Des dizaines de milliers de fichiers contenant des données confidentielles du Collège Montmorency sont disponibles gratuitement sur le dark web. Problèmes de santé mentale des employés, enquêtes disciplinaires, notamment sur des allégations d’inconduite sexuelle, allégations de plagiat… Depuis la cyberattaque du 11 mai, les dirigeants de l’establishment sont restés muets sur ses retombées. La presse mesure l’étendue des dégâts.
Posté à 5h00
Hugo Joncas La Presse
Les étudiants et le personnel ont été laissés dans le noir
PHOTO OLIVIER JEAN, LA PRESSE
Coralie Bouchard, étudiante au Collège Montmorency et victime d’une violation de données confidentielles
En avril, Coralie Bouchard a dû soumettre ses informations personnelles au Collège Montmorency pour recevoir une bourse d’excellence sportive de 250 $. Aujourd’hui, son numéro de sécurité sociale, sa date de naissance, son adresse et son numéro de téléphone portable sont sur le dark web, ainsi que des données confidentielles sur des centaines d’étudiants et de cégep.
« Le collège ne m’a pas prévenu. Si tu ne me l’avais pas dit, je ne l’aurais pas encore su. J’en parlerai avec mes parents : ils en savent plus sur ce qu’il faut faire”, a déclaré la deuxième en techniques de kinésithérapie. Elle était mineure au moment de la cyberattaque qui a frappé l’établissement de Laval en mai dernier.
Les données contenaient aussi des informations beaucoup plus compromettantes : détails sur les problèmes psychiatriques du personnel, rapports d’enquêtes internes, dont au moins une sur un crime sexuel présumé, listes d’élèves accusés de plagiat… Même les indemnités de dépenses du proviseur Olivier Simard et le nombre de carte de crédit se retrouve sur le blog du pirate sur le Web caché.
Même si elles sont moins gênantes pour sa réputation, les données personnelles exfiltrées comme les “informations d’identification” de Coralie Bouchard peuvent aider les voleurs d’identité dans leurs méfaits. De quoi inquiéter la jeune femme : « J’ai déjà eu une fraude sur mon compte Desjardins. »
Les cybercriminels prétendent avoir 8 000 gigaoctets de données. Dès le 15 juillet, leur site invitait la direction à les contacter pour éviter une “full leak” de fichiers volés sur leur blog. Ils ont déjà publié des dizaines de milliers d’articles du Collège.
La Presse a choisi de ne pas nommer le groupe qui a mené l’attaque afin de ne pas faciliter la tâche aux cybercriminels.
Allégations d’inconduite sexuelle
Parmi les documents les plus sensibles, le dossier disciplinaire d’un professeur toujours employé au collège mentionne une enquête sur des allégations d’inconduite sexuelle faites anonymement sur un réseau social. Les dossiers comprennent un résumé de l’interrogatoire qu’il a subi et un e-mail intitulé “Conclusion de l’enquête”. Il précise qu'”aucun élément n’est inscrit” dans le dossier du professeur. “Nous comprenons cela […] vous n’avez aucun souvenir de la situation signalée et vous n’êtes donc pas en mesure d’y répondre », indique le message.
La Presse ne nomme pas l’enseignant en question car aucune accusation n’a été portée contre lui et aucune preuve ne permet de déterminer si les allégations sont fondées ou non.
Joint au téléphone après les cours, le professeur, devenu dépressif après ces événements, s’est étonné de ne pas avoir été prévenu de cette fuite. “Ce qu’on m’a dit à ce sujet, c’est que cela devait rester confidentiel. »
Information médicale
La fuite contenait également de nombreuses informations médicales sur les employés.
“La dame prend des anti-dépresseurs, c’est-à-dire Salopren depuis 2015 », indique par exemple un avis du Service d’évaluation médicale du ministère du Travail, de l’Emploi et de la Solidarité sociale, que l’on retrouve dans les documents collégiaux divulgués.
D’autres dossiers mentionnent « trouble anxieux généralisé », « dépression majeure récurrente » et « diagnostic de nature psychologique ».
Dossiers liés à la CNESST
Des informations pour les employés sur la Commission des normes, de l’équité, de la santé et de la sécurité au travail (CNESST) sont également disponibles. Le dossier fait référence aux cinq années de démarches entreprises par un salarié pour percevoir des indemnités suite à un accident du travail. Il contient tous les détails de sa commotion cérébrale, de ses migraines et de ses examens neurologiques. Avant-dernière note dans son histoire de cas : « En attente d’une évaluation psychiatrique. »
Faisant partie du Cégep, il n’a pas reçu le message général avertissant la communauté « que certaines données des serveurs informatiques du collège seraient exfiltrées ».
“C’était leur devoir de m’appeler”, a déclaré l’ancien employé, que La Presse a préféré ne pas nommer. Ce serait le moins. »
Le réseau caché contient également le dossier d’un professeur de géographie assuré en invalidité suite à un grave accident de vélo. Il comprend son adresse, son salaire, sa date de naissance, son numéro de portable et de nombreuses données médicales.
Joint par La Presse, Denis Bruno s’est dit “très choqué” que le Collège ne l’ait pas informé de cette fuite.
Nous avions une communication banale avec tout le monde, pas personnalisée. Je n’ai jamais eu de nouvelles qui me touchent directement.
Denis Bruno, professeur de géographie au Collège Montmorency
Les informations divulguées comprennent des listes de centaines d’employés, y compris leurs salaires, leurs coordonnées complètes et leur état civil.
De nombreuses fiches d’emploi, comme des suivis détaillés de plaintes, se retrouvent également parmi ces informations.
Des centaines d’étudiants sont impliqués
Le site du rançongiciel contenait également des fichiers contenant des informations sensibles sur des centaines d’étudiants. Après l’attaque de mai dernier, la porte-parole Marilyn Doucet a déclaré que le collège n’avait “aucune preuve que les informations personnelles des étudiants aient été compromises”.
Les pirates ont notamment publié une liste d’élèves accusés de plagiat et une autre liste d’élèves ayant eu des différends avec des professeurs.
Les syndicats dans la “gestion de crise”
Les représentants des différents syndicats d’employés du collège ont pris connaissance de l’ampleur de la fuite par des questions de La Presse mercredi.
PHOTO OLIVIER JEAN, LA PRESSE
Amélie Therrien, présidente du Syndicat des enseignantes et des enseignants du Collège Montmorency
“Je trouve cela extrêmement troublant”, a déclaré Amélie Therrien, présidente du Syndicat des enseignantes et des enseignants du Collège. Nous sommes bien en gestion de crise. »
Avant de prendre une position précise, il attend d’en savoir plus sur ce que la direction savait exactement de la gravité et de la nature de la fuite.
PHOTO OLIVIER JEAN, LA PRESSE
Mark Mailer, président du syndicat du personnel de soutien du Collège Montmorency
Même point de vue au sein du syndicat des travailleurs de soutien. “La réponse a été vive : les gens se sont rendus compte que des informations médicales avaient été exfiltrées”, a déclaré Mark Mailer, président du syndicat. Ce serait intéressant d’avoir des informations ! »
Il n’y a pas encore de réponses claires
Selon un expert en cybermenaces, les pirates ont probablement encore plus d’informations volées dans la banque et font pression sur le Collège en en publiant une partie.
“Selon nos données, près de 60 % des organisations victimes de ransomwares…
Add Comment