Des documents qui semblent être des secrets commerciaux contenant des informations stratégiques, des estimations de fournisseurs et des prix payés aux sous-traitants font partie des fichiers volés à BRP lors de la cyberattaque il y a deux semaines et maintenant disponibles sur le web caché (dark web).
Posté à 5h00
Julien Arsenault La Presse
Hugo Joncas La Presse
En plus des informations personnelles, comme des copies de passeports et de visas de résidence, La Presse a pu consulter des dossiers qui lèvent le rideau sur les orientations – dont certaines très récentes – des manufacturiers de Ski-Doo, Sea-Doo et Can- Suis .
Certains d’entre eux contiennent beaucoup de détails sur les procédures de choix d’un fournisseur de batterie, élément clé d’une voiture électrique. Une présentation de février dernier comprenait des prix offerts par des partenaires potentiels, des données sur les besoins de BRP et des réductions de coûts potentielles au fil du temps en fonction des volumes commandés.
“La batterie est la partie la plus chère de la voiture [et l’entreprise] représente la meilleure option pour tous les scénarios avec un prix inférieur au prix estimé », peut-on lire sur le fournisseur cible dans le document que La Presse a pu lire.
Jeudi après-midi, l’entreprise nommée dans la présentation n’a pas répondu aux questions de La Presse.
Dans sa dernière mise à jour sur la cyberattaque de mercredi, la multinationale québécoise basée à Valcourt a déclaré que la fuite d’informations sur ses fournisseurs était limitée en termes “de quantité et de sensibilité”.
Cependant, la cyberattaque a permis la diffusion d’informations qui pourraient s’avérer utiles aux concurrents.
Les impacts sont “significatifs”, selon Jan Kimon, professeur au département de gestion de l’Université Laval, même s’il s’attend à ce que BRP “surmonte la tempête”.
“Divulguer les prix, les marges, les volumes attendus, cela peut être un défi pour l’entreprise”, dit-il. Les concurrents auront une meilleure idée de la structure des coûts et sauront se positionner. Entre fournisseurs, s’il existe des ententes intéressantes par rapport à la moyenne de l’industrie, cela donnera un pouvoir de négociation aux concurrents qui tenteront d’obtenir des économies auprès de ces mêmes fournisseurs. »
PHOTO PAR GRAHAM HUGHES, ARCHIVES DE LA PRESSE CANADIENNE
L’usine de Valcourt faisait partie des sites temporairement fermés en raison de la cyberattaque.
Plusieurs des dizaines de milliers de fichiers des opérateurs de ransomware RansomExx en disent plus sur la relation commerciale entre BRP et son fournisseur de batteries. Par exemple, un dossier mentionne les montants d’achats potentiels, les conditions d’ajustement des prix des matières premières, la devise utilisée pour effectuer les paiements.
“Ce sont des informations qui vous désavantagent sur le plan concurrentiel”, a déclaré Mark Warner, spécialiste du droit commercial. S’il y a des informations récentes (stratégies, prix), c’est important. »
Noms “stratégiques”
Dans les autres dossiers analysés par La Presse, un document volé intitulé “Achats stratégiques” présente une liste de 307 fournisseurs majeurs, ainsi que la valeur des biens qu’ils ont achetés pour BRP, au dollar près. Ces ventes totales dépassent les deux milliards.
Ces fournisseurs comprennent de nombreuses entreprises québécoises, dont plusieurs manufacturiers de pièces de plastique pour véhicules BRP, comme Soucy International. Jointe par La Presse, l’entreprise de Drummondville a confirmé avoir été alertée que son nom figurait dans des dossiers volés.
“Nous avons reçu une lettre conjointe”, a déclaré la porte-parole de Soucy International, Joanie Mailhot. Nous n’avons aucune idée de la nature des informations partagées. »
On a également retrouvé dans les dossiers volés une présentation de plusieurs dizaines de pages sur une proposition de trajectoire visant à refondre et standardiser les modes de livraison au sein de la multinationale. Certains des objectifs sont prévisibles : atteindre l’efficacité et générer des économies.
La Presse a également pu constater que les données confidentielles de plusieurs fournisseurs de composantes – housses de motoneige, supports de déflecteur, etc. – ont été proposés à travers des dizaines de fichiers de dessins techniques. Petite consolation pour BRP : certains détails manquent, comme les dimensions des pièces.
Qu’est-ce que la limitation des dommages en termes d’ingénierie, selon Aurelian Vadean, professeur agrégé en génie mécanique à Polytechnique Montréal, qui a été mis au courant du contenu de certains dossiers à notre demande.
“C’est moins nocif car il n’y a pas de mesures ou d’indicateurs de tolérance”, explique-t-il. Cependant, il y a des implications marketing. Un dessin de couverture technique peut donner une idée de ce à quoi ressemblera la pièce produit. C’est nocif, mais moins d’un point de vue technique. »
En réponse aux questions de La Presse, la BRP s’est dite “au courant des documents” publiés en ligne. L’entreprise n’a pas voulu commenter davantage, rappelant que son enquête est “toujours en cours” et que “la situation continue d’évoluer”.
En savoir plus
-
20 000 C’est l’effectif mondial de BRP. La société exploite 11 usines dans six pays.
Source : brp
Add Comment