Hydro-Québec a remercié une demi-douzaine de consultants qui avaient téléchargé des logiciels pour simuler le mouvement de leur souris en télétravail, a appris La Presse. La société d’État poursuit son enquête dans ce dossier et pourrait sévir contre certains de ses propres employés.

La semaine dernière, La Presse a révélé qu’Hydro avait détecté une série d’incidents de cybersécurité en lien avec l’installation de programmes informatiques non autorisés. Les logiciels ciblés permettent aux employés qui travaillent de la maison de feindre leur présence à l’ordinateur pendant qu’ils vaquent à d’autres activités, échappant ainsi à la surveillance potentielle de leur patron.

(Re)lisez « Télétravail : Des incidents liés à des logiciels de “mouvement de souris” chez Hydro »

Hydro-Québec avait dit prendre cette affaire « très au sérieux », et elle n’a pas perdu de temps pour agir.

« Des contrats de consultants ont en effet été résiliés, a confirmé mardi le porte-parole Maxence Huard-Lefebvre. Il nous arrive de mettre fin à des contrats lorsque les clauses contractuelles ne sont pas respectées. Le fait de procéder au téléchargement d’un logiciel non autorisé contrevient à nos exigences. »

L’enquête interne est « toujours en cours » et se resserre autour d’un nombre « très limité » d’employés qui auraient eux aussi téléchargé de tels logiciels, ajoute M. Huard-Lefebvre. D’autres consultants pourraient encore être remerciés, précise-t-il. « Soulignons qu’une vigie en continu sera maintenue dans l’organisation, et que des interventions suivront si nécessaire. »

Risques énormes

Quelque 11 000 des 22 000 employés d’Hydro-Québec sont aujourd’hui en télétravail, plus de deux ans après le début de la pandémie. La société d’État affirme ne pas épier leurs activités à distance, mais plutôt surveiller en permanence son réseau informatique pour détecter toute menace externe.

C’est cette vigie qui a permis de débusquer des téléchargements illégaux au cours des derniers mois. L’installation de logiciels non autorisés contrevient à deux règles de cybersécurité d’Hydro et aurait pu constituer une porte d’entrée pour des virus informatiques ou des cyberattaques.

Plusieurs experts en cybersécurité consultés par La Presse confirment que ce type de téléchargement représente une grave menace. Il est fréquent, par exemple, que des rançongiciels soient cryptés dans des logiciels en apparence légitimes.

Aucun « code malveillant » ni « enjeu de cybersécurité » n’a été détecté chez Hydro-Québec, selon un porte-parole.

Vol de temps

Au-delà des risques d’attaque informatique, l’utilisation de logiciels de mouvements de souris par des travailleurs peut équivaloir à voler du temps à son employeur – un geste passible de licenciement.

Dans un courriel envoyé à des salariés, obtenu par La Presse, Hydro souligne que l’utilisation de ces programmes n’est pas « conforme au devoir d’agir professionnellement en tout temps et de s’appliquer à donner la prestation de travail attendue ».

Aucun cas d’utilisation de logiciels de simulation de mouvements de souris n’a été déclaré ailleurs au sein du gouvernement québécois. Aussi, « le ministère de la Cybersécurité et du Numérique ne dispose pas d’informations voulant que des organismes publics surveillent la présence de leurs employés en télétravail au moyen d’outils permettant de détecter les mouvements de la souris », indique le porte-parole Laurent Bérubé.

« Il est à noter que dans plusieurs ministères, l’installation de logiciels sur les postes de travail des employés exige des droits d’administrateur », ajoute-t-il.

M. Bérubé souligne que « les données personnelles des citoyens sont sauvegardées dans des environnements sécurisés et leur accès par les fonctionnaires, dans l’exercice de leurs fonctions, répond aux mêmes normes de sécurité en télétravail que lorsqu’ils sont au bureau ». Tous les accès au réseau gouvernemental se font par l’entremise de « liens sécurisés », précise-t-il.

Menaces russes

La surveillance informatique avait déjà été rehaussée de plusieurs crans ces derniers mois chez Hydro et ailleurs dans l’appareil public québécois, pour se prémunir contre la menace « sérieuse » d’une cyberattaque en provenance de Russie.

Les réseaux de distribution électriques, comme celui d’Hydro, ont été identifiés comme des « cibles potentielles pour une cyberattaque » par le gouvernement du Québec.

Selon le ministre de la Cybersécurité et du Numérique, Éric Caire, des pirates informatiques russes pourraient viser le Québec pour ensuite s’attaquer aux États-Unis en représailles à leur soutien à l’Ukraine dans le cadre du conflit qui oppose les deux pays.

« Faites juste imaginer si on attaquait Hydro-Québec et si on arrivait à cesser la production d’électricité [alors qu’]on fournit de l’électricité aux Américains. Si vous voulez attaquer les Américains, on est une belle courroie de transmission », a indiqué M. Caire en avril lors de l’étude des crédits budgétaires de son ministère à l’Assemblée nationale.

Hydro-Québec a confirmé en avril avoir resserré sa surveillance pour cibler spécifiquement les menaces d’origine russe.