Vol de données chez Desjardins De nouveaux détails sur les obstacles rencontrés par l’enquête policière

De nouveaux documents de cour sur le vol massif de données chez Desjardins rendus publics mercredi lèvent un peu plus le voile sur l’extrême complexité de l’enquête, où les intérêts du Mouvement, ceux du principal suspect et ceux de la police s’entrechoquent.

Le dossier devenu accessible aux médias totalise 461 pages. Il concerne l’enquête interne de Desjardins sur le vol et la saisie que le Mouvement a effectuée dans les bureaux de son ex-employé et suspect numéro un dans l’affaire, Sébastien Boulanger-Dorval.

Comme La Presse l’a déjà rapporté, cette perquisition civile, en vertu d’une ordonnance dite Anton Piller, a considérablement compliqué la tâche des policiers dans leur enquête criminelle. Les documents démontrent à quel point les autorités ont dû se battre pour accéder au matériel informatique que Desjardins avait saisi dans les bureaux de son employé.

Pour la première fois, le public a aussi accès à la demande que le Mouvement a adressée à un juge pour pouvoir saisir le matériel informatique de son employé.

Desjardins venait d’identifier Sébastien Boulanger-Dorval comme étant l’auteur de la fuite et lui avait demandé de remettre une clé USB sur laquelle il aurait téléchargé « 40 fichiers confidentiels ». Il a plutôt remis une autre clé et tenté d’effacer ces données de son ordinateur, explique le Mouvement dans sa requête pour obtenir son ordonnance Anton Piller.

« Boulanger est donc toujours en possession d’informations confidentielles relatives à des membres et clients de Desjardins, incluant de l’information financière et des numéros d’assurance sociale », indiquaient alors les avocats du Mouvement. L’institution financière craignait déjà qu’il ait agi « à des fins criminelles ».

Dans les circonstances, Desjardins assurait n’avoir d’autre choix que de demander une Anton Piller, puis un chapelet d’autres ordonnances de confidentialité visant à protéger les informations confidentielles de ses clients et de l’organisation.

Les enquêteurs internes de Desjardins ont donc précédé ceux de la police dans les bureaux de Sébastien Boulanger-Dorval en mai 2019, au grand dam de la police de Laval, chargée d’une première enquête sur l’affaire à l’époque.

L’un de ses agents s’était opposé « à toute action de la part de Desjardins pour ne pas nuire à l’enquête en cours », selon les documents judiciaires.

Dans les bureaux de son employé, le Mouvement avait saisi une grande quantité de matériel informatique, dont un ordinateur, un disque dur externe, un téléphone cellulaire, plusieurs clés USB, des cartes mémoire et une tablette électronique.

Trois semaines plus tard, la Sûreté du Québec (SQ) prenait le relais de la police de Laval dans le cadre de son projet Portier. Mais quand elle a voulu accéder à cette preuve, elle s’est butée à une ordonnance de scellé et de confidentialité sur l’ensemble des éléments qu’avait saisis Desjardins.

Perquisition chez l’avocat indépendant

La police a même dû s’adresser à la cour en novembre 2019 pour obtenir la permission d’y accéder. La SQ a ensuite perquisitionné dans les bureaux de l’avocat indépendant chargé de conserver la preuve qu’avait saisie le Mouvement.

L’identité de cet avocat indépendant est toujours caviardée dans les documents remis aux journalistes.

Même après avoir officiellement obtenu la permission de les consulter, une enquêtrice de la SQ affectée au dossier s’est butée à des difficultés pour y avoir accès.

En juin 2020 notamment, la sergente Geneviève Guérin semble frustrée de la collaboration poussive de Carl Pelletier, directeur des enquêtes chez Desjardins. Elle lui indique alors que « plusieurs éléments sont manquants dans les affidavits reçus », selon sa déclaration sous serment.

Elle réclame les détails des documents saisis dans le bureau de Sébastien Boulanger-Dorval, les informations sur la façon dont le Mouvement a traité les fichiers informatiques, ainsi que la procédure ayant permis la découverte des mots de passe pour y accéder.

« Carl Pelletier me mentionne qu’il semblerait que ses avocats ont tout expliqué à nos avocats », indique sa déclaration sous serment.

La SQ a donc dû déposer une requête pour obtenir ces informations.

Le suspect veut consulter la preuve

Sébastien Boulanger-Dorval réclame lui aussi la preuve que Desjardins a saisie dans ses bureaux en mai 2019. Il demande également à consulter les audits de sécurité réalisés au Mouvement dans les cinq années précédentes. Mais surtout, il veut pouvoir compter sur la pleine collaboration de son ex-employeur pour interroger trois de ses dirigeants, dont sa patronne immédiate à l’époque, Catherine Reinhardt, et le directeur principal de la sécurité de l’information à l’époque, Jean-Sébastien Pilon.

Desjardins s’y est opposé vigoureusement et avec succès en faisant suspendre les procédures entourant la requête Anton Piller jusqu’en janvier.

Selon le Mouvement, les demandes de son ex-employé « sont contraires aux intérêts de la justice », car Sébastien Boulanger-Dorval obtiendrait ainsi de nouveau les données que l’institution financière lui reproche justement d’avoir volées.

« Protéger les membres »

Dans un communiqué, le Mouvement Desjardins a lui-même annoncé la levée de la confidentialité de la procédure Anton Piller qu’il avait demandée. L’institution financière assure avoir « agi pour protéger ses membres » dans ce dossier.

« Il s’agit d’une mesure exceptionnelle, autorisée par la Cour, qui a permis à Desjardins de récupérer rapidement du matériel chez l’ex-employé malveillant, qui a été identifié par l’institution financière comme responsable de la situation des renseignements personnels annoncée en juin 2019 », précise-t-elle.

Desjardins assure collaborer pleinement, « depuis le départ », avec la police.

Le Mouvement dit s’être engagé à fournir l’information nécessaire pour l’aider à déposer des accusations criminelles. À ce jour, la SQ ne l’a toujours pas fait.

Desjardins rappelle qu’au moment de procéder à la saisie, la police de Laval lui indiquait que des renseignements confidentiels de ses clients « avaient été transmis à des tiers ». « Ne sachant pas à ce moment qui était impliqué dans le stratagème, Desjardins souhaitait protéger ses membres et clients en y mettant fin le plus rapidement pour éviter qu’il ne touche encore plus de membres et s’assurer que la personne malintentionnée cesse ses agissements », indique son communiqué.

En juin 2019, le Mouvement annonçait le vaste vol de données confidentielles en précisant qu’il touchait 2,9 millions de ses membres. Depuis, Desjardins a reconnu que la fuite concernait en fait la totalité de ses clients, soit 9,7 millions de personnes.