Vol de données massif chez Desjardins La preuve libérée, l’enquête peut avancer

Le projet Portier de la Sûreté du Québec sur le vol massif de données chez Desjardins pourra enfin avancer plus rondement. Plus de deux ans après une perquisition dans les bureaux du Mouvement, la police a enfin accès à la preuve qu’elle y a saisie, après un long processus pour déterminer ce qui doit rester confidentiel. Les procureurs ne déposeront cependant pas d’accusations avant l’automne, selon nos informations.

Près de quatre ans après que Desjardins a annoncé la gigantesque fuite d’informations, personne n’est encore accusé. L’ex-employé du Mouvement Sébastien Boulanger-Dorval est soupçonné d’avoir mis la main sur les données et de les avoir transmises à l’homme d’affaires Jean-Loup Leullier-Masse, qui les aurait ensuite revendues à un groupe de courtiers de Québec.

Des accusations pourraient être déposées d’ici la fin de l’année, selon une source au fait de l’enquête, qui n’a pas l’autorisation d’en parler. La fuite a fait quelque neuf millions de victimes.

La Sûreté du Québec (SQ) a refusé de donner plus de détails. « On poursuit notre enquête, mais on ne la commente pas, dit Benoît Richard, porte-parole. S’il y a lieu, on va soumettre notre dossier au Directeur des poursuites criminelles et pénales. »

Desjardins se réjouit de ce développement, dit la porte-parole Chantal Corbeil. « Tout ce qu’on veut, c’est la même chose que la police : que le dossier avance et que des accusations soient déposées. »

Quatre jours de perquisition

En février 2021, la SQ a perquisitionné pendant quatre jours dans les bureaux du Mouvement au Complexe Desjardins et rue Peel, à Montréal. La police avait toutefois pris soin de présenter en même temps une requête « Lavallée ». Cette procédure prévoit qu’un amicus curiae (ami de la cour) – un avocat indépendant – départage ce que les autorités peuvent utiliser en preuve, et ce qui doit rester confidentiel en vertu notamment du privilège avocat-client.

C’est ce travail qui s’est terminé jeudi. Au départ, la SQ estimait à six mois les délais nécessaires. Il aura finalement fallu quatre fois plus de temps pour passer la preuve en revue.

« Considérant la complexité de la requête et les intérêts parfois divergents des parties, nous sommes déjà bloqués assez tôt dans l’application du protocole », déplorait le procureur Richard Rougeau en Cour supérieure, en avril 2021.

À l’époque, les discussions entre le Ministère et Desjardins s’enlisaient sur le choix de l’amie de la cour qui serait chargée de départager la preuve divulgable des éléments privilégiés.

Les avocats du ministère public et ceux de Desjardins ont mis cinq mois à s’entendre sur la bonne façon de procéder. Puis, de nombreuses considérations juridiques et technologiques ont ralenti l’enquête de la police sur cette brèche de données massive.

Les avocats ont ensuite aménagé une salle sous haute sécurité dans les locaux du Mouvement.

Des spécialistes de la division technologique de la SQ ont dû examiner des millions de fichiers. Ils ont travaillé sous la surveillance étroite d’avocats de Desjardins, puis d’agents de sécurité.

Leurs ordinateurs « entièrement sécurisés » étaient déconnectés de tout réseau, pour empêcher toute fuite d’information. Dans son rapport, l’amie de la cour Solanie Ann Picard Turcot explique que les appareils ne pouvaient accueillir « que des clés USB ou disques durs externes ayant une configuration spécifique que seule l’équipe de la sécurité informatique de Desjardins peut installer ou modifier ».

Son compte rendu donne une idée de la complexité du processus. Par exemple, en février 2022, les avocats sont tombés sur un os en voulant traiter une masse de documents en format « chiffrier ». « Les fichiers ayant une extension .XML sont au nombre de plus de quatre millions et leur traitement […] présente des difficultés substantielles », relate dans son rapport l’amie de la cour.

Une saisie (trop ?) précoce

En plus de Desjardins, le principal suspect a lui aussi dû accepter de libérer certains éléments de preuve saisis. Desjardins avait fait saisir les équipements informatiques que Boulanger-Dorval utilisait à son bureau du siège social de Lévis et à sa résidence. Le Mouvement avait obtenu la permission en vertu d’une ordonnance Anton Piller, une procédure civile qui lui a permis de saisir du matériel chez son employé.

La police de Laval, qui a commencé l’enquête après avoir reçu les premières plaintes, avait d’ailleurs prévenu le Mouvement contre le danger de procéder lui-même à cette collecte de preuve, en mai 2019. Le détective Patrick French leur a alors répété de ne pas agir sans l’accord de la police, « dans le but de ne pas nuire à l’enquête en cours », selon une déclaration rédigée pour obtenir un mandat de perquisition.

Desjardins est tout de même allé de l’avant et son employé a été « mis au courant » de l’opération. Boulanger-Dorval a alors pu faire disparaître des informations, comme l’a rapporté La Presse en octobre 2021.

La porte-parole du Mouvement, Chantal Corbeil, expliquait alors que l’institution financière voulait « mettre fin le plus rapidement possible à ce stratagème » pour arrêter les dommages.

Des documents policiers ont permis de confirmer qu’un groupe de courtiers en hypothèques et en assurances de Québec sont soupçonnés d’avoir mis la main sur les données. Plusieurs d’entre eux ont d’ailleurs été condamnés par leurs conseils de discipline. C’est le cas de Mathieu Joncas, un courtier hypothécaire et prêteur privé condamné à 36 000 $ d’amende et 420 jours de suspension pour avoir acheté des listes de données sur des clients de Desjardins.

Son associé, le courtier en assurances François Baillargeon-Bouchard, a quant à lui écopé d’amendes totalisant 40 000 $ pour avoir acquis des listes de clients et avoir « tenté d’entraver les fonctions d’un représentant de l’Autorité des marchés financiers ».

La police s’intéresse aussi à son ancien employé, Nicolas Fecteau-Tincau, un adepte d’arts martiaux mixtes qui a perdu son permis de courtier en assurances en octobre 2022 à cause de son casier criminel.