Il y a des pannes que personne ne remarque, jusqu’au jour où l’on en a besoin. Le 10 novembre 2025, des dizaines de milliers de citoyens du Grand Montréal ont cessé, sans le savoir, d’être joignables en cas d’urgence.

L’essentiel

  • La plateforme d’alertes municipales CodeRED a été mise hors ligne par une cyberattaque.
  • Les villes touchées n’ont pas été visées : elles ont été frappées par ricochet.
  • La Loi 25 exige un contrat écrit encadrant tout sous-traitant qui traite vos données.
  • Votre responsabilité ne se sous-traite pas, même quand l’incident vient de votre fournisseur.

Que s’est-il passé avec CodeRED ?

Le 10 novembre 2025, la plateforme d’alertes municipales CodeRED, opérée par Crisis24, a été mise hors ligne à la suite d’une cyberattaque. Les renseignements personnels des citoyens inscrits, dont noms, adresses, courriels, numéros de téléphone et mots de passe associés, ont été dérobés.

L’ampleur est réelle : à Ville Mont-Royal, plus de cinq mille personnes étaient inscrites; à Kirkland, au moins onze mille. Plusieurs municipalités ont dû suspendre le service et migrer en catastrophe vers d’autres solutions.

Ce qui rend ce cas instructif n’est pas l’attaque elle-même, mais la position dans laquelle elle place les villes : elles doivent gérer un incident qu’elles n’ont ni causé, ni pu prévenir, ni même détecter.

Pourquoi une organisation non attaquée se retrouve-t-elle exposée ?

Parce que le fournisseur est un point de concentration. Une seule brèche en amont expose simultanément tous les clients en aval. Les villes touchées n’ont pas été piratées : leur prestataire commun l’a été, et elles ont hérité de son incident sans avoir commis d’erreur.

flowchart LR A[Fournisseur CodeRED compromis] --> B[Donnees citoyennes volees] B --> C[Villes clientes exposees] C --> D[Service d'alerte hors ligne] D --> E[Migration forcee]

Vous confiez sans doute des données à des tiers : logiciel de paie, infonuagique, prestataire informatique, plateforme de réservation. Leur sécurité fait partie de la vôtre, et un maillon faible dans votre chaîne de fournisseurs peut vous exposer sans que vous ayez rien fait de mal.

Le second effet, moins visible, est la perte de contrôle du calendrier. C’est le fournisseur qui décide quand il vous informe, ce qu’il communique et à quel rythme il rétablit. Vos propres obligations, elles, courent dès que vous savez.

Quelles obligations la Loi 25 impose-t-elle sur vos sous-traitants ?

La communication de renseignements personnels à un sous-traitant doit être encadrée par un contrat écrit précisant les mesures de protection attendues. Ce n’est pas une formalité administrative : c’est votre filet de sécurité juridique le jour où le fournisseur trébuche.

  • Un contrat écrit, et pas des conditions générales acceptées en ligne. Il doit nommer les mesures de protection, limiter l’usage au mandat confié et prévoir la destruction des données en fin de contrat.
  • Une obligation de notification, chiffrée en heures. Un dirigeant qui apprend l’incident par les médias avant son fournisseur est déjà en défaut sur ce point.
  • Une cartographie de vos dépendances. La question utile : quels tiers détiennent ou peuvent atteindre nos données, et par quel accès. Beaucoup de directions découvrent à cette étape des accès distants dont elles ignoraient l’existence.
  • Un scénario « et si c’était eux ». Votre plan de réponse doit couvrir le cas où l’incident survient chez un tiers, parce que vous ne maîtriserez alors ni l’information ni le tempo.

Chez RISS, nous aidons les PME québécoises à cartographier leurs dépendances, à encadrer les accès de leurs fournisseurs et à se préparer au scénario où l’incident vient d’ailleurs.

FAQ

Notre fournisseur refuse de modifier son contrat. Que faire ?

C’est fréquent avec les grands éditeurs, dont les conditions sont peu négociables. Trois leviers restent utilisables. Demander une attestation indépendante de leur posture de sécurité, ce qu’ils fournissent généralement. Documenter par écrit votre demande et leur refus, ce qui établit votre diligence. Et réduire votre exposition en limitant les données que vous leur confiez, ce qui est souvent possible sans perdre le service.

Sommes-nous responsables d’un incident survenu chez notre prestataire ?

Sur le plan réglementaire, votre organisation reste responsable des renseignements personnels qu’elle a confiés. Concrètement, c’est votre registre des incidents qui doit être alimenté, votre entreprise qui évalue le risque de préjudice sérieux, et la qualité de votre encadrement contractuel qui sera examinée. Le prestataire a ses propres obligations, mais elles ne remplacent pas les vôtres.

Comment savoir quels tiers détiennent nos données ?

Par un inventaire mené service par service plutôt que par une liste de factures. Les accès oubliés se trouvent dans les recoins : un boîtier de télémaintenance livré avec une machine, un accès accordé à un intégrateur pour un projet clos, un outil adopté par une équipe sans passer par la direction. Cette cartographie est le premier livrable de nos diagnostics sur le risque fournisseurs, et elle produit presque toujours des surprises.

Sources