Des accusations de vol de données et d’importation d’armes ont été portées contre une ancienne employée d’un organisme public canadien. Selon Transport Routier, dans un article du 12 novembre 2026, c’est l’Unité permanente anticorruption qui a porté ces accusations.
L’essentiel
- Des accusations de vol de données visent une ancienne employée d’une société d’État canadienne d’assurance automobile.
- Le risque interne existe dans toute organisation : les accès d’un employé qui part doivent être retirés sans délai.
- Une PME peut vérifier cette semaine qui détient encore un accès à ses données, sans aucun outil particulier.
Ce que l’on sait de l’incident
L’affaire se situe au Canada et concerne un organisme public, une société d’État d’assurance automobile. La source ne précise ni la ville, ni la période des gestes reprochés, ni la nature exacte des renseignements visés. À ce stade, il s’agit d’accusations, pas d’une condamnation.
Transport Routier rapporte, le 12 novembre 2026, que les accusations portent à la fois sur du vol de données et sur l’importation d’armes. La source ne dit pas comment les données auraient été obtenues, ni combien de personnes seraient touchées. Nous nous en tenons à ce qui est publiquement établi.
Ce qui est intéressant pour un dirigeant, ce n’est pas le détail judiciaire : c’est le type de scénario. Une personne qui a eu un accès légitime à des renseignements personnels dans le cadre de son travail reste, longtemps après, une porte d’entrée possible vers ces renseignements.
Le départ d’un employé est un moment de vigilance
Dans une petite équipe, les accès s’accumulent au fil des années : courriels, dossiers partagés, logiciel de paie, portail bancaire, compte du fournisseur de téléphonie. Au départ d’un employé, on récupère l’ordinateur et la clé du bureau, mais on oublie souvent les comptes. Ils restent ouverts.
Le mécanisme général est banal. Personne n’a dressé la liste des accès accordés, donc personne ne peut la défaire proprement. S’ajoutent les comptes partagés dont le mot de passe n’est connu que de quelques personnes, et qui n’est jamais changé après un départ. Une PME de quelques employés est aussi concernée qu’un grand organisme : la quantité de données diffère, pas la logique.
Le Centre canadien pour la cybersécurité range la gestion des comptes et des privilèges parmi ses contrôles de base pour les petites et moyennes organisations. C’est d’abord affaire de discipline, même si la revue et le retrait des accès peuvent demander du temps ou des moyens selon l’environnement. Et il faut le dire franchement : aucun prestataire ne peut garantir un risque zéro sur le facteur humain.
Les vérifications à faire cette semaine
Il s’agit de reconstituer la liste des accès de votre organisation, de la confronter à celle de vos employés actuels, puis d’examiner chaque compte qui ne correspond à personne en poste : certains comptes de service ou de prestataire restent légitimes. Selon votre environnement, cette revue peut demander du temps de votre prestataire ou des moyens supplémentaires.
Demandez à votre prestataire informatique la liste complète des comptes actifs, en précisant à qui chacun appartient. Faites valider cette liste par la direction, qui seule sait qui travaille encore chez vous. Pour chaque compte sans titulaire identifié, vérifiez son propriétaire, son usage et sa nécessité avant de le désactiver : un compte de service ou un accès de prestataire peut être indispensable au fonctionnement courant. Confiez à la comptabilité la vérification des accès aux services bancaires et au logiciel de paie, souvent oubliés parce qu’ils ne passent pas par l’informatique. Inscrivez enfin le retrait des accès dans votre procédure de départ, au même titre que la remise des clés.
Un vol de renseignements personnels ne se mesure pas en frais informatiques. Il se mesure en clients qui doivent être avisés, en confiance entamée et en temps de direction consacré à gérer la crise plutôt que les affaires.
FAQ
Un ancien employé peut-il encore accéder aux données de mon entreprise ?
Oui, si ses comptes n’ont pas été désactivés. Certaines organisations disposent d’une procédure automatisée qui coupe les accès au départ, mais elle ne couvre pas toujours tous les services : courriel professionnel, dossier partagé en ligne, accès à distance, outils souscrits directement par une équipe. Nous recommandons de vérifier, service par service, que le retrait des accès a bien eu lieu, plutôt que de le supposer. Prévoyez aussi le changement des secrets partagés, mots de passe de comptes communs et codes d’accès, au moment du départ.
Que dit la Loi 25 si des renseignements personnels sortent de mon entreprise ?
La loi québécoise sur la protection des renseignements personnels dans le secteur privé impose aux entreprises de tenir un registre des incidents de confidentialité. Lorsqu’un incident présente un risque de préjudice sérieux, la Commission d’accès à l’information et les personnes concernées doivent être avisées. Cette obligation s’applique quelle que soit la taille de l’entreprise, y compris à un commerce de quelques employés.
Comment réduire le risque interne dans une petite équipe ?
En donnant à chacun les accès dont son poste a réellement besoin, et rien de plus. Évitez les comptes partagés quand c’est possible, puisqu’ils rendent impossible de savoir qui a fait quoi. Documentez qui a accès à quoi sur une simple feuille tenue à jour. Ces gestes ne suppriment pas le risque, mais ils rendent ce scénario nettement plus difficile.
Sources
- Transport Routier, via Google Actualités · presse, 12 novembre 2026
- Centre canadien pour la cybersécurité : contrôles de cybersécurité de base pour les petites et moyennes organisations · liste de contrôles de référence
- Commission d’accès à l’information du Québec · obligations, registre des incidents et notification
Article préparé par la veille de RISS Canada à partir des sources publiques citées ci-dessus, avec l’aide d’outils d’intelligence artificielle, puis contrôlé selon notre charte éditoriale.
