Vol de données chez Desjardins Une fausse panne informatique pour coincer le suspect

Desjardins a simulé une panne informatique pour pincer le principal suspect dans la fuite massive de données confidentielles sur ses clients en 2019, révèlent des documents de cour rendus publics lundi.

Ils concernent l’enquête interne qu’a réalisée le Mouvement sur son ancien employé Sébastien Boulanger-Dorval.

« Vers 13 h le vendredi 24 mai, une décision est prise par Desjardins de procéder à la coupure des accès d’un système utilisé par plusieurs employés de Desjardins, dont Boulanger, indique un résumé des techniques d’enquête utilisées. Desjardins simule une panne de ce système pour ne pas éveiller les soupçons de Boulanger. »

Une heure plus tard, le Mouvement en profite pour accéder à distance à son ordinateur et faire une copie de trois « fichiers suspects », alors qu’il travaille de chez lui.

« À partir de ce moment, les accès de Boulanger aux systèmes sont désactivés et une surveillance étroite est mise en place sur son ordinateur portable », ajoutent les avocats de Desjardins.

Ces explications se trouvent dans une demande pour procéder à une saisie civile de type « Anton Piller », le 26 mai 2019.

Clé USB

Grâce à cette opération, les enquêteurs du Mouvement constatent qu’« à 15 h, Boulanger a branché une clé USB à son ordinateur de travail afin de transférer des fichiers confidentiels ».

Desjardins contacte ensuite le suspect en prétendant que son ordinateur portable est « infecté par un virus » et que le Mouvement doit le « récupérer sans délai ».

Un employé de la sécurité l’avise au téléphone de ne pas utiliser l’appareil en attendant l’arrivée d’un membre de l’équipe, prétextant une infection au logiciel malveillant.

Rien n’y fait. Selon le récit des évènements, Sébastien Boulanger-Dorval allume tout de même son ordinateur et détruit de l’information.

Un employé du bureau de surveillance tente de se rendre chez lui, mais n’a pas la bonne adresse. Desjardins rappelle son employé pour prendre ses vraies coordonnées et l’avise qu’il doit aussi remettre « la clé USB qu’il avait branchée sur son ordinateur vers 15 h ».

Le Mouvement met finalement la main sur le matériel à 20 h, mais son personnel réalise que Sébastien Boulanger-Dorval l’a berné en remettant une autre clé, selon les documents.

Finalement, Desjardins parvient à établir la liste de 40 fichiers qu’il avait transférés sur son périphérique. Cette liste restera caviardée puisqu’elle contient des informations confidentielles.

Du liquide, un disque dur et des « aveux »

La demande partiellement rendue publique lundi a permis au Mouvement d’aller saisir du matériel chez son employé, le 26 mai 2019. Les employés de la sécurité ont trouvé dans sa résidence 30 100 $ en liquide et plus d’une vingtaine de cartes de crédit prépayées, selon des documents de cour dont La Presse a déjà fait état.

Sébastien Boulanger-Dorval aurait avoué avoir vendu des renseignements confidentiels pendant 15 mois avant d’être repéré.

Les enquêteurs ont notamment mis la main sur un disque dur externe qui « contient toutes les informations relatives aux membres et clients de Desjardins qu’il a vendues », selon ce que l’ex-employé leur aurait alors déclaré.

La fuite massive de données confidentielles, rendue publique en juin 2019, a touché au total 9,7 millions de clients.

Aucune accusation criminelle n’a été portée contre Sébastien Boulanger-Dorval ou d’autres suspects dans cette enquête.