---
url: 'https://www.corbado.com/fr/blog/fuites-donnees-canada'
title: '11 plus grosses fuites de données au Canada [2026]'
description: 'Découvrez les plus grandes fuites de données au Canada, pourquoi le Canada est une cible attrayante pour les cyberattaques et comment elles auraient pu être évitées.'
lang: 'fr'
author: 'Alex'
date: '2026-05-22T15:20:37.288Z'
lastModified: '2026-05-22T15:21:46.611Z'
keywords: 'fuite de données Canada, plus grande fuite de données Canada 2025, cyberattaque Canada, fuite de données utilisateurs Canada, fuite de données nationale Canada, piratage de données Canada, plus grosse fuite de données Canada 2025, entreprises canadiennes '
category: 'Authentication'
---
# 11 plus grosses fuites de données au Canada [2026]
## Key Facts
- **L'attaque par ransomware de LifeLabs en 2019** a compromis 15 millions de personnes, ce qui en fait la plus importante fuite de données signalée dans l'histoire du Canada en termes de volume.
- Le coût moyen d'une **fuite de données canadienne** en 2024 était de 4,66 millions de dollars US, légèrement inférieur à la moyenne mondiale de 4,88 millions de dollars US.
- La **menace interne chez Desjardins** a duré plus de 26 mois sans être détectée, exposant les données financières et personnelles de 9,7 millions de personnes avant que le Commissaire à la protection de la vie privée ne s'en mêle.
- Le **bourrage d'identifiants** a permis l'attaque de l'ARC en 2020 : la réutilisation des mots de passe à partir de fuites non liées a permis aux pirates de compromettre plus de 11 000 comptes de contribuables, sans aucune authentification multifacteur (MFA) pour bloquer l'accès.
- L'**attaque par ransomware** de Nova Scotia Power en 2025 a exposé les numéros d'assurance sociale d'environ 140 000 de ses 280 000 clients concernés, les données volées ayant été publiées en ligne avant leur détection.
## 1. Introduction : Pourquoi les fuites de données sont-elles un risque pour les organisations canadiennes ?
Les fuites de données sont en hausse au Canada, touchant de nombreux secteurs et suscitant une inquiétude croissante tant chez les citoyens que dans les organisations : les Canadiens sont de plus en plus préoccupés par la sécurité des données, 85 % exprimant des inquiétudes et 66 % signalant une anxiété accrue par rapport à il y a trois ans. Cette inquiétude est amplifiée par des fuites très médiatisées et des menaces émergentes, telles que les cyberattaques commanditées par des États et les ransomwares.
En 2024, le coût moyen d'une fuite de données au Canada était de 4,66 millions de dollars US, ce qui est légèrement inférieur à la moyenne mondiale de 4,88 millions de dollars US. Dans cet article de blog, nous examinerons de plus près les plus grandes fuites de données au Canada et analyserons comment et pourquoi elles se sont produites.
## 2. Pourquoi le Canada est-il une cible attrayante pour les fuites de données ?
Le Canada est une cible attrayante pour les fuites de données, poussé par une combinaison de facteurs qui augmentent la vulnérabilité de ses secteurs critiques, de ses organisations et de ses citoyens à l'activité cybercriminelle :
1. **Des données de grande valeur dans tous les secteurs :** Les secteurs canadiens de la [santé](https://www.corbado.com/passkeys-for-healthcare), des [services financiers](https://www.corbado.com/passkeys-for-banking), de la [vente au détail](https://www.corbado.com/passkeys-for-e-commerce) et de l'[énergie](https://www.corbado.com/passkeys-for-energy) gèrent d'importants volumes d'informations sensibles, telles que les dossiers de santé personnels, les transactions financières et les données de [paiement](https://www.corbado.com/passkeys-for-payment). Tout comme les organisations doivent protéger stratégiquement leurs actifs critiques, garantir une direction solide par le biais d'un [recrutement ciblé de PDG](https://www.alphaapexgroup.com/executive-services/ceo-executive-search) peut renforcer la gouvernance et la préparation aux crises. Ce type d'informations est extrêmement précieux sur le marché noir, positionnant ces secteurs comme des cibles privilégiées pour les cybercriminels. Les données ont une telle valeur car elles peuvent être utilisées pour l'usurpation d'identité, la fraude à l'[assurance](https://www.corbado.com/passkeys-for-insurance) ou pour accéder à des comptes bancaires et les vider.
2. **Importance géopolitique :** Le rôle du Canada dans des alliances mondiales comme le G7 et le partenariat de renseignement des Five Eyes le place dans la ligne de mire des cyberactivités commanditées par des États. Différents pays s'engagent dans le cyberespionnage avancé ciblant les systèmes du [gouvernement](https://www.corbado.com/passkeys-for-public-sector) canadien, dans le but de collecter des renseignements et d'exfiltrer de la propriété intellectuelle. De plus, le Canada est exposé aux cybermenaces d'États hostiles, motivées par ses affiliations politiques.
## 3. Les plus grandes fuites de données au Canada
Ci-dessous, vous trouverez une liste des plus grandes fuites de données au Canada. Les fuites de données sont classées par nombre de comptes clients touchés par ordre décroissant.
### 3.1 Fuite de données de LifeLabs (2019)
| Détails | Informations |
| ------------------------ | ---------------------------------------------------------------------------------------------------------------------- |
| Date | Octobre 2019 (révélé en décembre 2019) |
| Nombre de clients touchés| Environ 15 millions de personnes |
| Données piratées | - Noms
- Adresses
- Adresses e-mail
- Numéros de carte d'assurance maladie
- Résultats de tests de laboratoire
- Identifiants de connexion |
En octobre 2019, LifeLabs a été victime d'une importante attaque par ransomware qui a compromis les données de santé personnelles de près de 15 millions de personnes, ce qui en fait la plus grande fuite signalée dans l'histoire du Canada en termes de volume. Les attaquants ont obtenu un accès non autorisé aux systèmes de LifeLabs et ont exfiltré des informations sensibles avant d'exiger une rançon. L'entreprise a confirmé avoir payé la rançon dans le but de sécuriser les données volées, bien qu'elle n'ait pas pu vérifier si les attaquants en avaient fait des copies. La fuite a suscité l'inquiétude du public non seulement en raison de la sensibilité des données impliquées, mais aussi parce que LifeLabs a tardé à informer le public jusqu'en décembre.
Les enquêtes ont suggéré que la fuite a pu résulter de logiciels obsolètes, d'un manque de chiffrement de bout en bout et d'une mauvaise surveillance des vulnérabilités du système. L'incident a révélé d'importantes faiblesses dans la posture de cybersécurité de LifeLabs, en particulier compte tenu de la nature critique des données de santé.
**Méthodes de prévention :**
- Mettre en œuvre un chiffrement fort et moderniser les systèmes obsolètes
- Utiliser des outils avancés de détection des intrusions et de surveillance en temps réel
- Conserver des sauvegardes sécurisées et hors ligne pour éviter de payer une rançon
### 3.2 Fuite de données de Desjardins (2019)
| Détails | Informations |
| ------------------------ | ---------------------------------------------------------------------------------------------------------------------------- |
| Date | Juin 2019 (révélé publiquement) |
| Nombre de clients touchés| Environ 9,7 millions de personnes |
| Données piratées | - Noms complets
- Adresses
- Dates de naissance
- Numéros d'assurance sociale
- Adresses e-mail
- Historique des transactions |
Le Mouvement Desjardins, l'une des plus grandes coopératives financières du Canada, a subi une fuite massive de données causée par un employé qui a exposé les détails personnels et financiers de près de 9,7 millions de personnes. La fuite a été découverte après qu'une enquête interne a révélé qu'un ancien employé avait collecté et divulgué des données sur une période d'au moins 26 mois. Les informations étaient transférées à l'extérieur de l'organisation et n'ont pas été détectées par les systèmes de surveillance de Desjardins jusqu'à ce que le Commissaire à la protection de la vie privée s'en mêle.
La nature de cette fuite, ancrée dans l'abus d'un accès interne légitime, a mis en évidence des faiblesses systémiques dans les contrôles internes de Desjardins, en particulier autour de la surveillance de l'activité des utilisateurs, des droits d'accès et des alertes d'exfiltration de données. Elle reste l'un des exemples les plus significatifs d'une menace interne dans l'histoire des entreprises canadiennes, en particulier en raison de la durée de la fuite et de la sensibilité des données compromises.
**Méthodes de prévention :**
- Appliquer des contrôles d'accès stricts et des politiques de moindre privilège
- Surveiller et auditer régulièrement l'accès des employés aux données
- Utiliser l'analyse comportementale pour détecter les activités inhabituelles
### 3.3 Fuite de données d'Yves Rocher (2019)
| Détails | Informations |
| ------------------------ | --------------------------------------------------------------------------------------------------------------------------------------------- |
| Date | Septembre 2019 |
| Nombre de clients touchés| Environ 2,5 millions de personnes |
| Données piratées | - Noms complets
- Dates de naissance
- Numéros de téléphone
- Adresses e-mail
- Codes postaux
- Données internes des magasins et formules des produits |
En 2019, la marque de cosmétiques française Yves Rocher a connu une importante fuite de données impliquant sa clientèle canadienne lorsque des chercheurs ont découvert une base de données Elasticsearch non protégée hébergée par un fournisseur de services tiers. Le système exposé contenait des dossiers sur environ 2,5 millions de personnes, y compris des détails personnels et des données internes de l'entreprise. Ce qui est encore plus alarmant, c'est que la configuration de la base de données permettait un accès en lecture/écriture, ce qui signifie que des parties non autorisées auraient pu ajouter, modifier ou supprimer des informations à volonté.
La fuite a été retracée à des autorisations d'accès inappropriées et à un manque d'authentification sur une plateforme hébergée dans le cloud utilisée pour gérer les données des clients et opérationnelles. Cela a démontré comment les erreurs de sécurité de la chaîne d'approvisionnement et des fournisseurs tiers peuvent directement compromettre même des marques bien établies. Les données exposées comprenaient non seulement des informations personnelles identifiables (IPI) des clients, mais aussi des informations commerciales confidentielles, telles que les mesures de performance des magasins et les données de composition des produits.
**Méthodes de prévention :**
- Appliquer des protocoles de sécurité stricts pour les fournisseurs tiers
- Sécuriser les services cloud avec une authentification et des contrôles d'accès appropriés
- Auditer régulièrement les bases de données exposées pour détecter les mauvaises configurations
### 3.4 Fuite de données de Nissan Canada Finance (2017)
| Détails | Informations |
| ------------------------ | ----------------------------------------------------------------------------------------------------------- |
| Date | Décembre 2017 |
| Nombre de clients touchés| Plus d'un million de personnes |
| Données piratées | - Noms complets
- Adresses
- Détails du véhicule (modèle, NIV, date de fabrication)
- Informations bancaires |
En décembre 2017, Nissan Canada Finance (NCF) a signalé une fuite de données qui a exposé les informations personnelles de plus d'un million de clients actuels et anciens qui avaient loué ou financé des véhicules par l'intermédiaire de l'entreprise. La fuite impliquait un accès non autorisé à des systèmes contenant des données clients sensibles, notamment des informations financières et spécifiques aux véhicules. L'entreprise a reconnu la fuite après avoir détecté des activités inhabituelles et a lancé une enquête à grande échelle avec les forces de l'ordre et les autorités de protection de la vie privée.
Bien que NCF n'ait pas divulgué publiquement les spécificités techniques de l'attaque, le type de données consultées suggère que la fuite a probablement résulté d'une compromission des systèmes backend, éventuellement via le vol d'identifiants, une mauvaise segmentation du réseau ou des protocoles de chiffrement insuffisants. Pour atténuer les préjudices, NCF a offert aux clients concernés 12 mois de surveillance du crédit et de protection contre le vol d'identité gratuits.
**Méthodes de prévention :**
- Renforcer l'authentification du système backend (par ex. avec un MFA résistant au phishing) et la segmentation
- Chiffrer toutes les données des clients, en particulier les informations financières
- Surveiller les systèmes en permanence pour détecter les tentatives d'accès non autorisées
### 3.5 Fuite de données de TIO Networks (2017)
| Détails | Informations |
| ------------------------ | --------------------------------------------------------------------------------------------------------- |
| Date | Novembre–Décembre 2017 |
| Nombre de clients touchés| Environ 1,6 million de personnes |
| Données piratées | - Noms
- Adresses
- Informations de compte de facturation
- Données de carte de paiement
- Identifiants de connexion |
TIO Networks, un processeur de [paiement](https://www.corbado.com/passkeys-for-payment) de factures canadien appartenant à PayPal, a subi une fuite de données à la fin de 2017 après la découverte de vulnérabilités dans ses systèmes qui ont permis un accès non autorisé aux dossiers des clients. Après avoir détecté une activité inhabituelle, PayPal a suspendu les opérations de TIO et a lancé une enquête formelle, révélant que des pirates informatiques s'étaient infiltrés dans plusieurs zones du réseau où des données sensibles étaient stockées. Les informations compromises comprenaient des informations personnellement identifiables et des détails de compte financier d'environ 1,6 million d'utilisateurs.
La fuite a mis en évidence des faiblesses structurelles dans l'infrastructure de TIO, notamment des protocoles de sécurité obsolètes et une segmentation inadéquate du réseau. Les systèmes de TIO étant distincts de l'architecture centrale de PayPal, la fuite n'a pas affecté directement les utilisateurs de PayPal, mais elle a soulevé d'importantes préoccupations concernant la diligence raisonnable en matière de cybersécurité lors des acquisitions.
**Méthodes de prévention :**
- Mener des audits de sécurité complets lors des fusions et acquisitions
- Isoler et renforcer les systèmes hérités des réseaux principaux
- Mettre en œuvre un contrôle d'accès multicouche et un chiffrement pour les données financières
### 3.6 Fuite de données de Bell Canada (2017 & 2018)
| Détails | Informations |
| ------------------------ | -------------------------------------------------------------------------------------------------- |
| Date | Mai 2017 et janvier 2018 |
| Nombre de clients touchés| Environ 2 millions au total |
| Données piratées | - Adresses e-mail
- Noms et numéros de téléphone (sous-ensemble limité)
- Informations liées au compte |
Bell Canada a connu deux fuites de données distinctes sur une période de huit mois, en commençant par mai 2017, lorsque des attaquants ont accédé et divulgué environ 1,9 million d'adresses e-mail et 1 700 noms de clients avec numéros de téléphone. Une deuxième fuite en janvier 2018 a compromis d'autres données clients, touchant jusqu'à 100 000 personnes. Dans les deux incidents, Bell a affirmé qu'aucune donnée financière ou de mot de passe n'avait été consultée, bien que les détails suggèrent une incapacité à empêcher l'entrée non autorisée dans les systèmes internes.
Les attaquants, dans au moins l'une des fuites, ont publiquement divulgué les données et ont affirmé que le motif était de faire pression sur Bell pour qu'elle coopère avec eux, ce qui impliquait une forme de tentative d'extorsion. Bell a été critiquée pour sa divulgation retardée dans les deux cas, car la fuite initiale n'a pas été immédiatement signalée aux clients. Ces événements ont mis en évidence de graves problèmes dans la gouvernance des données de Bell, ses capacités de détection des fuites et ses pratiques de communication avec les clients.
**Méthodes de prévention :**
- Appliquer des protocoles de surveillance en temps réel et de réponse aux incidents
- Limiter les points d'accès externes et renforcer les défenses périmétriques
- Mettre en œuvre des procédures de notification de fuite aux clients avec des délais précis
### 3.7 Fuite de données de l'Agence du revenu du Canada (2020)
| Détails | Informations |
| ------------------------ | ------------------------------------------------------------------------------------------------------------- |
| Date | Août 2020 |
| Nombre de clients touchés| Plus de 11 000 comptes confirmés (potentiellement plus) |
| Données piratées | - NAS
- Dossiers des contribuables
- Informations sur le dépôt direct
- Identifiants de connexion (via des mots de passe réutilisés) |
En août 2020, l'Agence du revenu du Canada (ARC) a été victime de deux cyberattaques distinctes qui, ensemble, ont conduit à la compromission de plus de 11 000 comptes en ligne individuels. Les attaques ont tiré parti d'une technique de bourrage d'identifiants, où des pirates informatiques ont utilisé des noms d'utilisateur et des mots de passe préalablement volés lors de fuites non liées pour accéder aux comptes de l'ARC. Une fois à l'intérieur, les attaquants ont pu consulter des informations sensibles sur les contribuables, modifier les détails de dépôt direct et, dans certains cas, demander des prestations [gouvernementales](https://www.corbado.com/passkeys-for-public-sector) liées à la pandémie.
La fuite a exposé des failles importantes à la fois dans les pratiques du côté utilisateur (comme la réutilisation des mots de passe) et dans les contrôles de sécurité au niveau du système de l'ARC. L'absence d'authentification multifacteur généralisée et de détection en temps réel d'activités suspectes a permis aux attaquants d'exploiter un vecteur commun à grande échelle, bien qu'il s'agisse d'une méthode d'attaque bien connue.
**Méthodes de prévention :**
- Rendre obligatoire l'authentification multifacteur (par ex. avec des clés d’accès) pour les services en ligne
- Mettre en œuvre la limitation de débit et la détection d'anomalies pour les tentatives de connexion
- Mettre en œuvre une technologie d'authentification résistante au phishing, comme les clés d’accès
### 3.8 Fuite de données de Rogers Communications (2015/2018/2020)
| Détails | Informations |
| ------------------------ | ------------------------------------------------------------------------------------------------------------- |
| Date | Mars 2015, 2018 et 2020 |
| Nombre de clients touchés| Environ 58 000 (2018) ; ampleur incertaine pour les autres |
| Données piratées | - Adresses e-mail
- Coordonnées professionnelles
- E-mails internes
- Informations de compte client |
Sur une période de cinq ans, Rogers Communications a connu de multiples fuites de données impliquant à la fois des comptes d'employés internes et des dossiers de clients externes. L'incident le plus médiatisé s'est produit en 2015 lorsqu'un groupe de pirates informatiques nommé TeamHans a publié des données internes de Rogers et des journaux d'e-mails après l'échec d'une tentative d'extorsion. Les fuites ultérieures de 2018 et 2020 auraient impliqué un accès non autorisé aux comptes clients, mais les détails publics sont restés limités. Dans au moins un cas, les données divulguées semblaient provenir du compte d'un employé compromis qui avait accès à de multiples dossiers de clients professionnels.
Ces fuites récurrentes reflètent à la fois des menaces externes et des défaillances des contrôles internes, en particulier autour de la sécurité des e-mails, des autorisations d'accès et de la détection rapide des anomalies. Bien que le nombre de personnes touchées ait été relativement modéré par rapport à des incidents à plus grande échelle, la fréquence et la visibilité des attaques ont soulevé de sérieuses inquiétudes quant à la posture globale de cybersécurité de Rogers.
**Méthodes de prévention :**
- Mettre en œuvre des outils de surveillance des e-mails et de détection des anomalies
- Appliquer des restrictions d'accès privilégié pour les comptes internes
- Former les employés à reconnaître et à signaler les tentatives d'ingénierie sociale
### 3.9 Fuite de données de Home Depot Canada (2020)
| Détails | Informations |
| ------------------------ | ----------------------------------------------------------------------------------------- |
| Date | Novembre 2020 |
| Nombre de clients touchés| Nombre exact non divulgué (décrit comme "petit") |
| Données piratées | - Noms
- Adresses e-mail
- Numéros de commande
- Quatre derniers chiffres des cartes de paiement |
En novembre 2020, Home Depot Canada a connu un incident de données découlant d'une erreur de système interne plutôt que d'une cyberattaque. Le problème a conduit des clients à recevoir des dizaines, voire dans certains cas des centaines, d'e-mails erronés contenant des confirmations de commande destinées à d'autres personnes. Ces e-mails comprenaient des informations partielles de [paiement](https://www.corbado.com/passkeys-for-payment) et des coordonnées personnelles. Bien que Home Depot ait déclaré que seul un petit nombre de clients a été affecté, la nature de l'exposition a créé un vecteur potentiel pour le phishing ou la fraude.
Cette fuite était un exemple clair de la façon dont les dysfonctionnements opérationnels dans les systèmes automatisés peuvent tout de même entraîner de graves problèmes de confidentialité. Elle a également illustré les risques de ne pas valider correctement les communications sortantes ou de ne pas séparer les données des utilisateurs au sein des systèmes qui génèrent des messages destinés aux clients.
**Méthodes de prévention :**
- Mettre en place des mesures de protection pour les communications sortantes avec les clients
- Effectuer des tests de routine sur les systèmes de commande et de messagerie
- Utiliser des contrôles d'accès plus stricts dans les outils d'automatisation destinés aux clients
### 3.10 Fuite de données de TransUnion Canada (2019)
| Détails | Informations |
| ------------------------ | --------------------------------------------------------------------------------------------------------------------------------------- |
| Date | Révélé en octobre 2019 |
| Nombre de clients touchés| Environ 37 000 personnes |
| Données piratées | - Noms
- Dates de naissance
- Informations sur le crédit et les prêts
- Adresses (actuelles et anciennes)
- Possiblement numéros d'assurance sociale |
En 2019, TransUnion Canada a révélé que les données personnelles d'environ 37 000 Canadiens avaient été consultées par un tiers grâce aux identifiants de connexion compromis de l'un des clients commerciaux de TransUnion. Les attaquants n'ont pas piraté les systèmes de TransUnion directement, mais ont plutôt exploité le compte d'un utilisateur légitime pour accéder à des informations de crédit hautement sensibles. La fuite a persisté pendant environ deux mois avant d'être détectée.
Cet incident a mis en évidence le risque important que les partenaires commerciaux et les clients peuvent représenter pour la sécurité des données, en particulier lorsqu'ils se voient accorder un large accès aux données des consommateurs. Il a également souligné l'importance de vérifier que les clients d'entreprise respectent les normes de sécurité qui correspondent à la sensibilité des données auxquelles ils sont autorisés à accéder.
**Méthodes de prévention :**
- Appliquer des politiques strictes d'accès des tiers et de surveillance
- Appliquer l'authentification multifacteur pour tous les comptes de partenaires
- Utiliser l'analyse comportementale pour signaler les schémas d'accès inhabituels
### 3.11 Fuite de données de Nova Scotia Power (2025)
| Détails | Informations |
| ------------------------ | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ |
| Date | Mars 2025 (détecté le 25 avril) |
| Nombre de clients touchés| Environ 280 000 personnes |
| Données piratées | - Noms complets
- Dates de naissance
- Adresses e-mail et numéros de téléphone
- Adresses postales et de service
- Numéros de permis de conduire (pour certains)
- Numéros d'assurance sociale (environ 140 000 clients)
- Détails de comptes bancaires pour les paiements préautorisés
- Historique de facturation et de crédit
- Données de consommation d'électricité et demandes de service |
En mars 2025, Nova Scotia Power a subi une attaque par ransomware qui a exposé les informations personnelles et financières sensibles de près de 280 000 clients, ce qui représente près de la moitié de sa clientèle. La fuite est passée inaperçue pendant plus d'un mois avant d'être identifiée fin avril, date à laquelle les données volées avaient déjà été publiées en ligne. Contrairement à d'autres cas, le service public a refusé de payer la rançon, invoquant des restrictions légales et les conseils des organismes chargés de l'application de la loi.
L'attaque a fait l'objet d'un examen minutieux en raison de l'ampleur et de la sensibilité des données collectées, en particulier l'inclusion des numéros d'assurance sociale (NAS) et des coordonnées bancaires pour les [paiements](https://www.corbado.com/passkeys-for-payment) préautorisés. Les experts ont remis en question la nécessité de stocker des identifiants aussi sensibles, compte tenu des risques à long terme de vol d'identité. Certains clients concernés ont déjà reçu des alertes concernant la circulation de leurs données sur le dark web. Bien que Nova Scotia Power ait offert deux ans de surveillance de crédit gratuite par le biais de TransUnion, les critiques soutiennent que c'est une protection insuffisante pour des données permanentes comme les NAS. Les réactions du public ont déclenché des enquêtes par le Commissaire à la protection de la vie privée du Canada, et les dirigeants devraient témoigner devant les législateurs début juin. Une enquête a été ouverte en vertu de la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE).
**Méthodes de prévention :**
- Minimiser la collecte et la conservation d'identifiants personnels à haut risque (par ex., les NAS)
- Appliquer des contrôles d'accès stricts et une protection des terminaux contre les ransomwares
- Surveiller en permanence les systèmes avec des outils de détection et de réponse aux menaces
- Conserver des sauvegardes chiffrées et immuables pour permettre une récupération rapide
## 4. Tendances des fuites de données au Canada
Après avoir examiné les plus grandes fuites de données survenues au Canada jusqu'en 2025, nous pouvons formuler quelques observations récurrentes à travers ces incidents :
### 4.1 Les initiés et les erreurs internes sont une menace majeure
Contrairement à l'image dramatique des pirates informatiques franchissant les pare-feux, beaucoup des fuites les plus dommageables au Canada ont été causées par des menaces internes ou par des mauvaises configurations des systèmes internes. Ce type de menaces est particulièrement difficile à détecter car elles proviennent de sources de confiance au sein de l'organisation. Dans certains cas, comme celui de Desjardins, la fuite a duré plus de deux ans avant d'être découverte. Cela met en évidence une lacune critique dans la façon dont les entreprises gèrent les accès et surveillent l'activité interne. Mettre en œuvre de solides processus de vérification de [bénéficiaire effectif](https://ondato.com/blog/ultimate-beneficial-ownership/) peut aider les organisations à mieux identifier et gérer les risques internes.
### 4.2 Des erreurs simples peuvent avoir des conséquences massives
Toutes les fuites de données ne sont pas le résultat d'une cyberguerre avancée. En fait, certains des incidents les plus répandus se sont résumés à des problèmes de base, réparables, tels que des bases de données non sécurisées, des systèmes mal configurés, des [applications d'espionnage cachées](https://clario.co/blog/how-to-find-hidden-spy-apps-on-android/) non détectées ou des paramètres de sécurité oubliés. Ces vulnérabilités passent souvent inaperçues jusqu'à ce qu'il soit trop tard, et pourtant ce sont parmi les plus faciles à prévenir avec des audits réguliers.
### 4.3 Les ransomwares sont devenus l'une des cybermenaces les plus perturbatrices
Ce qui semblait autrefois être une cybercriminalité de niche est maintenant devenu une cause principale de fuites de données et d'arrêts opérationnels. Les attaques par ransomware, où des acteurs malveillants chiffrent des systèmes critiques et exigent un paiement pour restaurer l'accès, ont touché des entreprises de toutes tailles, dans tous les secteurs, de la [santé](https://www.corbado.com/passkeys-for-healthcare) à la fabrication. Au-delà de la perte financière, ces attaques peuvent arrêter les opérations quotidiennes, nuire à la confiance des clients et créer des dommages durables à la réputation.
### 4.4 Personne n'est à l'abri, même les services publics sont attaqués
Les cyberattaques ne se limitent plus au monde de l'entreprise. Nous avons vu des fuites toucher des hôpitaux, des organismes [gouvernementaux](https://www.corbado.com/passkeys-for-public-sector), les forces de l'ordre et les services publics. Lorsque ces systèmes sont perturbés, les conséquences ne sont pas seulement numériques mais elles ont un impact sur la vie réelle des gens.
## 5. Conclusion
La liste croissante des fuites de données au Canada révèle une vérité claire et urgente : des grands fournisseurs de soins de [santé](https://www.corbado.com/passkeys-for-healthcare) et des institutions financières aux agences gouvernementales et aux géants de la [vente au détail](https://www.corbado.com/passkeys-for-e-commerce), les attaquants exploitent un large éventail de vulnérabilités. Les failles techniques, les menaces internes et même de simples mauvaises configurations font partie intégrante des grandes fuites de données. Les conséquences ne sont pas seulement financières, mais profondément personnelles, affectant des millions de Canadiens dont les données ont été exposées ou volées.
Ce qui ressort, c'est combien de ces fuites auraient pu être évitées grâce à des pratiques de base en matière de cybersécurité : des contrôles d'accès stricts, la formation des employés, des audits réguliers des systèmes et des configurations sécurisées. Dans le même temps, la sophistication croissante des attaques par ransomware et du bourrage d'identifiants montre que les défenses de base ne suffisent plus. Les organisations doivent continuellement faire évoluer leurs stratégies de sécurité, en adoptant des modèles zero-trust, une surveillance avancée et des plans de réponse aux incidents.
## Foire aux questions
### Comment les pirates ont-ils accédé aux comptes de l'Agence du revenu du Canada en 2020 sans pirater directement les systèmes de l'ARC ?
Les attaquants ont utilisé le bourrage d'identifiants, en insérant des paires de noms d'utilisateur et de mots de passe préalablement volées dans le portail de connexion de l'ARC. Comme les utilisateurs réutilisaient leurs mots de passe et que l'ARC manquait d'authentification multifacteur généralisée, plus de 11 000 comptes ont été compromis, permettant aux attaquants de modifier les détails de dépôt direct et de demander des prestations gouvernementales liées à la pandémie.
### Pourquoi la fuite de données de Desjardins est-elle passée inaperçue pendant plus de deux ans ?
Un employé malveillant a collecté et divulgué des données pendant au moins 26 mois sans déclencher les systèmes de surveillance de Desjardins. L'exfiltration n'a été découverte qu'après l'intervention du Commissaire à la protection de la vie privée du Canada, exposant finalement les détails personnels et financiers de 9,7 millions de personnes, ce qui en fait l'un des cas de menace interne les plus importants de l'histoire des entreprises canadiennes.
### Qu'est-ce qui a rendu l'attaque par ransomware de Nova Scotia Power en 2025 particulièrement grave par rapport aux autres fuites canadiennes ?
L'attaque a exposé les numéros d'assurance sociale d'environ 140 000 clients et les détails de comptes bancaires pour les paiements préautorisés, couvrant près de la moitié de la clientèle du service public. Les données volées ont été publiées en ligne avant la détection, et les critiques affirment que les deux années de surveillance de crédit gratuite offertes sont insuffisantes pour des identifiants permanents comme les NAS.
### Comment la fuite de données canadienne d'Yves Rocher en 2019 s'est-elle produite malgré l'absence de piratage direct des propres systèmes de l'entreprise ?
Des chercheurs ont découvert une base de données Elasticsearch non protégée hébergée par un fournisseur tiers, exposant les dossiers d'environ 2,5 millions de personnes avec un accès en lecture/écriture et sans aucune authentification requise. L'incident montre que les failles de sécurité des fournisseurs et de la chaîne d'approvisionnement peuvent directement exposer les données des clients, y compris des informations commerciales confidentielles telles que les formules de produits et les mesures de performance des magasins.