Cyberattaque au Collège Montmorency: des données volées sont sur le dark web

Des données volées au Collège Montmorency sont en vente sur le dark Web par des pirates qui menacent de les diffuser.

• À lire aussi - Cyberattaque au Collège Montmorency: des données personnelles ont été compromises

«Cyberattaque au Collège Montmorency [...] La direction doit nous contacter immédiatement si elle veut éviter que l’intégral des données soient publiées sur notre blogue», écrit en anglais le groupe de cybercriminels AvosLocker, sur une page du web clandestin.  

Bien que ce ne soit pas explicite dans sa menace, ce groupe surveillé de près par le FBI réclame d’ordinaire une rançon aux organismes qu’elle pirate. 

Le 19 mai, le Cégep annonçait avoir été la cible d’une cyberattaque. Les autorités policières et du gouvernement québécois l’ont avisé plus tôt cette semaine de la mise en vente de données sur le web, a expliqué l’établissement par courriel hier.

Pour prouver son sérieux, les pirates ont rendu disponible sur le dark web un échantillon de 15 fichiers à télécharger gratuitement. Il y semble aussi possible de contacter les criminels si l’on désire acheter toutes les données.

L’Agence QMI a pu consulter les données de l’échantillon. On y retrouve entre autres des communications entre employés, des plans et des factures. Le numéro de cellulaire d’une employée, son courriel et la signature d’un fournisseur sont au nombre des éléments accessibles.  

Sensible

Il n’a pas été révélé de quelle manière les fichiers dérobés, qui pourraient être de l’ordre de dizaines de milliers selon nos estimations conservatrices, sont sensibles. 

Néanmoins, «certains renseignements personnels se trouvant sur les serveurs informatiques du Collège pourraient avoir été compromis», a confirmé Marilyn Doucet, porte-parole pour l’institution d’enseignement.

Signe que le risque est réel, le Cégep a même offert une protection de dossier de crédit à sa communauté.  

M^me Doucet refuse de dire si le Collège envisage de payer une éventuelle rançon.

«Cet aspect du dossier est hautement confidentiel et il constitue un des éléments critiques dans l’enquête policière», a-t-elle écrit. Une firme spécialisée embauchée par le Cégep est cependant en contact avec le groupe criminel, confirme-t-elle. 

Acheter la paix

Selon l’expert en informatique Éric Parent, la direction du collège se retrouve devant un dilemme pour le moins délicat: faut-il payer une rançon?  

«Ça dépend toujours du montant demandé. Si on exige 25 000$, j’aurais tendance à dire de payer et d’acheter la paix. Mais c’est certain que tu viens de contribuer à enrichir des criminels.»  

En théorie, un paiement devrait dissuader les pirates de publier les données, estime le PDG d’EVA Technologies.  

Un étudiant inquiet

Un diplômé du Collège Montmorency, dont un travail scolaire s’est retrouvé dans l’échantillon de 15 fichiers publiés par les pirates, redoute que ses informations personnelles soient entre les mains de malfaiteurs.

«Ça ne me dérange pas les travaux scolaires, mais si on parle d’informations personnelles, là, oui, ça m’inquiète [...] Est-ce que les pirates ont aussi mon dossier personnel avec toutes mes informations [sensibles], comme mon numéro d’assurance sociale?», a laissé tomber Jean-Michel Lemieux, diplômé en diététique, en entrevue avec l’Agence QMI. 

«Je n’ai pas la réponse à cette question, et je ne crois pas l’obtenir non plus, souligne-t-il. Je trouve ça un peu nébuleux.»

S’il avait reçu des courriels du Collège l’avisant de la situation générale, c’est l’Agence QMI qui lui a appris qu’un de ses travaux se trouvait parmi les échantillons sur le dark web. 

Par courriel, l’établissement assure faire tout en son possible pour informer et protéger les personnes concernées. 

«En fonction des informations détenues par le Collège, toutes les personnes susceptibles d’avoir été touchées se sont vu offrir, aux frais du Collège, une couverture de dossier de crédit», indique la porte-parole Marilyn Doucet. 

- Avec la collaboration de Philippe Langlois