Desjardins: les vols de données pourraient avoir débuté avant février 2017

Les données personnelles des clients de Desjardins ont-elles commencé à être volées trois ans avant que cette retentissante affaire n’éclate, au milieu de l’année dernière ?

C’est du moins ce que l’on pourrait croire à la lecture d’une requête déposée à la fin du mois dernier par l’Autorité des marchés financiers (AMF) contre un courtier de Québec qui aurait acheté des listes de noms provenant des informations dérobées à plus de quatre millions de clients de l’institution financière québécoise.

L’AMF a déposé sa requête au Tribunal administratif des marchés financiers afin de suspendre le permis du courtier en épargne, assurances et prêts hypothécaires François Baillargeon-Bouchard, de la région de Québec, et de le remplacer à la tête d’une société à numéro dont il est le président, en attendant que l’Autorité termine une enquête en cours.

Selon l’AMF, Baillargeon-Bouchard aurait acheté à un prêteur, Jean-Loup Leullier Masse, au moins six listes de clients de Desjardins, pour une somme de 40 000 $, dans le but de faire croître sa clientèle et d’offrir des produits mieux ciblés.

Selon la requête, durant un interrogatoire avec des enquêteurs de l’AMF et de la Chambre de la sécurité financière, le 29 octobre 2019, Baillargeon-Bouchard a dit avoir payé 1 $ par client de Desjardins dont les renseignements lui étaient communiqués.

Le courtier a également raconté avoir acheté une première liste test à Leullier Masse, puis en avoir acquis six autres à partir de février 2017, ce qui laisse croire que les vols de données de clients de Desjardins auraient commencé avant cette date, peut-être même à la fin de 2016.

« Nous n’avons jamais mentionné à partir de quelle date l’employé malveillant aurait commencé à dérober les données. Ce que je peux vous dire, c’est qu’il l’aurait fait plus d’une fois, mais nous ne confirmerons ni n’infirmerons aucune date pour ne pas nuire à l’enquête policière en cours », a déclaré à La Presse la porte-parole du Mouvement Desjardins, Chantal Corbeil.

Jusqu’en octobre dernier

L’AMF soupçonne également François Baillargeon-Bouchard d’avoir continué à utiliser des listes de clients de Desjardins après que l’affaire eut éclaté, en juin 2019, d’avoir mis sur pied une structure destinée à le dissocier des clients de Desjardins et des listes de noms, d’avoir continué à utiliser les listes après avoir fait l’objet d’une perquisition par la police, le 17 septembre 2019, et même d’avoir continué à utiliser les listes jusqu’en octobre dernier.

Baillargeon-Bouchard a raconté aux enquêteurs qu’il connaissait Jean-Loup Leullier Masse depuis quelques années, qu’il avait déjà travaillé pour un ami. Leullier Masse avait accès à des listes de clients ayant des prêts hypothécaires auprès de diverses institutions financières, dont Desjardins, et il voyait un potentiel à acheter les listes de clients de Desjardins plus que des autres banques, car Desjardins est la seule à inclure le montant de l’assurance dans le taux d’intérêt hypothécaire, peut-on lire dans le document.

Il a dit vouloir ainsi permettre aux clients de réaliser des économies et avoir acheté des listes de clients ayant des prêts hypothécaires auprès de Desjardins uniquement.

Baillargeon-Bouchard a affirmé n’avoir jamais questionné Leullier Masse sur la provenance des listes, et n’avoir eu aucune raison de croire que celles-ci avaient été obtenues illégalement. Il a ajouté qu’il avait encore ces listes, mais qu’il ne les utilisait plus.

Enquêteurs incrédules

Le 7 novembre dernier, une semaine après son interrogatoire, François Baillargeon-Bouchard a envoyé une liste de plus de 500 pages aux enquêteurs, que ceux-ci ont jugée tronquée.

Les enquêteurs l’ont rencontré une deuxième fois, le 16 décembre. Baillargeon-Bouchard leur a dit avoir supprimé les listes de son ordinateur après que son téléphone eut fait l’objet d’une perquisition par la police, deux mois plus tôt, et assuré qu’il avait trouvé plusieurs informations de clients sur des sites gouvernementaux publics.

Mais les enquêteurs de l’AMF et de la Chambre de la sécurité financière ne l’ont pas cru. Leur enquête démontre qu’au moins un représentant qui a une entente de partage de commission avec Baillargeon-Bouchard a rencontré des clients figurant sur les listes de Leullier Masse jusqu’en octobre 2019.

Les enquêteurs reprochent également au courtier d’avoir embauché, en tant que téléphoniste, un ex-courtier hypothécaire radié par l’Organisme d’autoréglementation du courtage immobilier du Québec.

« L’Autorité ajoute que les versions contradictoires fournies par Baillargeon-Bouchard dans le cadre de ses interrogatoires, lesquelles sont par ailleurs contredites par d’autres témoins, rendent son témoignage peu crédible quant à son ignorance du fait que de telles listes de clients ne pouvaient pas être légalement obtenues via des plateformes internet.

« La structure mise en place par Baillargeon-Bouchard pour la prospection des clients dont les coordonnées apparaissaient sur les listes acquises de Leullier Masse soulève également des doutes importants sur la valeur de son témoignage et son affirmation à l’effet qu’il croyait sincèrement que les listes avaient été obtenues légalement », écrit M^e Sylvie Boucher, du contentieux de l’AMF, dans sa requête.

« Il est à craindre que l’intimé Baillargeon-Bouchard puisse continuer à utiliser les listes de clients comportant des informations personnelles obtenues illégalement suivant la fuite de renseignements personnels chez Desjardins et que de ce fait, la protection du public soit compromise », ajoute l’avocate, pour motiver sa demande de suspension du permis du courtier.

Ni François Baillargeon-Bouchard, ni Jean-Loup Leullier Masse, ni l’ex-employé de Desjardins soupçonné d’avoir dérobé les informations des quatre millions de clients n’ont été arrêtés ou accusés relativement à toute cette affaire, et les éléments contenus dans cette requête de l’AMF n’ont pas subi l’épreuve des tribunaux.

Pour joindre Daniel Renaud, composez le 514 285-7000, poste 4918, écrivez à drenaud@lapresse.ca ou écrivez à l’adresse postale de La Presse.