Ce n’est pas un piratage. C’est un compte volé.
Le 12 août, la RAMQ a émis un communiqué inquiétant : Accès non autorisé à des dossiers administratifs de professionnels de la santé, identités usurpées, intention de détourner des fonds publics. Constaté le 30 juillet.
Ils ajoutent: les systèmes n’ont pas été compromis.
Et selon moi, c’est la phrase que tout le monde va mal lire. Ça ne veut pas dire que rien ne s’est passé. Ça veut dire que personne n’a eu besoin de forcer la porte. Quelqu’un est entré avec une identité qui existait déjà.
Si tu diriges une PME, c’est plus proche de chez toi qu’un rançongiciel à la une.
Ce que la RAMQ a dit précisément
Le communiqué est mince, et c’est voulu.
La RAMQ écrit qu’elle a déclenché son protocole d’incident, ouvert une analyse, appelé la Sûreté du Québec le jour même, et travaillé avec le ministère de la Cybersécurité et du Numérique. Elle a contacté les professionnels touchés, puis tous ceux qui ont un dossier chez elle. Les dossiers d’assurance maladie des citoyens, elle insiste, n’ont jamais été visés.
Elle explique aussi le délai: deux semaines de silence pour ne pas nuire à l’enquête. Et elle prévient qu’elle ne donnera pas plus de détails, ni de réponses aux questions.
On n’a donc ni le nombre de personnes, ni le montant, ni le mode opératoire. Pour un dirigeant de PME, ce n’est pas un trou dans l’article. C’est déjà assez pour reconnaître le pattern.
« Systèmes non compromis » n’est pas une bonne nouvelle
On a tendance à entendre « systèmes non compromis » comme: ouf, le réseau a tenu.
Moi je l’entends autrement. Si on force une porte, tu répares la porte. Si quelqu’un est entré avec une clé qui existait déjà, tu ne sais plus quelles clés sont encore valides. Le logiciel n’a pas lâché. C’est la confiance dans qui est qui qui a lâché.
C’est pour ça que le 2FA n’est pas un « nice to have ». Un mot de passe volé, tout seul, ouvre la porte. Un deuxième facteur (appli d’authentification, clé, passkey) fait que le mot de passe ne suffit plus. Le SMS, par contre, se fait voler lui aussi: SIM swap, phishing. Donc le 2FA par texto, c’est mieux que rien, ce n’est pas la destination.
Microsoft le tranche pour toi de toute façon. Au 1er septembre 2026, Entra ID active les passkeys par défaut pour ceux qui sont encore en SMS ou en appel vocal, et commence à pousser l’enregistrement. Au 1er février 2027, Microsoft arrête son propre service SMS/voix.
Chez une PME, l’incident RAMQ ressemble rarement à « un pirate dans les serveurs ». C’est un compte Microsoft 365, un accès au logiciel comptable, un portail fournisseur. Le type n’a pas besoin de casser quoi que ce soit. Il a besoin de ressembler à quelqu’un que tu as déjà laissé entrer. Le 2FA, puis le passwordless, c’est exactement ça qu’on cherche à rendre inutile.
Dans votre entreprise, ça ressemble à ça
Tu n’as pas besoin d’être la RAMQ pour que le même mécanisme s’applique.
Chez toi, ça prend souvent la forme d’un courriel ou d’un appel qui a l’air interne: le bon nom, une facture vraie, le ton de quelqu’un qui « connaît la shop ». Ou plus plate encore: un compte admin qui survit à un départ, parce que personne n’a repris la clé.
Ce n’est pas un exploit sur tes serveurs. C’est quelqu’un qui se présente avec une identité que tu as déjà acceptée.
La RAMQ a un protocole, la SQ le jour même, un ministère. Toi, si tu ne peux pas sortir la liste de qui a accès à quoi en une demi-heure, tu n’as pas un problème de modernisation. Tu as le même problème, en plus petit, et sans filet.
Trois questions au responsable informatique, cette semaine
Pas la peine de commander un audit. Une conversation suffit, si les réponses sont écrites.
Qui a un accès admin, et on l’a vérifié quand?
Internes, fournisseurs, comptes de service. « Je pense que c’est à jour » veut dire que ce n’est pas à jour.
Est-ce que le 2FA est obligatoire partout où il y a de l’argent ou des données?
Et pas juste le SMS. On a vu plus haut: Microsoft pousse les passkeys dès septembre. Si tes gens sont encore sur le texto, tu n’es pas en avance. Tu es dans la file.
Qu’est-ce qu’on fait dans les deux heures si un compte est usurpé?
Qui on coupe, qui on appelle, qui on prévient (clients, CA, Commission d’accès à l’information s’il y a des renseignements personnels). Si ça n’existe que dans la tête d’une personne, tu n’as pas de plan.
Tu n’as pas à tout comprendre. Tu as à ramener ces réponses lundi.
La fin des illusions
Il y en a quelques-unes qui tiennent encore, même après un communiqué comme celui de la RAMQ.
La première: « on a un bon antivirus ». Ça n’a rien à voir. Un antivirus regarde des fichiers et des comportements sur une machine. Une identité volée, c’est quelqu’un qui se connecte comme toi, avec tes droits, dans tes outils. L’antivirus applaudit. C’est un utilisateur légitime, sur papier.
La deuxième: « on est trop petit ». La RAMQ parle de dossiers administratifs et de fonds publics. Toi tu as des factures, une liste clients, un accès bancaire, peut-être un portail Revenu Québec. C’est assez. On ne te choisit pas parce que tu es stratégique. On te choisit parce que la porte est ouverte et que personne ne regarde.
La troisième: « c’est un problème informatique ». Non. C’est qui a le droit de faire quoi, au nom de qui. Le responsable informatique peut te poser les MFA et préparer les passkeys. C’est toi qui décides si un compte admin orphelin a encore le droit d’exister, et si un fournisseur garde une clé après la fin du contrat.
Il y en a une quatrième, plus neuve: « on a déjà le 2FA, on est corrects ». Si c’est le SMS, tu as bougé. Tu n’es pas arrivé. Le texto se fait intercepter. Microsoft, de toute façon, te pousse ailleurs dès septembre.
La RAMQ a attendu deux semaines avant de parler, pour l’enquête. Toi, si un client ou Revenu Québec est dans le portrait, tu n’as pas ce luxe. Tu as besoin de savoir qui a les clés. Avant que quelqu’un d’autre s’en serve.