Une cyberattaque a touché des infrastructures critiques au Canada, sans que le secteur ni la région soient rendus publics. L’incident, encore peu documenté, relance une question que toute organisation, quelle que soit sa taille, devrait se poser : notre propre exposition est-elle sous contrôle ?
L’essentiel
- Selon Radio-Canada, une cyberattaque a visé des infrastructures critiques au Canada, sans secteur ni région précisés publiquement.
- Les détails techniques, les auteurs présumés et l’ampleur réelle des dommages demeurent inconnus selon les informations disponibles.
- Les PME et OBNL québécois ne sont pas à l’abri : ils sont souvent perçus comme des cibles plus faciles à atteindre.
- La Loi 25 impose déjà aux organisations québécoises un registre des incidents et, dans certains cas, une notification à la Commission d’accès à l’information.
Que sait-on réellement de cet incident ?
Selon Radio-Canada, une cyberattaque a touché des infrastructures critiques canadiennes, sans que le secteur, la région ni l’ampleur des dommages n’aient été rendus publics. Les auteurs présumés et la méthode d’intrusion restent inconnus, ce qui limite toute conclusion définitive sur le déroulement exact de l’attaque à ce stade.
Ce niveau de confidentialité n’a rien d’inhabituel. Les organisations touchées, tout comme les autorités qui les appuient, communiquent rarement les détails techniques d’un incident en cours, notamment pour ne pas nuire à une enquête ou faciliter d’autres tentatives. À ce jour, aucune information publique ne permet de préciser le mode d’entrée utilisé, le nombre de systèmes affectés ou la durée de l’exposition.
Pourquoi cet incident concerne-t-il aussi les PME et OBNL québécois ?
Les grandes infrastructures font la manchette parce que leurs pannes ont des répercussions visibles pour le public, mais les mêmes failles de base, accès mal contrôlés, logiciels non mis à jour, absence de sauvegardes testées, se retrouvent dans la plupart des petites organisations, quelle que soit leur taille.
Une couverture médiatique concentrée sur les grandes infrastructures peut donner l’impression que le risque est réservé à quelques secteurs stratégiques. Ce n’est pas le cas. Le Centre canadien pour la cybersécurité souligne que l’ensemble des organisations canadiennes, y compris les plus petites, demeure exposé à des menaces documentées comme les rançongiciels. Un OBNL ou une PME dispose souvent de moins de ressources dédiées à la sécurité, ce qui peut rendre certains scénarios plus difficiles à détecter à temps.
Que dit la loi québécoise sur les incidents de confidentialité ?
La Loi sur la protection des renseignements personnels dans le secteur privé (Loi 25) oblige les organisations québécoises à tenir un registre des incidents de confidentialité et, lorsque le risque de préjudice est sérieux, à en aviser la Commission d’accès à l’information et les personnes concernées.
Ces obligations existent indépendamment de tout incident précis : elles s’appliquent à toute organisation qui traite des renseignements personnels au Québec, du plus petit OBNL à la plus grande entreprise. Rien dans les informations disponibles sur l’incident rapporté par Radio-Canada ne permet de dire si de tels renseignements personnels ont été touchés ni si une notification a eu lieu. Nous le mentionnons ici pour rappeler le cadre général, pas pour le rattacher à cette affaire précise.
Comment une PME peut-elle vérifier sa propre exposition ?
Il n’existe pas de méthode unique ni de garantie absolue, mais le Centre canadien pour la cybersécurité propose des contrôles de base, gestion des accès, mises à jour, sauvegardes testées, qui réduisent fortement l’exposition aux scénarios les plus fréquents sans exiger une expertise technique poussée.
Faire le point sur ces contrôles de base est un exercice accessible, souvent réalisable en interne dans un premier temps. L’objectif n’est pas d’atteindre un état théorique de sécurité parfaite, mais de rendre les scénarios d’intrusion les plus courants nettement plus difficiles à exécuter, et de savoir comment réagir si un incident survient malgré tout.
FAQ
Est-ce que mon organisation risque d’être ciblée par le même type d’attaque ?
Les informations disponibles sur cet incident ne permettent pas de dire quel secteur a été visé ni pourquoi, ce qui empêche toute comparaison directe avec la situation d’une PME ou d’un OBNL en particulier. Ce qu’on peut affirmer, en s’appuyant sur les constats généraux du Centre canadien pour la cybersécurité, c’est que les menaces comme les rançongiciels touchent des organisations de toutes tailles et de tous secteurs, pas seulement les infrastructures critiques. Se demander si votre organisation a fait le point récemment sur ses accès, ses mises à jour et ses sauvegardes reste pertinent, indépendamment du secteur réellement touché par cet incident précis.
La Loi 25 nous oblige-t-elle à faire quelque chose après ce genre de nouvelle ?
Cette nouvelle ne crée aucune obligation nouvelle en soi. La Loi 25 impose déjà, de façon continue, la tenue d’un registre des incidents de confidentialité et, lorsque le risque de préjudice est sérieux, une notification à la Commission d’accès à l’information ainsi qu’aux personnes concernées. Ces obligations s’appliquent à toute organisation québécoise qui traite des renseignements personnels, qu’un incident externe fasse ou non les manchettes. C’est plutôt l’occasion de vérifier que ce registre existe, qu’il est à jour, et que les responsables internes savent qui doit être avisé et dans quels délais en cas d’incident réel.
Existe-t-il une façon de se protéger à 100 % contre ce type d’attaque ?
Non, et il faut se méfier de tout discours qui promet une protection totale ou un risque zéro : aucun prestataire sérieux ne peut garantir un tel résultat, quelle que soit la taille de l’organisation ou les moyens investis. Ce qui est réaliste, en revanche, c’est de réduire fortement l’exposition aux scénarios les plus fréquents en appliquant des contrôles de base reconnus, comme ceux que documente le Centre canadien pour la cybersécurité : gestion des accès, mises à jour régulières, sauvegardes testées. L’objectif n’est pas l’invulnérabilité, mais rendre une intrusion nettement plus difficile et limiter les conséquences si elle survient malgré tout.
Sources
- Radio-Canada, via Google Actualités · presse, 2026
- Centre canadien pour la cybersécurité : contrôles de cybersécurité de base pour les petites et moyennes organisations · liste de contrôles de référence
- Commission d’accès à l’information du Québec · obligations, registre des incidents et notification
