On imagine toujours l’attaquant à l’autre bout du monde, encapuchonné devant six écrans. La réalité est souvent plus banale, et plus proche.

L’essentiel

  • La plus grande fuite de données de l’histoire canadienne est partie de l’intérieur.
  • Aucun logiciel malveillant sophistiqué : un accès trop large, accordé à une personne.
  • Deux principes ferment l’essentiel du scénario : moindre privilège et traçabilité.
  • Les données ont refait surface six ans après, ce qui rend la fuite durablement exploitable.

Que s’est-il réellement passé chez Desjardins ?

Entre 2019 et 2025, un employé interne a exfiltré illégalement les renseignements personnels de membres du Mouvement Desjardins. Au total, 9,7 millions de membres et clients ont été touchés. Le Projet Portier de la Sûreté du Québec a mené à plusieurs arrestations le 13 juin 2024.

Les chefs retenus couvrent la fraude, le vol d’identité et le trafic de renseignements. Puis, en octobre 2025, les données d’environ un million de Québécois ont refait surface sur le dark web, dans une tentative d’extorsion.

Ce dernier point mérite l’attention d’un dirigeant plus que le volume initial. Une fuite de renseignements personnels n’a pas de date d’expiration : elle se revend, se recoupe avec d’autres jeux de données et alimente des fraudes des années après l’incident.

timeline title Anatomie d'une fuite interne 2019 : Exfiltration par un employe 2024 : Arrestations (Projet Portier) 2025 : Reapparition sur le dark web

Pourquoi la menace interne est-elle si mal couverte ?

Parce que les outils de sécurité sont conçus pour repérer un intrus, pas un collègue. Un employé qui consulte des dossiers auxquels ses droits lui donnent accès ne déclenche aucune alerte. Sans journalisation des consultations et sans limitation des droits, l’incident reste invisible jusqu’à ce qu’un tiers le révèle.

Il n’y a eu ici ni faille « zero-day », ni logiciel malveillant élaboré. Un accès trop large, accordé à une personne, sans cloisonnement suffisant ni journalisation capable de lever l’alerte à temps.

La menace interne n’est d’ailleurs pas toujours malveillante. La négligence produit les mêmes effets : un export de base de données envoyé à une adresse personnelle pour « travailler ce soir », un fichier client déposé dans un service de partage grand public. Aucune intention de nuire, et pourtant un incident de confidentialité au sens de la Loi 25.

Comment s’en protéger dans une PME ?

Deux principes, non négociables, et une conséquence pratique. Le moindre privilège : chacun n’a accès qu’à ce dont il a strictement besoin. La traçabilité : savoir qui a consulté quoi, et quand. Sans journaux, un incident reste invisible jusqu’au désastre.

  • Le moindre privilège. L’exercice utile consiste à lister, pour chaque rôle, les données auxquelles il doit accéder, puis à comparer avec les droits réellement en place. L’écart surprend presque toujours.
  • La traçabilité des consultations sensibles. Journaliser les accès aux données de clients ou d’employés, et conserver ces journaux hors de portée de ceux qu’ils enregistrent.
  • La séparation des tâches. Une même personne ne devrait pas pouvoir à la fois exporter une base et effacer la trace de cet export.
  • Le départ comme événement de sécurité. Une liste de contrôle de départ, aussi systématique que la remise des clés, qui révoque les accès le jour même.

Nous accompagnons les PME pour resserrer les accès, tracer les consultations sensibles et détecter les comportements anormaux, avant qu’ils ne fassent la une.

FAQ

Surveiller ses employés est-il légal au Québec ?

Journaliser les accès à des systèmes professionnels est une mesure de sécurité usuelle et attendue, y compris par la Commission d’accès à l’information, qui exige des mesures proportionnées à la sensibilité des renseignements. Ce qui est encadré, c’est la finalité et la transparence : la surveillance doit viser la protection des données, être proportionnée, et les employés doivent en être informés. Une politique écrite, communiquée et appliquée uniformément est le cadre habituel.

Nous sommes dix personnes, la séparation des tâches est-elle réaliste ?

Pas sous sa forme théorique, et il ne faut pas s’y épuiser. Ce qui reste applicable est plus simple : identifier les deux ou trois opérations vraiment sensibles, par exemple l’export de la base clients ou la modification des coordonnées bancaires d’un fournisseur, et exiger qu’une seconde personne les valide. Le reste peut rester fluide sans exposer l’organisation.

Comment détecter une exfiltration en cours ?

Par des signaux de volume et d’habitude plutôt que par des signatures. Un compte qui consulte en une journée plus de dossiers que dans son mois habituel, une connexion à une heure inusitée, un volume de téléchargement inhabituel. Ces comparaisons supposent de connaître le comportement normal de l’environnement, ce qui est précisément ce que les outils de détection modernes apprennent, et ce qu’une simple règle de seuil ne sait pas faire.

Sources