Deux dossiers distincts, publiés à quelques jours d'intervalle dans la presse technologique internationale, racontent au fond la même histoire. D'un côté, une intrusion informatique chez le plus grand exploitant aéroportuaire du Royaume-Uni, qui aurait touché près de neuf millions d'usagers. De l'autre, l'arrestation de deux présumés membres du groupe TeamPCP, accusé d'avoir compromis plus d'un millier d'organisations par des attaques dites « de chaîne d'approvisionnement ». Le premier montre ce qu'on perd. Le second montre à quel point il est difficile de le récupérer.
Neuf millions d'usagers, et un détail qui change tout
Selon TechRadar, la brèche visant l'exploitant aéroportuaire britannique aurait exposé des adresses courriel, des numéros de téléphone, des codes postaux — et des immatriculations de véhicules. Aucune revendication n'avait encore été formulée au moment des premières informations, et les données ne circulaient pas, à ce stade, sur les places de marché du web clandestin.
À première vue, le butin paraît modeste. Pas de numéros de carte de crédit, pas de mots de passe, pas de passeports. C'est précisément ce qui rend le dossier instructif : la fuite ne provient pas du cœur des systèmes aéronautiques, mais très vraisemblablement de la périphérie commerciale — la réservation de stationnement en ligne, ce service anodin qu'on utilise pour éviter de tourner en rond avec les valises et la belle-famille dans l'auto.
Or, une plaque d'immatriculation jumelée à un code postal, à un courriel et à un numéro de téléphone, ce n'est plus un enregistrement transactionnel. C'est un profil. La plaque relie une personne à un objet physique traçable par des caméras de reconnaissance; le code postal la localise; le courriel et le téléphone permettent de l'atteindre. Ajoutez-y les dates de la réservation, et vous savez quand cette personne quittait le pays, donc quand son domicile était vide. Les corps policiers britanniques et québécois répètent depuis des années que les vols par introduction par effraction se planifient avec ce genre d'information.
Le stationnement, angle mort de la protection des renseignements personnels
Au Québec, on associe spontanément la fuite de données aux institutions financières — la brèche chez Desjardins en 2019, qui a touché 9,7 millions de personnes, reste la référence collective — ou aux ministères. Beaucoup moins aux infrastructures de transport. Pourtant, Aéroports de Montréal, Aéroports de Québec et les régies municipales de stationnement exploitent des écosystèmes de données étonnamment denses : réservations en ligne, abonnements mensuels, applications mobiles de paiement, lecture automatisée de plaques d'immatriculation à l'entrée et à la sortie, bornes de recharge, caméras de surveillance.
Ces systèmes sont rarement conçus à l'interne. Ils reposent sur des fournisseurs spécialisés — plateformes de paiement mobile, intégrateurs de contrôle d'accès, hébergeurs infonuagiques — dont la sécurité conditionne celle de l'exploitant. C'est exactement le vecteur qu'exploitait TeamPCP selon Ars Technica : plutôt que d'attaquer mille organisations une à une, on compromet un maillon commun et on laisse la mise à jour logicielle faire le travail de propagation. Le modèle a été popularisé par l'affaire SolarWinds en 2020, puis par la campagne MOVEit en 2023, qui a fait des centaines de victimes en cascade, dont plusieurs organisations canadiennes.
Le Centre canadien pour la cybersécurité classe d'ailleurs depuis plusieurs cycles les attaques de chaîne d'approvisionnement parmi les menaces les plus préoccupantes pour les infrastructures essentielles canadiennes, aux côtés des rançongiciels. Le transport y figure explicitement.
Ce que la Loi 25 impose — et ce qu'elle ne règle pas
Depuis l'entrée en vigueur progressive de la Loi 25 (l'ancien projet de loi 64), les entreprises québécoises, y compris les exploitants privés de stationnements, sont soumises à des obligations que peu d'usagers connaissent. Trois méritent d'être rappelées.
D'abord, la notification. Depuis septembre 2022, toute organisation qui constate un « incident de confidentialité » présentant un risque de préjudice sérieux doit en aviser la Commission d'accès à l'information du Québec et les personnes concernées avec diligence. Elle doit aussi tenir un registre de ces incidents. Le critère du préjudice sérieux s'évalue notamment selon la sensibilité des renseignements et leur risque d'utilisation malveillante — et une plaque associée à un code postal coche plusieurs cases.
Ensuite, la conservation. Le principe est simple et rarement appliqué : les renseignements personnels doivent être détruits ou anonymisés lorsque la finalité pour laquelle ils ont été recueillis est accomplie. Une réservation de stationnement pour un voyage de mars 2019 n'a aucune raison de subsister en 2026 dans une base de données consultable. C'est pourtant ce genre d'accumulation par inertie qui gonfle les bilans de brèches à des millions d'enregistrements.
Enfin, depuis septembre 2023, les organisations doivent réaliser une évaluation des facteurs relatifs à la vie privée avant d'acquérir ou de développer un système qui recueille des renseignements personnels — ce qui vise directement les systèmes de lecture de plaques et les applications de paiement.
Du côté fédéral, la LPRPDE s'applique aux entreprises fédérales et aux activités commerciales interprovinciales; les aéroports canadiens, relevant de la compétence fédérale, évoluent dans cet univers, avec l'obligation de déclarer au Commissariat à la protection de la vie privée du Canada les atteintes présentant un « risque réel de préjudice grave ». La réforme censée moderniser cette loi, le projet de loi C-27, est morte au feuilleton en janvier 2025 avec la prorogation du Parlement. Le Canada demeure donc, à l'échelle fédérale, sous un régime conçu en 2000 et rafistolé en 2018.
Pourquoi les arrestations ne réparent rien
Le second volet du dossier est en apparence une bonne nouvelle. Deux présumés membres de TeamPCP ont été appréhendés, dans un groupe crédité de plus d'un millier de compromissions. Les opérations coordonnées de ce type se sont multipliées ces dernières années, notamment contre les écosystèmes de rançongiciels comme LockBit, démantelé partiellement en 2024 par l'opération Cronos menée par la National Crime Agency britannique et Europol.
Mais l'arrestation, pour la victime, ne change à peu près rien. Une plaque d'immatriculation ne se réinitialise pas. Un code postal ne s'annule pas comme une carte de crédit. Un numéro de téléphone reste le même pendant des décennies, et il constitue aujourd'hui la clé de l'authentification à deux facteurs de la moitié des services en ligne — ce qui alimente la fraude par échange de carte SIM et l'hameçonnage ciblé.
Autrement dit, la judiciarisation punit l'auteur sans démobiliser la donnée. Une fois extraites, les bases sont copiées, revendues, recoupées avec d'autres fuites. Le préjudice n'a pas de date d'expiration, alors que les procédures pénales, elles, s'étirent sur des années et n'aboutissent qu'à une fraction des cas.
Ce que ça change, concrètement
WIRED racontait récemment le calvaire d'un journaliste ayant demandé ses données à plus d'une centaine d'entreprises en vertu du droit d'accès californien : au lieu de ses dossiers, il a surtout reçu des avis de suppression. Le parallèle vaut ici. Au Québec, la Loi 25 vous donne un droit d'accès, un droit de rectification, et depuis 2024 un droit à la portabilité. Rien n'empêche un usager d'écrire au responsable de la protection des renseignements personnels d'un exploitant de stationnement pour lui demander ce qui est conservé, et pendant combien de temps.
Pour les organisations, la leçon est plus structurelle. La sécurité d'un aéroport ne se mesure plus uniquement à ses portiques et à ses périmètres clôturés, mais à la posture du plus petit sous-traitant qui gère les réservations de stationnement. Et la meilleure défense contre une fuite de données reste celle qu'aucun pare-feu ne remplace : ne pas les avoir gardées.