La semaine en cyber-sécurité.

Semaine du 20 au 26 avril 2026 — Boulet Stratégies

Une semaine dense en cybersécurité: l'assureur Canada Vie touché par un rançongiciel via un compte d'employé compromis, une campagne d'imposture du service technique sur Microsoft Teams en pleine expansion, deux failles Windows ajoutées par CISA à son catalogue d'exploits actifs, et une alerte conjointe du Centre canadien et de la GRC sur les fraudes par texto. Pour les dirigeants de PME du Québec, le fil conducteur est limpide: les attaques de la semaine n'ont rien de futuriste — elles exploitent des outils que vos employés utilisent tous les jours. Voici ce qu'il faut comprendre, et ce qu'on peut faire dès cette semaine pour réduire le risque.

Canada Vie victime d'un rançongiciel: un compte d'employé suffit

La Presse rapportait le 20 avril que l'assureur Canada Vie a confirmé une cyberattaque par rançongiciel touchant les données d'un régime d'assurance collective. Un groupe de cybercriminels prétend avoir volé 5,6 millions de lignes de données; l'assureur affirme que moins de 70 000 personnes seraient réellement touchées. Les données exfiltrées incluent coordonnées, dates de naissance et types de couvertures.

Pourquoi c'est important pour votre PME: l'intrusion a commencé par de l'ingénierie sociale — un attaquant a manipulé un employé pour accéder à son compte. Aucune faille technique exotique. Si Canada Vie, avec ses moyens, peut tomber par cette voie, votre PME aussi. Et si votre régime d'assurance collective passe par un fournisseur touché, vos employés pourraient être affectés sans que vous le sachiez avant des semaines.

À retenir: vérifiez auprès de vos fournisseurs d'assurances et de RH s'ils ont été affectés et quelles obligations de notification s'appliquent en vertu de la Loi 25 et de PIPEDA.

Microsoft Teams: la nouvelle porte d'entrée des arnaqueurs

Bleeping Computer rapportait le 20 avril, en relayant un avertissement Microsoft, la montée des attaques d'imposture du service informatique via Teams. Une semaine plus tard, Help Net Security et Bleeping Computer documentaient une campagne sophistiquée surnommée « Snow ». Des criminels créent un faux environnement Microsoft 365 (appelé « locataire » dans le jargon Microsoft) pour usurper l'identité du service informatique. Ils inondent d'abord la boîte courriel de la cible — une tactique appelée bombardement de courriels (email bombing) — pour créer l'urgence, puis la contactent par Teams.

La victime est invitée à approuver une demande d'authentification à deux facteurs (MFA, l'étape de double validation après le mot de passe) ou à installer un faux « utilitaire de réparation de boîte courriel » qui dérobe ses identifiants.

Pourquoi c'est important: dans la plupart des PME, les paramètres de Teams permettent par défaut les conversations entre organisations externes. Vos employés voient un message dans Teams et présument qu'il vient d'un collègue — alors qu'il vient d'un attaquant.

À retenir: cette tactique contourne les filtres anti-pourriel traditionnels, parce qu'elle se passe dans Teams, pas dans le courriel.

SharePoint et l'outil Capture d'écran: deux failles Windows à corriger en priorité

Le bulletin Patch Tuesday d'avril corrigeait 167 vulnérabilités, dont deux particulièrement pertinentes:

• CVE-2026-32201 dans SharePoint Enterprise Server 2016, SharePoint Server 2019 et SharePoint Server Subscription Edition — un attaquant non authentifié peut usurper l'identité d'un service réseau pour consulter et modifier des informations sensibles. Plus de 1 300 serveurs restent non corrigés selon Shadowserver, et la faille figure désormais au catalogue des vulnérabilités exploitées de CISA.
• CVE-2026-33829 dans l'outil Capture d'écran de Windows — un lien malveillant peut faire fuir le hachage NTLM (l'empreinte de mot de passe) d'un employé vers un serveur attaquant. Un code d'exploitation public est déjà disponible.

CISA a également ajouté CVE-2026-33825 (Microsoft Defender) le 22 avril et CVE-2026-32202 (Windows) le 28 avril à son catalogue d'exploits actifs.

Pourquoi c'est important: si vous hébergez SharePoint vous-même plutôt que d'utiliser SharePoint Online, vous êtes directement exposés. Pour Windows 10/11, l'exposition est universelle. Des codes d'exploitation publics apparaissent maintenant dans les jours suivant la divulgation des failles.

Action recommandée: les correctifs sont disponibles depuis le 14 avril. Si votre service informatique externe ne les a pas appliqués, demandez-lui aujourd'hui.

Sur un autre front: smishing en hausse au Canada

Le 24 avril, le Centre canadien pour la cybersécurité et la GRC ont publié un avis conjoint sur la recrudescence des attaques par texto frauduleux (smishing). Les criminels utilisent des numéros usurpés et des messages d'urgence — souvent insérés dans un fil de texto légitime existant — pour faire cliquer sur des liens malveillants ou faire divulguer des renseignements sensibles.

Pourquoi c'est important: les employés de PME utilisent souvent leur téléphone personnel pour recevoir des codes MFA, des courriels professionnels ou consulter des plateformes financières. Un texto qui imite votre banque ou Postes Canada peut suffire à compromettre un accès professionnel.

À retenir: signalez les textos suspects au 7726 (le numéro SPAM gratuit), et la fiche du Centre canadien explique les signes typiques aux employés en moins de cinq minutes.

Pour votre PME cette semaine

Quatre actions concrètes, ancrées dans les nouvelles ci-dessus:

1. Restreignez les conversations externes dans Teams. Demandez à votre administrateur Microsoft 365 de limiter l'accès externe (External Access) de Teams aux domaines partenaires connus. C'est un paramètre, pas un projet — réalisable en moins d'une heure.
2. Confirmez que les correctifs d'avril sont appliqués partout. Postes Windows, serveurs SharePoint, et tout équipement réseau Cisco. Si vous avez un fournisseur infogérant, exigez un rapport de conformité daté.
3. Mettez à jour votre script de vérification d'identité. Quand un employé reçoit un appel, un message Teams ou un texto se prétendant du service informatique, il doit toujours rappeler à un numéro connu avant d'approuver quoi que ce soit. Pas d'exception.
4. Vérifiez l'exposition via vos fournisseurs. Demandez à vos partenaires d'assurance, de paie et de comptabilité s'ils ont été touchés par un incident de cybersécurité au cours des 30 derniers jours. C'est une question légitime, et leur réponse en dit long sur leur posture de sécurité.

Les méthodes documentées cette semaine resteront actives les prochaines semaines. Agir maintenant, c'est réduire concrètement la surface d'attaque.