Revenu Québec a été victime d'un rançongiciel, ou « ransonware », le 6 décembre dernier, a appris La Presse.

Les dégâts causés par le virus ont été limités, et aucune donnée n'a été perdue, soutient l'Agence de revenu dans sa réponse à une demande d'accès à l'information.

Un rançongiciel, aussi appelé logiciel de rançon, cible les données détenues par une organisation en les cryptant et en bloquant leur accès, explique Revenu Québec. Dans un deuxième temps, le logiciel malveillant exige du propriétaire des données de transmettre de l'argent en échange d'une clé permettant de récupérer les données.

« Aucune rançon n'a été payée », assure, dans sa réponse écrite, Me Normand Boucher, responsable de l'accès aux documents chez Revenu Québec. Les réparations ont nécessité trois heures d'ouvrage par les intervenants en technologie de l'information, poursuit l'avocat.

Revenu Québec a transmis ces informations par écrit, mais a refusé de rendre public le document demandé en vertu de l'article 29 qui prescrit qu'un organisme public doive refuser de donner un document dont la divulgation aurait pour effet de réduire l'efficacité d'un programme ou d'un dispositif de sécurité.

Pas de plainte à la police

« Revenu Québec n'a entrepris aucune démarche auprès de la police, dans le cadre de ce dossier [rançongiciel], puisqu'il s'agissait d'un courriel anonyme qui ne ciblait pas spécifiquement Revenu Québec ni ses données, mais plutôt un courriel type acheminé au hasard à de nombreuses personnes et qui a été ouvert par un employé », précise dans un courriel Geneviève Laurier, porte-parole.

Ce type de fraude informatique est en hausse depuis 2014. Le Centre de la petite enfance du Centre hospitalier de l'Université Laval en a été victime en octobre 2016. Les pirates demandaient une rançon de 3 bitcoins, monnaie virtuelle équivalant à l'époque à 2500 $, selon ce qu'a rapporté le quotidien Le Soleil l'automne dernier.

Plus grave, la cyberattaque survenue à la Commission scolaire des Appalaches le 4 septembre 2016 a finalement coûté 270 000 $ à celle-ci. Au pire de l'assaut, 95 % du réseau de la commission scolaire était paralysé. Ici encore, les autorités scolaires ont refusé de payer la rançon. Elles ont néanmoins dû se résoudre à reconstruire leur réseau en achetant de nouveaux équipements et à payer des heures supplémentaires à leurs informaticiens appelés à la rescousse.

Une plainte a été déposée à la Sûreté du Québec. L'enquête est considérée comme terminée depuis le début de février, sans qu'on ait pu identifier les auteurs de cette cyberattaque.

UN PRÉCÉDENT

Ce n'est pas la première fois que Revenu Québec est victime d'une cyberattaque. En 2014, un virus avait frappé son réseau, apprend-on dans la réponse à une autre demande d'accès soumise par un tiers affichée sur le site web de l'Agence du revenu. « Un seul virus a infecté le réseau informatique de 2013 à 2015, soit en 2014. Moins de 1 % du parc informatique de Revenu Québec a été affecté et aucune donnée n'a été touchée », écrit l'agence gouvernementale. Pour les mêmes arguments déjà évoqués, Revenu Québec a refusé de rendre publics les documents pertinents.

 - Avec la collaboration de William Leclerc