Environ 250 000 travailleurs de la construction sont potentiellement victimes d’une fuite de données internationale qui touche un fournisseur d’assurances médicales de la Commission de la construction du Québec (CCQ). Plusieurs numéros de comptes bancaires ainsi que des sommaires de réclamations ont fuité entre les mains de pirates.

La CCQ annonce qu’elle offrira gratuitement aux travailleurs touchés un programme de surveillance pendant 24 mois avec Equifax, semblable à celui que Desjardins a offert à ses clients lors de la fuite de 2019. L’organisme a commencé en soirée lundi à envoyer par la poste des lettres d’information aux travailleurs touchés.

La fuite, œuvre d’un groupe de pirates informatiques appelé « Cl0p », date de juin dernier. C’est le fournisseur MOVEit, un logiciel de transferts de fichiers sécurisés, qui en a été la cible. Le vol d’information a touché à ce jour plus de 60 millions de personnes partout dans le monde, selon la firme Emsisoft.

Ce n’est cependant que le 13 octobre que la CCQ dit avoir eu la confirmation que des données de 250 000 travailleurs qui adhèrent à son régime collectif d’assurance maladie Médic Construction ont été exfiltrées par les pirates. « Le 24 octobre, nous avons su plus précisément qui a été touché et quelle est la nature des informations qui ont fuité », a expliqué à La Presse la PDG de la Commission, Audrey Murray.

Outre les prénoms, noms, adresses résidentielles et numéros de téléphone, les données dérobées incluent potentiellement des numéros de comptes bancaires de travailleurs.

« Dans certains cas, les sommaires relatifs à des réclamations pour des services de soins de santé ont aussi été piratés », a indiqué Audrey Murray. Aucun numéro d’assurance sociale n’aurait toutefois été volé, puisque ceux-ci n’étaient pas utilisés pour identifier les participants sur la plateforme.

« Nous avons fait une vigie sur le dark web lorsque nous avons appris le piratage, et nous croyons que les données n’ont pas voyagé », a ajouté la porte-parole.

Six mois après les faits

Pourquoi a-t-il fallu attendre six mois avant que la CCQ ait une confirmation du vol de données ? « Ce sont des questions que je me pose aussi. Nous avons confié un mandat à une firme externe pour faire la lumière à ce sujet », a dit Audrey Murray.

L’organisme, qui administre les avantages sociaux et le régime de retraite des travailleurs de la construction, précise que c’est le système d’un sous-traitant, Green Shield Canada, qui a été affecté par l’attaque. Les systèmes informatiques de la CCQ n’ont pas été directement touchés.

Autres victimes

Le piratage de MOVEit par les pirates de Cl0p a fait d’autres victimes au Québec. Parmi elles : l’assureur Beneva, frappé par le biais d’EY. Le cabinet comptable, qui lui fournit des services d’audit externe et d’états financiers, utilisait MOVEit pour faire transiter les données de son client quand il a été victime des pirates de Cl0p.

« Beneva a travaillé en étroite collaboration avec les représentants d’EY, notamment pour la transmission par EY des avis aux personnes concernées, expliquait Danielle Rioux en août dernier. Il était très important que ces dernières soient accompagnées dans le cadre de cette situation et qu’elles reçoivent dans les meilleurs délais un service de surveillance du crédit. »

EY a lui-même entrepris en août d’avertir les clients affectés. Dans une lettre à une assurée de Beneva que La Presse a obtenue en août, le cabinet mentionnait que les informations volées pouvaient inclure la date de naissance, le salaire, la condition médicale ainsi que des montants de rentes versées.

En Ontario, les données de BORN, un registre des naissances du ministère de la Santé, se sont aussi retrouvées compromises dans le piratage de MOVEit. Les pirates ont pu voler les informations sur 3,4 millions de mères et d’enfants, y compris des informations de santé personnelles issues de cliniques de fertilité et de soins aux enfants.

La fuite MOVEit a également touché l’Agence du revenu du Canada, mais l’organisation assurait à CBC l’été dernier que les données volées étaient soit déjà publiques, soit cryptées, donc illisibles.

Une filiale de la firme de génie montréalaise WSP s’est aussi fait voler « une petite quantité d’information ». Les données excluaient cependant toute information personnelle ou sensible, assurait Sandy Vassiadis, cheffe des communications mondiales, en août dernier.