Vol de données massif chez Desjardins Bientôt cinq ans d’enquête, et ça se poursuit

La Sûreté du Québec planchera sur le dossier « au moins » jusqu’en juin prochain.

La police en a encore « au moins » jusqu’en juin pour terminer son Projet Portier sur le vol massif de données survenu chez Desjardins. Cela fera alors plus de cinq ans que les enquêteurs travaillent sur la plus importante fuite d’informations survenue au Québec. Des documents rendus publics révèlent aussi une qu’une enquête parallèle sur les vols d’identité réalisés avec les renseignements personnels dérobés est en cours.

« Je suis d’avis qu’il me faudra au moins 12 mois pour compléter toutes mes obligations afin de mener à terme l’enquête », précisait la sergente Catherine Gohier de la Sûreté du Québec en juin dernier, dans une demande récemment rendue publique pour pouvoir conserver des biens saisis.

Les policiers en auraient donc encore jusqu’à l’été prochain.

La SQ dit préparer son dossier pour le remettre au Directeur des poursuites criminelles et pénales. Son « précis des faits », qui sert à transmettre l’information aux procureurs, était terminé « à 75 % » en juin dernier, selon ses déclarations.

Le 5 décembre, la juge Mélanie Hébert de la Cour du Québec a permis à la police de conserver jusqu’en août ses éléments de preuve potentiels.

Une sous-enquête sur les vols d’identité

D’autres documents rendus publics révèlent par ailleurs qu’une « sous-enquête » avance en parallèle de Portier : le « Projet D ». Il porte sur les fraudes à l’identité réalisées à l’aide des renseignements dérobés au Mouvement, entre 2016 et 2019.

L’enquêtrice principale à ce dossier, Kathleen Floyd, a demandé et obtenu la permission de conserver jusqu’en juillet des éléments de preuve potentiels, saisis en 2021 dans le cadre de cette opération.

La police évoque notamment une perquisition touchant Anis Rayane Bacha, un nom qui n’avait toujours pas été cité dans les documents déposés en cour jusqu’à maintenant en lien avec le vol de données. Le lourd caviardage des déclarations policières empêche toutefois d’en savoir plus.

Selon les registres judiciaires, Bacha, 25 ans, doit être jugée à Salaberry-de-Valleyfield pour utilisation non autorisée d’ordinateur et de carte de crédit, vol d’identité, usage de faux documents et contrefaçon. Ces infractions seraient survenues en 2019 et en 2020.

La dénonciation ne précise pas si l’affaire est liée aux données de Desjardins et son avocat Ramy El-Turaby n’a pas rappelé La Presse pour l’éclairer à ce sujet.

11 sujets d’intérêt

Au total, l’enquête principale, Portier, vise 11 personnes et 14 entreprises. Neuf policiers de la SQ travaillent à mener le projet à terme. Ils ont rencontré 107 témoins, dont une vingtaine d’employés de Desjardins.

Parmi les suspects figurent notamment huit courtiers, ex-courtiers et prêteurs privés des régions de Québec et de Montmagny, dont Charles Bernier, Mathieu Joncas et François Baillargeon-Bouchard. Ils sont soupçonnés d’avoir racheté des données volées pour les revendre ou « obtenir un avantage concurrentiel », selon les déclarations policières déposées dans ce dossier.

Parmi les suspects figure aussi un certain Patrick Richard. Pour la première fois, une version moins caviardée d’une déclaration policière permet d’apprendre que ce courtier se serait lui aussi « approprié des listes de clients de Desjardins » pour « avoir un avantage concurrentiel ».

3,85 millions de profils chez un fraudeur

Les informations rendues publiques confirment le rôle central qu’auraient joué Juan Pablo Serrano et son colocataire Maxime Paquette dans la diffusion des données volées. La SQ a mené une perquisition fructueuse dans leur appartement de l’avenue Terry-Fox à Laval en septembre 2019, avec « entrée dynamique » (les policiers ont défoncé la porte).

Selon les enquêteurs, Serrano est l’un des premiers à avoir acheté à Jean-Loup Leullier-Masse des données volées. Ce prêteur privé les aurait lui-même acquises de l’ex-employé de Desjardins Sébastien Boulanger-Dorval, suspect numéro un.

Selon la déclaration de la SQ, Serrano et Paquette avaient chez eux un fichier contenant 3,85 millions de profils de membres du Mouvement.

« Serrano vend des listes de données nominatives provenant de Desjardins à différents sujets impliqués dans la fraude », affirmait l’enquêteuse au dossier Portier, en juin dernier.

Les archives judiciaires révèlent son lourd passé criminel : fraude, vol, entrave à une enquête policière, infractions liées à des cartes de crédit…

Les appareils saisis chez Serrano contiendraient des notes de suivi sur 61 personnes ayant été victimes de fraudes bancaires et de vol de données, des adresses de redirection pour faire livrer des cartes frauduleuses et de fausses pièces d’identité.

Les documents mentionnent aussi une « alliance » entre Serrano et un individu dont le nom est caviardé, ainsi que « leurs discussions au sujet des données de Desjardins ».

Contacté au moyen de son compte Telegram, Serrano n’a fait aucun commentaire.

Quant à son colocataire Maxime Paquette, mentionné tant dans l’enquête Portier sur le vol de données que dans le Projet D sur les vols d’identité, la SQ signalait dans une autre déclaration qu’il « présente des antécédents en matière de violence et d’armes offensives ».

Joint par La Presse, son avocat François Létourneau-Prézeau assure qu’il ignore à quoi les policiers font référence, ajoutant que son client n’a ni « été déclaré coupable » ni « plaidé coupable à un évènement de violence ».

L’avocat de Paquette rappelle que son client « est présumé innocent ». « Le dossier est sous enquête depuis des années, aucune accusation dans ces causes n’a été portée à ce jour et nous ne savons pas s’il y en aura. »