Un service informatique peut redémarrer alors que les conséquences d’un vol de données se prolongent. La cyberattaque contre la Commission de la construction du Québec (CCQ) l’illustre : après l’incident détecté le 24 août 2026 et le rétablissement des services le 8 septembre, la protection des personnes reste un dossier à part entière.
Pour les travailleurs et anciens travailleurs concernés, le point pratique n’est plus seulement de pouvoir se connecter. Il faut comprendre la communication reçue, vérifier la situation de son dossier et, lorsque cela s’applique, activer la protection proposée. Ces démarches ne se déclenchent pas toutes au moment où les serveurs retrouvent leur fonctionnement.
Près de 685 000 personnes : ce que mesure ce chiffre
Dans sa communication du 16 octobre, la CCQ explique avoir retenu un périmètre prudent : près de 685 000 personnes susceptibles d’être concernées par l’incident. Elle leur propose deux ans de surveillance du crédit et de protection de l’identité par Equifax, sans frais.
Ce total désigne le public auquel l’organisme souhaite offrir une protection. Il ne démontre pas que chacune de ces personnes a subi le vol des mêmes informations, ni qu’autant de fraudes ont eu lieu. La nuance change la lecture de l’affaire : une mesure de précaution large ne constitue pas un bilan individuel des dommages.
L’offre a été étendue à partir du 29 septembre, notamment à d’anciens travailleurs dont le numéro d’assurance sociale aurait été touché. La notification reçue par chaque personne reste donc importante pour comprendre sa propre situation ; le chiffre global ne la remplace pas.
Une protection proposée n’est pas une protection activée
La CCQ appelait encore les destinataires à agir dans son point du 16 octobre. Elle indiquait alors que seulement 10 % des personnes pouvant être concernées avaient activé le dispositif. Ce pourcentage est celui de cette communication datée : il ne décrit pas nécessairement la situation actuelle.
Ce décalage révèle une difficulté très concrète de l’après-incident. Envoyer un courrier, le faire arriver à la bonne adresse, obtenir sa lecture puis mener l’inscription à son terme sont quatre étapes différentes. Pour une personne qui n’a plus de relation récente avec l’organisme, le message peut aussi sembler inattendu. Le traiter comme un simple bulletin administratif risque de faire manquer une démarche utile.
L’APCHQ avait relayé un appel à vérifier les communications de la CCQ dès le 5 octobre. L’association invitait les entrepreneurs à repérer notamment le code d’activation et à consulter la foire aux questions officielle. Son intervention sert de relais auprès du secteur ; elle ne constitue pas une expertise indépendante sur l’étendue du vol.
Ce que permet le dispositif, et ce qu’il ne promet pas
La foire aux questions de la CCQ décrit des alertes sur le dossier de crédit, une surveillance de données sur le web clandestin et un accompagnement en cas de fraude ou de vol d’identité. Ces fonctions servent à repérer certains signaux et à faciliter une réaction.
Il faut les lire pour ce qu’elles sont : des moyens de surveillance et d’assistance. L’ouverture d’un compte de protection ne récupère pas les informations déjà copiées et ne permet pas d’affirmer qu’aucun usage malveillant ne surviendra. À l’inverse, recevoir une alerte ou une notification de protection ne signifie pas automatiquement qu’une fraude financière est déjà établie.
Le bon suivi consiste ainsi à distinguer l’information sur l’incident, l’inscription au service proposé et les événements éventuellement détectés ensuite. Confondre ces trois niveaux peut conduire soit à minimiser le problème, soit à paniquer à la réception d’un courrier préventif.
Les anciens dossiers compliquent la notification
La CCQ signale que certaines coordonnées conservées peuvent être devenues inexactes, notamment après un déménagement ou un décès non déclaré. Un envoi peut donc ne pas atteindre immédiatement la personne attendue. L’absence de lettre dans une boîte aux lettres n’est pas, à elle seule, une confirmation que le dossier est hors du périmètre.
Pour les personnes qui pensent être concernées sans avoir reçu les informations, l’organisme renvoie vers son service à la clientèle. Les précisions sur les renseignements compromis doivent être recherchées dans les communications écrites prévues à cet effet. Il est préférable de retrouver les coordonnées par le site officiel plutôt que de transmettre des informations sensibles à un interlocuteur dont on n’a pas vérifié l’origine.
Deux calendriers à suivre
Cette affaire rappelle que le calendrier technique et celui des personnes ne se superposent pas. La date de reprise répond à la question de la disponibilité du service. Le suivi des notifications et des protections répond à celle des conséquences pour les usagers. Pour juger la sortie de crise, les deux comptent.
Le dossier québécois dépasse ainsi la panne initiale : il montre pourquoi la qualité d’une réponse à une fuite se mesure aussi à la possibilité, pour chacun, de comprendre ce qui lui arrive et d’utiliser réellement l’aide offerte.
Photographie d’illustration : un casque de chantier ; il ne s’agit pas d’un équipement photographié dans les locaux de la CCQ.
