Disant prendre « très au sérieux » l’usurpation des codes QR de plusieurs élus de l’Assemblée nationale par un hacker, le ministère de la Santé et des Services sociaux (MSSS) indique avoir déposé des « plaintes formelles » à la police pour qu’elle mène enquête.
La Presse et le Journal de Montréal ont rapporté ce vendredi que les codes QR contenant informations vaccinales de plusieurs élus, dont celles du premier ministre François Legault et de son ministre responsable de la Protection des renseignements personnels, Éric Caire, ont été compromis à la suite de la découverte d’une faille dans le portail de libre-service du gouvernement.
Lisez l’article « Les codes QR de plusieurs élus compromis »Le pirate qui a découvert cette faille s’est servi d’informations glanées sur les réseaux sociaux et sur l’internet pour déjouer le système de sécurité et télécharger illicitement les codes QR des élus. Le regroupement de spécialistes en sécurité informatique HackFest a informé le gouvernement de cette faille jeudi.
À partir du 1er septembre, ces codes serviront de passeport vaccinal partout au Québec.
Dans un tweet publié en matinée, le ministre de la Santé et des Services sociaux, Christian Dubé, a affirmé que la technologie demeure sécuritaire. « Le code QR et les renseignements personnels qu’il contient ne peuvent être utilisés sans le consentement des personnes. Les contrevenants s’exposent à des poursuites civiles/criminelles », a-t-il écrit.
Dans un communiqué intitulé « Précision concernant un usage inapproprié de codes QR », le MSSS indique que « les autorités compétentes feront enquête et détermineront si des accusations criminelles doivent être déposées. »
Les personnes qui tenteraient d’usurper l’identité d’une autre personne en téléchargeant illégalement le code QR d’une autre personne « s’exposent à des sanctions importantes pouvant entraîner des poursuites civiles et criminelles. »
La publication d’informations concernant la faille de sécurité par l’organisme Crypto. Québec, jeudi après-midi, a provoqué un branle-bas dans la communauté de la sécurité informatique. Crypto. Québec a retiré sa publication de Facebook tard en soirée, après avoir discuté avec des responsables du MSSS.
Selon nos informations, plusieurs personnes actives dans le milieu des « hackers éthiques », qui avaient partagé les codes QR d’élus, se sont empressées de les supprimer.
Les codes QR fournis par Québec ne sont pas chiffrés. Les informations qu’ils contiennent peuvent être lues facilement avec l’application VaxiCode, rendue publique cette semaine par le gouvernement. On y trouve le nom, la date de naissance et le sexe du citoyen, ainsi que les dates et lieux où il a été vacciné, le nom du vaccin administré et son numéro de lot. Ces informations n’ont, a priori, pas de grande valeur pour des fraudeurs ou des personnes mal intentionnées.
Le MSSS précise par ailleurs qu’une pièce d’identité avec photo sera exigée par les commerçants pour valider l’identité des clients qui présenteront leur code QR. « Ainsi, en plus de s’exposer à des risques de poursuite, une personne qui voudrait utiliser le code QR d’une autre personne pour entrer dans un établissement exigeant le passeport vaccinal, s’en verrait refuser l’accès et sera rapportée aux autorités policières », précise le communiqué.
« Rappelons que nous sommes toujours en période de rodage, c’était justement l’objectif de rendre l’application disponible avant l’entrée en vigueur du passeport vaccinal le 1er septembre pour faire les ajustements nécessaires. Si des améliorations doivent être faites, elles seront faites », ajoute le communiqué.