La sécurité du réseau de Vidéotron mise en péril par un employé

La sécurité du réseau de Vidéotron a été sérieusement mise en péril, le printemps dernier. Un ex-employé frustré a donné des sueurs froides à l’entreprise en s’emparant de milliers de documents « hautement confidentiels et sensibles ». C’est ce qu’allègue Vidéotron, qui a dû se tourner vers une procédure judiciaire exceptionnelle pour éviter le pire.

L’histoire était frappée jusqu’à tout récemment par de strictes ordonnances de confidentialité. Celles-ci ont toutefois été levées par la Cour supérieure à la mi-juillet, à la suite de l’intervention de La Presse. Les centaines de milliers de clients du leader québécois des communications n’ont donc rien su de cette affaire.

« Nous pouvons confirmer que les renseignements personnels de nos clients n’ont aucunement été affectés par les agissements de M. Zheng », a réagi Vidéotron dans un courriel non signé. Notre demande d’entrevue a été refusée en raison du processus judiciaire en cours.

Les allégations de Vidéotron tirées de documents judiciaires n’ont pas été tranchées sur le fond par les tribunaux. Cela dit, la Cour supérieure a quand même tenu pour « avérées » ces allégations pour autoriser la saisie des documents au domicile de Paul X. Zheng en mars dernier. Notons que ce dernier n’est accusé d’aucun crime.

Formé en génie en Chine dans les années 1980 et titulaire d’une maîtrise en génie à Polytechnique Montréal, Paul X. Zheng nie fermement avoir communiqué à un tiers de l’information confidentielle appartenant à Vidéotron. Essentiellement, il estime que ce qu’on lui reproche n’est qu’un prétexte pour justifier son congédiement injuste et abusif. Il réclame ainsi 60 000 $ à son ex-employeur.

S’il a téléchargé des documents chez lui, c’est parce que l’équipement informatique fourni par ses patrons était, selon lui, « vétuste et inapproprié » pour son travail de programmation. Ainsi, il devait exécuter son travail sur son propre équipement personnel, soutient-il dans sa défense produite à la cour. Paul X. Zheng soutient que cette pratique « temporaire » était connue de son supérieur. De plus, elle était nécessaire pour ses tâches en cas de panne de réseau.

Sécurité du réseau « compromise »

Février 2023. Paul X. Zheng est analyste dans l’équipe d’accès filaire de Vidéotron depuis 2018. Ses responsabilités lui donnent accès à une kyrielle d’informations sensibles et confidentielles concernant le réseau internet résidentiel de Vidéotron. Récemment, sa performance s’est détériorée et sa relation s’est « dégradée » avec la direction, allègue Vidéotron.

Quand ses patrons lui présentent un plan de redressement, Paul X. Zheng réagit mal. L’analyste tient des propos impolis et irrespectueux, et son attitude est « hostile » pendant la rencontre, avance Vidéotron. Sa réaction est si « préoccupante » que l’entreprise craint qu’il ne dérobe des informations confidentielles.

Deux heures plus tard, Vidéotron constate que Paul X. Zheng a transféré environ 1300 fichiers de l’entreprise vers son compte Gmail personnel. On lui coupe ses accès. Confronté par ses patrons, il nie avoir téléchargé des documents confidentiels. « Ce qui était faux », allègue Vidéotron.

C’est le branle-bas de combat. Vidéotron découvre que Paul X. Zheng semble sévir depuis septembre 2022. Il a téléchargé une « quantité importante de renseignements, documents et informations hautement sensibles et confidentiels ». Il est question de près de 20 000 documents transférés sur ses comptes externes personnels et de 4250 documents envoyés à une adresse courriel depuis le mois de septembre 2022.

La fuite est prise très au sérieux par Vidéotron. En effet, les conséquences pourraient se chiffrer en millions de dollars. Si ces documents volés sont utilisés avec une mauvaise intention, la sécurité du réseau et des infrastructures pourrait même être « compromise », s’inquiète Vidéotron.

« Il existe un risque réel pour la sécurité du réseau IP de Vidéotron », craint l’entreprise.

C’est que Paul X. Zheng ne s’est pas approprié de l’information banale. Bien au contraire. Les milliers de documents appropriés contiennent des renseignements « hautement confidentiels et sensibles », comme des plans du réseau internet résidentiel, des scripts opérationnels, des procédures de mise en marche et des feuilles de route technologiques.

Vidéotron énumère ainsi une longue liste de « préjudices graves » que pourrait entraîner ce vol.

« Un individu malveillant pourrait procéder à des attaques ciblées pouvant possiblement résulter, entre autres, en dénis de service pour nos clients résidentiels et affaires, en vol de service ou en vol d’information, si certaines informations étaient rendues publiques, telles que la topologie réseau, la liste de contrôle d’accès, les scripts et les procédures opérationnelles », s’inquiète Vidéotron.

Les préoccupations de Vidéotron sont nombreuses : un concurrent pourrait utiliser de l’information stratégique à son avantage, des fournisseurs pourraient la poursuivre si des données confidentielles étaient divulguées et la réputation de Vidéotron pourrait être ternie.

C’est dans ce contexte extrêmement urgent que Vidéotron s’est adressée à la Cour supérieure, le 3 mars dernier, dans le cadre d’une requête en injonction de type Anton Piller. Ce véhicule procédural exceptionnel permet à quelqu’un de mener une perquisition chez un individu, une mesure généralement réalisée par les policiers. La personne visée n’est évidemment pas informée au préalable.

Trois jours plus tard, la juge France Dulude a autorisé les représentants de Vidéotron à entrer dans la résidence de Paul X. Zheng dans le quartier Notre-Dame-de-Grâce et à y saisir tous les documents appartenant à l’entreprise. Pendant des mois, un expert en informatique a épluché les disques durs et clés USB saisis chez Paul X. Zheng.

Les documents rendus publics par le juge Marc-André Blanchard ne permettent pas de savoir si des tiers ont pu mettre la main sur les documents et si les craintes de Vidéotron se sont avérées. La liste des documents détenus par M. Zheng est toujours sous scellés.

Un employé zélé

Dans sa défense, écrite par M^e Paul-Yvan Martin, Paul X. Zheng assure qu’il se consacrait avec « zèle » à son travail, se portant même volontaire à Noël et au Nouvel An. Cependant, depuis mai 2022, il occupait dans ses temps libres un second emploi pour un équipementier de Vancouver.

Paul X. Zheng se montre très critique à l’égard des pratiques de Vidéotron. Il estime que l’entreprise québécoise éprouvait des « problèmes d’inefficacité de ses services d’ingénierie ainsi que des cas d’inconduite dans les pratiques d’ingénierie, entraînant des coûts d’exploitation élevés ».

Paul X. Zheng lie son congédiement « injustifié » à la conduite de son patron, qu’il juge vexatoire. Il soutient que son supérieur a mal réagi lorsque Paul X. Zheng lui a souligné son manque de compétence et ses inquiétudes concernant la vétusté de son équipement. Cela dit, il nie avoir été impoli envers ses patrons et assure n’avoir jamais « prononcé quoi que ce soit justifiant une crainte d’utilisation malveillante » d’information.

Notons que Paul X. Zheng est aussi connu sous le nom de Paul Xiaowu Zheng ou de Xiaowu Zheng, selon les inscriptions au Registre foncier et au Registre des entreprises. Par ailleurs, M. Zheng a détenu de 2009 à avril 2023 une entreprise spécialisée dans « l’industrie de l’équipement de télécommunication » nommée DRX Solution. Toutefois, son entreprise n’a jamais opéré et n’a jamais eu de client, selon son avocat.