La journée du 26 août 2026 restera comme l'une de ces dates où trois dossiers distincts finissent par raconter la même histoire. D'un côté, le fabricant américain de dispositifs médicaux Boston Scientific reconnaît qu'une cyberattaque perturbe ses activités à l'échelle mondiale. De l'autre, OpenAI publie son rapport officiel sur la brèche survenue chez Hugging Face, un maillon central de la chaîne d'approvisionnement de l'intelligence artificielle. Et pendant ce temps, le FBI annonce avoir neutralisé un réseau d'outils mandataires chinois ayant servi à infiltrer, pendant des mois, des organismes fédéraux américains parmi les plus sensibles.
Trois incidents, trois secteurs, une même zone grise : personne ne s'entend sur ce qu'il faut dire aux personnes touchées, ni quand, ni ce que celles-ci peuvent réclamer. C'est précisément ce vide que vient éclairer une nouvelle venue de France, où des contribuables victimes du piratage de l'administration fiscale se regroupent pour poursuivre l'État.
Un fabricant de stimulateurs cardiaques dans le noir
Selon TechCrunch, Boston Scientific a confirmé qu'un incident de cybersécurité provoquait une « perturbation mondiale » de ses opérations. L'entreprise, dont le siège se trouve à Marlborough au Massachusetts, emploie plus de 50 000 personnes et vend ses produits dans une centaine de pays. Son catalogue n'a rien d'anodin : stimulateurs cardiaques, défibrillateurs implantables, neurostimulateurs, endoprothèses, systèmes de cartographie cardiaque. Une part croissante de ces appareils communique avec des plateformes infonuagiques de suivi à distance.
Or, toujours selon TechCrunch, l'entreprise refuse de préciser deux choses : si des dispositifs médicaux sont touchés, et si des données de clients ou de patients ont été exfiltrées. C'est là que le bât blesse. Une interruption d'usine ou de logistique est un problème d'affaires. Une atteinte à l'intégrité d'un réseau de télésurveillance cardiaque est un problème de santé publique. Et une exfiltration de données cliniques est un problème juridique, avec des obligations d'avis qui varient radicalement d'une juridiction à l'autre.
Le silence n'est pas neutre. La Food and Drug Administration américaine exige depuis 2023, en vertu de l'article 524B du Federal Food, Drug, and Cosmetic Act, que les fabricants de dispositifs « cyberconnectés » soumettent un plan de gestion des vulnérabilités et maintiennent une nomenclature logicielle. Mais ces exigences portent sur la conception du produit, pas sur la vitesse de communication en situation de crise.
Le Québec, dépendant sans le dire
Pourquoi ce dossier concerne-t-il le réseau de la santé québécois? Parce que les hôpitaux d'ici ne fabriquent pas leurs stimulateurs cardiaques. Ils les achètent auprès d'une poignée de multinationales — Medtronic, Abbott, Boston Scientific — et branchent les plateformes de télésurveillance correspondantes sur leurs propres réseaux. Une paralysie mondiale chez un fournisseur de ce calibre se traduit très concrètement par des reports de chirurgies, des ruptures d'approvisionnement en cathéters ou en sondes, et une incertitude sur les suivis à distance.
Le réseau québécois connaît déjà la chanson. En décembre 2022, la panne informatique majeure du CIUSSS du Nord-de-l'Île-de-Montréal, causée par une cyberattaque, avait forcé le retour au papier et à la télécopie pendant des semaines. En 2021, le vol de données chez Héma-Québec avait touché des dizaines de milliers de donneurs. Santé Québec gère aujourd'hui un parc de dispositifs connectés que personne, à l'échelle du réseau, ne peut inventorier en temps réel avec certitude — un constat que le Vérificateur général du Québec a déjà formulé sous d'autres formes au sujet de la gouvernance des actifs informationnels du réseau.
Quand le client documente la brèche à la place du fournisseur
Le deuxième volet du dossier est plus insidieux. TechCrunch rapporte qu'OpenAI a publié son rapport officiel sur la brèche chez Hugging Face, un document qui couvre plusieurs compromissions distinctes et qui constitue, à ce jour, la reddition de comptes la plus complète sur l'incident.
Relisez cette phrase. La documentation la plus complète d'une brèche chez un fournisseur a été produite par un client. Hugging Face n'est pas un acteur marginal : la plateforme héberge des centaines de milliers de modèles d'apprentissage automatique et de jeux de données que téléchargent quotidiennement les équipes de développement du monde entier, y compris au Québec, où l'écosystème de l'IA — Mila, Scale AI, IVADO — s'appuie massivement sur ces dépôts publics.
Une compromission à ce niveau relève de l'attaque de chaîne d'approvisionnement, la même logique que SolarWinds en 2020 ou XZ Utils en 2024 : on n'attaque pas la cible, on attaque ce qu'elle télécharge. Hugging Face avait d'ailleurs déjà révélé en juin 2024 un accès non autorisé à son service Spaces, forçant la révocation de jetons d'authentification. Le fait qu'un client se substitue au fournisseur pour l'exercice de transparence en dit long sur l'absence d'obligation légale claire, en matière d'IA, quant à qui doit avertir qui.
Des mois d'infiltration fédérale
Troisième volet : WIRED rapporte que le FBI a perturbé des outils mandataires utilisés par des acteurs chinois dans une campagne de piratage massive visant, selon le département de la Justice, la NASA, la Réserve fédérale, le Sénat américain et le ministère de la Justice lui-même. L'usage de réseaux mandataires résidentiels pour masquer l'origine du trafic est la signature d'opérations comme Volt Typhoon et Salt Typhoon, déjà documentées par la CISA et par plusieurs partenaires du Groupe des cinq, dont le Centre canadien pour la cybersécurité.
Ce qui frappe, ici, c'est la durée. Des mois d'accès non détecté au cœur de l'appareil d'État américain. Le Centre canadien pour la cybersécurité a lui-même identifié, dans son Évaluation des cybermenaces nationales, la République populaire de Chine comme la menace étatique la plus soutenue visant les infrastructures canadiennes.
Le tournant français : poursuivre l'État pour sa négligence
Et c'est là qu'intervient l'élément le plus neuf du dossier. Le site français Les Numériques rapporte qu'à la suite du piratage de l'administration fiscale attribué au groupe ZeroBytes, des victimes se regroupent dans une action collective coordonnée par l'avocat Jérémy Roche pour obtenir une indemnisation.
Le geste est significatif parce qu'il inverse la charge. Jusqu'ici, la fuite de données était traitée comme une fatalité : on vous offre deux ans de surveillance de crédit et on passe à autre chose. Le droit européen, lui, a évolué. L'article 82 du Règlement général sur la protection des données prévoit un droit à réparation pour tout dommage matériel ou moral. La Cour de justice de l'Union européenne a précisé, dans l'arrêt Österreichische Post de décembre 2023, que la simple crainte d'un usage abusif des données peut constituer un dommage moral indemnisable — sans seuil de gravité minimal, mais à condition de prouver le préjudice.
Ce que la Loi 25 change — et ne change pas — au Québec
Le Québec n'est pas démuni. Depuis septembre 2022, la Loi 25 impose à toute entreprise et à tout organisme public de déclarer sans délai à la Commission d'accès à l'information tout incident de confidentialité présentant un risque de préjudice sérieux, et d'en aviser les personnes concernées. Un registre des incidents est obligatoire.
Les sanctions, en vigueur depuis septembre 2023, sont substantielles : jusqu'à 25 millions de dollars ou 4 % du chiffre d'affaires mondial pour les sanctions pénales, et des sanctions administratives pécuniaires pouvant atteindre 10 millions ou 2 % du chiffre d'affaires. Surtout, l'article 93.1 crée un droit d'action privé avec dommages punitifs d'au moins 1 000 $ en cas d'atteinte illicite et intentionnelle ou de faute lourde.
Mais deux limites sautent aux yeux à la lumière du 26 août. D'abord, la notion de « risque de préjudice sérieux » laisse à l'organisation elle-même le soin de juger — un fournisseur qui refuse de dire si des données ont été exfiltrées se place, de facto, en position d'arbitre de sa propre obligation. Ensuite, l'application extraterritoriale reste théorique : quand le fournisseur est à Marlborough et l'hébergeur de modèles à New York, la CAI dispose de moyens de contrainte limités.
L'action collective française trace donc une voie parallèle : si la régulation tarde, la responsabilité civile prend le relais. Le Québec, avec son régime d'action collective parmi les plus accessibles en Amérique du Nord et un article 93.1 qui n'a encore été que peu testé devant les tribunaux, dispose des outils pour suivre. Il ne manque qu'un dossier suffisamment documenté — et, ironiquement, une victime prête à ne pas se contenter de deux ans de surveillance de crédit.