/news/politics
Navigation

Cyberattaques à l'ARC: La GRC avisée avant le grand public

Coup d'oeil sur cet article

OTTAWA | La Gendarmerie royale du Canada a été mise au courant de cyberattaques contre l'Agence du revenu du Canada (ARC) et des systèmes gouvernementaux plusieurs jours avant le public, même si les renseignements de plus de 11 000 personnes pourraient avoir été compromis.

• À lire aussi: Des pirates qui n’avaient pas besoin d’être des génies

C’est ce qu’ont indiqué des responsables gouvernementaux, lundi, après que trois incidents en sécurité informatique aient forcé la fermeture des services en ligne de l’ARC.

«La priorité numéro un était de protéger les Canadiens, de désactiver les comptes. La deuxième, de contacter la GRC et de commencer les investigations [et] la priorité 3 était de mettre en place des mesures d’atténuation», a soutenu Marc Brouillard, directeur des systèmes d'information par intérim pour le gouvernement fédéral.

Il a fait valoir qu’il avait fallu quelques jours pour mettre en place «un processus de notifications et de renouvellement des comptes chez les utilisateurs» touchés.

Premiers signaux le 7 août

Sa collègue Annette Butikofer, sous-commissaire de l’ARC, a indiqué qu’un «problème potentiel» a été identifié dès le 7 août. Or, ce n’est que quelques jours plus tard, le 11 août, que la GRC a été avisée afin de faire enquête. Le public n’aura de son côté été informé que samedi, alors que l’ARC fermait ses portails face à une troisième cyberattaque.

«Nous étions très confiants que le contrôle était bien», a dit la sous-commissaire en mentionnant des paramètres de sécurité qui ont été ajoutés au système entre le moment où la GRC a été interpellée et celui où l’information est sortie publiquement. On espère un retour en fonction des services web à compter de mercredi.

Le président de la firme de sécurité Vigiteck, Paul Laurier, s’explique mal le temps mis par le fédéral pour aviser les Canadiens.

«On a essayé de faire une sorte de raccommodage de courtepointe et, après ça, on a appelé la GRC, puis on l’a dit au public [...]. La transparence aurait exigé que la GRC soit avisée immédiatement et les clients aussi», a commenté cet ex-enquêteur à la Sûreté du Québec.

Parmi les quelque 11 200 comptes piratés, on en retrouve 5600 à l’ARC et 9000 au système CléGC, utilisé par une trentaine de ministères comme celui de l’Emploi. Environ 3300 des 5600 utilisateurs de l'ARC font partie de 9000 comptes touchés de CléGC.

Fuites de données antérieures à l'origine

Les récentes cyberattaques ont été rendues possibles parce que des noms d’usagers et de mots de passe de Canadiens circulaient à la suite de piratages antérieurs. Des fraudeurs ont ensuite profité du fait que plusieurs citoyens utilisent les mêmes mots de passe pour différentes plateformes web.

Ottawa demande aux Canadiens d’éviter d’appeler sur les lignes téléphoniques du gouvernement pour savoir s’ils sont victimes. L’ARC envoie des lettres aux personnes concernées et Emploi et Développement social Canada fait parvenir des courriels ou contacte les principaux intéressés par téléphone.

Par ailleurs, le fédéral a précisé que les Canadiens pourront continuer à faire des demandes de Prestation canadienne d'urgence en communiquant par téléphone avec des agents de l'ARC.