio-Canada rapporte que le ministre a confirmé que le pirate y avait aussi accédé. Trois chiffres circulent et ne mesurent pas la même chose :

  • Environ 5 000 : dossiers d’enfants téléchargés, selon le communiqué de la CEF.
  • 8 589 : personnes dont les renseignements ont été consultés et téléchargés, selon l’avis de règlement de 2024. C’est le chiffre juridique final.
  • Environ 86 000 à 86 948 : utilisateurs inscrits dont les données auraient pu être consultées, selon WeLiveSecurity et la description initiale du recours. Ce n’est pas le nombre de dossiers volés.

Ce qu’en disent les parents, les experts et les autorités

Marie-Claude Sévigny, directrice générale de la CEF, dans le communiqué du 11 mai 2021 : « Nous voulons rassurer les parents et les informer ». La coopérative y dit collaborer avec la Sûreté du Québec, le Centre gouvernemental de cyberdéfense et le ministère de la Famille.

Mathieu Lacombe, ministre de la Famille, à Radio-Canada le 12 mai 2021 : « C’est une situation qui est intolérable. » Cité par WeLiveSecurity le même jour : « Je suis extrêmement préoccupé par l’ensemble des protocoles de sécurité ».

Les gestionnaires de CPE ont réagi dès le 11 mai, à Radio-Canada. Hélène Blanchet, directrice du CPE L’Éveil des chérubins, à Rimouski : « On n’avait vraiment pas besoin de ça en ce moment ». Julie Dalpé, directrice du CPE de la Baie et présidente du RESPEQ : « Je m’attends à ce qu’on ait un flot d’appels assez important ». Odette Lavigne, directrice générale du Regroupement des CPE de la Côte-Nord, au sujet du NIREC : il est inquiétant que ce numéro soit « entre les mains d’on ne sait trop qui ».

Côté politique, selon Radio-Canada (11 mai 2021), le premier ministre François Legault a jugé la situation troublante et s’est demandé si le gouvernement devait reprendre ces données, tout en refusant de conclure à un motif politique : « Je ne veux pas juger, on n’a pas de preuves de ça. » Dominique Anglade (PLQ) : « Peu importe à qui tu sous-traites cette gestion, tu en es responsable ultimement. » Manon Massé (QS) et Paul St-Pierre Plamondon (PQ) ont aussi réclamé des correctifs rapides et des garanties strictes. Aucune décision publique de la Commission d’accès à l’information n’a été repérée ; les suites ont été policières et civiles.

Ce que ça change pour votre service de garde

Une fuite chez un fournisseur n’est pas une preuve de négligence de ceux qui l’utilisent. Mais vous restez responsable des données que vous confiez. Sept gestes réalistes :

  1. Dressez l’inventaire de vos fournisseurs qui détiennent des données d’enfants. Pour chacun : où sont hébergées les données, qui y a accès, quelle clause du contrat traite des incidents. Une après-midi suffit.
  2. Demandez par écrit à chaque fournisseur sa procédure d’avis en cas d’incident : délai, personne-ressource, informations transmises. Vous ne voulez pas apprendre une fuite par un parent.
  3. Appliquez le minimum nécessaire au NIREC et aux dates de naissance : ne les stockez que là où c’est exigé, jamais dans une feuille de calcul partagée, un courriel ou une note de téléphone.
  4. Révisez chaque trimestre qui possède un accès administrateur à vos outils. Chaque accès doit appartenir à une personne nommée, être protégé par l’authentification multifacteur et être retiré le jour du départ.
  5. Préparez d’avance votre message aux parents : un modèle d’une page qui dit ce qui s’est passé, quelles données, ce que vous faites et quoi surveiller (verrouillage du dossier de crédit, hameçonnage). Ici, les parents ont reçu des lettres recommandées ; prévoyez le canal.
  6. Tenez un registre des incidents de confidentialité, même mineurs : la Loi 25 l’exige et il démontrera votre diligence si un recours survient.
  7. Vérifiez votre assurance : une couverture qui inclut les frais d’avis, de surveillance de crédit et de défense.

Foire aux questions

Qui gérait La Place 0-5 au moment de la fuite ?

La Coopérative Enfance Famille, mandatée pour exploiter le guichet unique. Selon la CEF, la brèche s’est produite chez son fournisseur technologique, que Radio-Canada identifie comme InMédia.

Combien de personnes ont été indemnisées ?

Le règlement approuvé le 22 mars 2024 vise 8 589 personnes. L’enveloppe de 250 000 $ incluait les frais d’administration et les honoraires, avec un maximum de 1 000 $ par réclamation documentée, selon Lex Group.

Les mots de passe des parents ont-ils été volés ?

Non, selon la CEF. Les données exposées étaient des renseignements d’identité (noms, téléphones, dates de naissance, date d’inscription), et le NIREC selon le ministre cité par Radio-Canada.

Qu’est-ce que le NIREC et pourquoi est-il sensible ?

C’est le numéro d’inscription au registre de l’état civil, sur l’acte de naissance. Il sert à prouver l’identité d’un enfant auprès de plusieurs organismes et, contrairement à un mot de passe, il ne se change pas.

Transparence

Ce blogue est publié par Amisgest Technologie inc., éditeur de logiciels pour les services de garde éducatifs. Les faits rapportés ici proviennent de sources publiques citées en fin d’article. Une erreur à signaler ? Écrivez à info@amisgest.ca. Précision utile : dans son enquête du 12 mai 2021 sur les entreprises dites « passerelles », Radio-Canada mentionne Amisgest parmi les fournisseurs de logiciels de garderie ayant accès, par entente, à des données de La Place 0-5 et du système du ministère de la Famille. L’article ne lui attribue aucune faute et n’établit aucun lien avec la fuite décrite ici.

Sources

À lire aussi

Étiqueté , , , ,