Skip to main content

Cybersécurité Petite Enfance

Cybersécurité Petite Enfance
Menu

Fuites de données en éducation et en petite enfance : ce que 10 ans d’incidents nous apprennent

Générale Par Eric Rousseau · 31 octobre 2026 · 11 min de lecture
Allée sombre d'une salle de serveurs entre deux rangées de baies informatiques noires
En bref

De VTech en 2015 à Rosemère en 2026, les fuites touchant des enfants se ressemblent : identifiants volés, fournisseurs, surcollecte, copies oubliées, incident jamais vraiment clos.

Depuis dix ans, nous avons documenté une vingtaine d’incidents publics touchant les données d’enfants et d’élèves, au Québec, au Canada et ailleurs : rançongiciels, vols de dossiers, applications mal protégées, courriels envoyés au mauvais monde. Pris un à un, ils font peur. Mis côte à côte, ils rassurent presque : les mêmes cinq mécanismes reviennent, et chacun a une réponse à la portée d’un gestionnaire de CPE ou de garderie sans équipe informatique. Cet article est la synthèse de notre série. Il renvoie aux articles détaillés par leur titre et termine par une chronologie, à garder comme repère.

Leçon 1 : la porte d’entrée, c’est presque toujours un identifiant

Le vol de données le plus massif de l’histoire du ministère de l’Éducation du Québec, révélé en février 2020, n’a pas exigé de faille sophistiquée : des individus munis d’un code d’utilisateur et d’un mot de passe volés ont accédé à la banque de renseignements de près de 360 000 enseignants actuels et anciens (Radio-Canada, 21 février 2020). Même scénario en décembre 2024 chez le fournisseur de dossiers d’élèves PowerSchool : des identifiants compromis d’un ancien sous-traitant ont ouvert un portail de soutien, et de là, les données de millions d’élèves canadiens (voir « PowerSchool : la rançon payée, les données ressorties quand même »). À La Place 0-5, en mai 2021, l’intrus s’est créé un accès de type administrateur chez l’hébergeur (voir « La Place 0-5 : vol des dossiers de 5 000 enfants »). Dans l’affaire Kido, au Royaume-Uni, l’hypothèse la plus discutée est celle d’un compte client compromis (voir « Kido : des photos et adresses d’enfants de garderie publiées par des pirates »).

Ce que ça donne chez vous : l’authentification multifacteur sur tous les comptes qui touchent des données d’enfants (logiciel de gestion, application parents, courriel, banque), des mots de passe uniques gardés dans un gestionnaire, et la désactivation des comptes le jour même d’un départ. Aucune de ces trois mesures ne coûte plus qu’une heure de travail.

Leçon 2 : votre périmètre inclut vos fournisseurs

Dans la majorité des grands incidents du dossier, l’organisation touchée n’a pas été attaquée directement. La Nouvelle-Écosse a perdu les données d’environ 26 000 élèves en 2023 à cause d’une faille dans un outil de transfert de fichiers utilisé par le gouvernement (gouvernement de la Nouvelle-Écosse, 9 juin 2023). Plus de 80 conseils scolaires canadiens ont été touchés par PowerSchool sans qu’aucun de leurs propres systèmes ne soit percé. Au Québec, l’application HopHop, utilisée par des centaines d’écoles et de garderies, protégeait mal sa base de données et a été débranchée le jour du reportage de Radio-Canada, le 7 octobre 2025 (voir « HopHop débranchée du jour au lendemain »). Elle n’avait été validée par aucun ministère ; chaque milieu l’avait adoptée localement.

La commissaire ontarienne Patricia Kosseim l’a écrit sans détour en novembre 2025 : les institutions « ne peuvent pas externaliser leur responsabilité » (CP24). La Loi 25 dit la même chose au Québec : le service de garde reste responsable des renseignements qu’il confie à un tiers.

Ce que ça donne chez vous : une liste de tous les logiciels et applications qui touchent des données d’enfants, et pour chacun, des réponses écrites à des questions précises. Nous les avons rassemblées dans « Votre fournisseur de logiciel de gestion de service de garde : 12 questions à lui poser avant de lui confier les données des enfants ».

Dizaines de cadenas accrochés à une rambarde métallique devant la mer

Des dizaines de cadenas accrochés à une rambarde, symbole des multiples verrous à poser sur les données. Photo : Daderot, CC0 (Wikimedia Commons)

Leçon 3 : on collecte trop, et on garde trop longtemps

C’est la conclusion commune des trois commissaires qui se sont penchés sur PowerSchool. Le Toronto District School Board avait des dossiers remontant au 3 septembre 1985 (page officielle du TDSB). À Terre-Neuve-et-Labrador, 244 917 numéros d’assurance-maladie figuraient dans les dossiers d’élèves ; la commissaire a conclu que leur collecte n’était pas autorisée par la loi et en a ordonné le retrait (communiqué du 12 mai 2026). Le Waterloo Region District School Board, en 2022, a vu fuir des dossiers d’employés remontant à 1970 (avis du WRDSB, 29 septembre 2022). Et dans un petit CPE de Québec en 2016, le logiciel comptable contenait, selon Le Soleil, les NAS, les certificats de naissance et les numéros de comptes bancaires des familles (voir « Le rançongiciel au CPE du CHUL : trop petit pour être une cible ? »).

Une donnée qu’on n’a pas ne peut pas fuir. Une donnée supprimée non plus.

Ce que ça donne chez vous : un inventaire des champs collectés pour chaque enfant et chaque parent, avec la question « quelle loi ou quel règlement m’oblige à l’avoir ? », puis un calendrier de conservation écrit (combien de temps après le départ de l’enfant) et appliqué deux fois par année.

Leçon 4 : l’incident n’est jamais fini quand les systèmes reviennent

PowerSchool a payé une rançon en décembre 2024 pour la destruction des données. La semaine du 4 mai 2025, le TDSB apprenait qu’elles n’avaient pas été détruites et recevait, comme Peel et Calgary, une nouvelle demande de rançon (TDSB ; Global News, 8 mai 2025). La commission scolaire Eastern Townships, attaquée le 18 décembre 2025, avait reconstruit ses systèmes en janvier ; le 13 février 2026, le ministère de la Cybersécurité et du Numérique l’avertissait que des fichiers exfiltrés circulaient en ligne (voir « ETSB : la fuite confirmée deux mois après la cyberattaque »). Le Centre de services scolaire des Appalaches, frappé par un rançongiciel en 2016, l’a été de nouveau en août 2025, cette fois avec publication de données sur le dark web et une demande d’action collective qui invoque explicitement le précédent de 2016 (Courrier Frontenac, 7 novembre 2025).

Le président de l’ETSB, Michael Murray, a résumé l’expérience en juin 2026 : « There is no point at which the problem is over. » (Sherbrooke Record).

Ce que ça donne chez vous : un plan d’incident d’une page qui prévoit explicitement le scénario « des données ressortent des mois plus tard », un registre des incidents conforme à la Loi 25, et une sauvegarde hors ligne testée, parce que la seule protection contre une rançon est de ne pas en avoir besoin.

Leçon 5 : les copies et les erreurs humaines fuient autant que les piratages

En juin 2024, ce n’est pas le système principal du Toronto District School Board qui a été touché par un rançongiciel, mais un environnement de test, qui contenait pourtant de vraies données d’élèves de 2023-2024 et, selon un document de la commissaire ontarienne, n’avait ni antivirus ni surveillance (voir « TDSB et LockBit : de vraies données d’enfants dans un environnement de test »). En juillet 2026, à l’École secondaire Rosemère, pas de pirate du tout : un fichier Excel contenant les NAS et les dates de naissance de parents a été joint par erreur à un courriel de rentrée envoyé à plus de 1 000 destinataires (Noovo, 3 juillet 2026). Au CPE du CHUL, en 2016, la dernière copie utilisable datait de l’exercice financier de mars, sept mois avant l’attaque (Le Soleil).

Ce que ça donne chez vous : un inventaire des copies de données (exportations Excel, clés USB, anciens portables, comptes de démonstration), la suppression de celles qui ne servent plus, une règle « quatre yeux » avant tout envoi massif, et une restauration de sauvegarde testée chaque trimestre.

Et une sixième, en prime : pouvez-vous ouvrir quand même ?

Le 16 février 2026, le Centre de services scolaire du Fer, sur la Côte-Nord, a perdu d’un coup ses serveurs, Internet, la paie, le transport et son portail (Le Nord-Côtier, 16 février 2026). Pour un service de garde, la question n’est pas technique : si demain matin aucun ordinateur ne s’allume, avez-vous la liste des présences, les coordonnées d’urgence des parents, les allergies et la paie sous une forme utilisable hors ligne ? Une impression mensuelle rangée dans un classeur verrouillé répond à la question.

Dix ans d’incidents, en un coup d’oeil

Chaque entrée donne la date de l’événement (ou de sa divulgation), une phrase et la source principale. Les incidents québécois sont en premier dans chaque année quand il y en a.

  1. Novembre 2015, VTech (jouets éducatifs connectés) : une injection SQL expose les données de plus de 316 000 enfants canadiens et 237 000 adultes, selon le rapport du Commissariat à la protection de la vie privée du Canada (CPVP, 8 janvier 2018).
  2. Septembre 2016, Commission scolaire des Appalaches : le rançongiciel Zepto chiffre des milliers de fichiers ; la commission refuse de payer et reconstruit (Courrier Frontenac, 1er février 2017).
  3. Octobre 2016, CPE du CHUL (Québec) : selon Le Soleil, un rançongiciel chiffre le logiciel comptable d’un CPE d’environ 70 enfants ; rançon de 3 bitcoins refusée (Le Soleil, 13 octobre 2016, source unique).
  4. Février 2020, ministère de l’Éducation du Québec : vol des renseignements de près de 360 000 enseignants par identifiants volés (Radio-Canada, 21 février 2020).
  5. Septembre 2020, Cégep de Saint-Félicien : rançongiciel et vol de données confirmé (Radio-Canada).
  6. Mai 2021, La Place 0-5 : un intrus télécharge les dossiers d’environ 5 000 familles au guichet unique des services de garde ; règlement d’action collective de 250 000 $ en 2024 (communiqué de la Coopérative Enfance Famille, 11 mai 2021).
  7. Mai 2022, Collège Montmorency : cyberattaque suivie, en septembre, de la publication de données sensibles sur le dark web (La Presse, 8 septembre 2022).
  8. Juillet 2022, Waterloo Region District School Board (Ontario) : environ 70 000 personnes touchées, dont la base des notes des élèves (avis du WRDSB, 29 septembre 2022).
  9. Mai-juin 2023, Nouvelle-Écosse (faille MOVEit) : jusqu’à 100 000 Néo-Écossais, dont environ 26 000 élèves, via un outil de transfert de fichiers (gouvernement de la Nouvelle-Écosse, 9 juin 2023).
  10. Mai 2024, Collège Ahuntsic et cégeps de Lanaudière : fermetures et paralysie de quatre établissements, environ 7 000 étudiants touchés (CBC).
  11. Juin 2024, Toronto District School Board : rançongiciel dans un environnement de test contenant de vraies données d’élèves 2023-2024 (La Presse Canadienne via Global News, 29 août 2024).
  12. Décembre 2024, PowerSchool : plus de 80 conseils scolaires canadiens dans sept provinces et un territoire ; aucun au Québec (TDSB ; Global News, 28 janvier 2025).
  13. Août 2025, Centre de services scolaire des Appalaches : rançongiciel, publication sur le dark web et demande d’action collective (communiqué du CSSA, 5 septembre 2025).
  14. Septembre 2025, Kido (Royaume-Uni) : profils d’environ 8 000 enfants de garderie volés, photos publiées, parents appelés ; deux arrestations (BleepingComputer, 8 octobre 2025).
  15. Octobre 2025, HopHop (Québec) : données de parents et d’enfants exposées par une application d’avis d’arrivée ; application débranchée et arrêt ordonné par le gouvernement (Noovo, 7 octobre 2025).
  16. Décembre 2025, Commission scolaire Eastern Townships : cyberattaque, puis fuite confirmée en février 2026 (Journal Express, 17 février 2026).
  17. Février 2026, Centre de services scolaire du Fer : tous les systèmes à l’arrêt (Le Nord-Côtier, 16 février 2026).
  18. Juillet 2026, École secondaire Rosemère (CS Sir-Wilfrid-Laurier) : NAS et dates de naissance de parents envoyés par courriel dans un fichier joint par erreur (Noovo, 3 juillet 2026).

Foire aux questions

Les CPE et les garderies du Québec ont-ils été touchés par ces incidents ?

Directement, dans deux cas documentés : le CPE du CHUL en 2016 (source unique) et les milieux utilisateurs de HopHop en 2025. Indirectement, dans le cas de La Place 0-5 en 2021, où les dossiers de familles en attente d’une place ont été téléchargés.

Pourquoi le Québec a-t-il échappé à PowerSchool ?

Parce qu’une seule organisation québécoise utilisait ce logiciel et qu’elle n’a pas été touchée, selon le ministère de l’Éducation cité par Global News. C’est une question d’écosystème logiciel, pas de meilleures pratiques.

Faut-il payer une rançon ?

La Sûreté du Québec le déconseillait déjà en 2016, et le cas PowerSchool a montré en 2025 qu’une rançon payée n’a pas empêché la réutilisation des données. La vraie protection est une sauvegarde hors ligne testée.

Par quoi commencer si je n’ai pas d’équipe informatique ?

Par l’authentification multifacteur sur vos comptes principaux, un inventaire des données et des copies, et une sauvegarde automatique testée. Ces trois gestes couvrent les leçons 1, 3 et 5 en moins d’une journée de travail.

Transparence

Ce blogue est publié par Amisgest Technologie inc., éditeur de logiciels pour les services de garde éducatifs. Les faits rapportés ici proviennent de sources publiques citées en fin d’article. Une erreur à signaler ? Écrivez à info@amisgest.ca.

Sources

À lire aussi

Étiqueté , , , ,

Laisser un commentaire

Votre adresse courriel ne sera pas publiée. Les champs obligatoires sont indiqués avec *