Desjardins est la banque coopérative du Québec. La plus grande caisse populaire du Canada. Une institution qui se vend comme appartenant à la communauté, mettant les membres en premier, et ancrée dans la tradition coopérative québécoise qui la distingue des grandes banques corporatives.

L’institution à laquelle de nombreux Québécois sont invités à faire confiance parce qu’elle est « la nôtre ». Entre octobre 2016 et mai 2019, un employé de Desjardins nommé Sébastien Boulanger‑Dorval a systématiquement volé les renseignements personnels de millions de membres et clients de Desjardins. Il les a revendus sur des marchés du darknet et des forums de cybercriminalité.

Pendant 26 mois. Avant que Desjardins ne s’en rende compte. Desjardins n’a pas découvert la brèche grâce à ses propres systèmes de sécurité.

C’est la police qui l’a signalée. Les données dérobées comprenaient noms, dates de naissance, numéros d’assurance sociale, adresses résidentielles, numéros de téléphone, adresses courriel, historiques de transactions et habitudes bancaires. Pour près de 10 millions de personnes.

Comment cela a pu durer 26 mois

L’enquête du Commissaire fédéral à la protection de la vie privée a conclu que la brèche était le résultat d’une série de lacunes technologiques et administratives chez Desjardins. L’employé malveillant avait accès à un entrepôt de données marketing partagé contenant des renseignements sensibles sur les membres. Cet accès n’était pas suffisamment surveillé.

L’exfiltration des données pendant 26 mois n’a pas déclenché les alertes de sécurité qui auraient dû détecter une activité inhabituelle. Ce qui signifie que Desjardins conservait les données financières personnelles de près de 10 millions de Canadiens dans un système qu’un seul employé du service marketing pouvait consulter, copier et revendre pendant plus de deux ans sans que l’institution ne s’en aperçoive. Le Commissaire fédéral à la protection de la vie privée et la Commission d’accès à l’information du Québec ont tous deux conclu que Desjardins n’a pas fait preuve du niveau d’attention requis pour protéger les données des clients.

Pas une attaque externe sophistiquée. Un employé interne. Avec un accès standard.

Pendant 26 mois. Avant que la police ne leur indique que cela se produisait.

Ce que les clients ont reçu

Desjardins a réglé le recours collectif qui en a résulté pour 200,9 millions de dollars. Le plus gros règlement de recours collectif de l’histoire des services financiers canadiens à l’époque. Les clients qui ont déposé une réclamation ont reçu jusqu’à 90 $ pour le temps perdu.

Les clients victimes de vol d’identité pouvaient réclamer jusqu’à 1 000 $. Ce qui signifie qu’un client dont le numéro d’assurance sociale, l’adresse, l’historique bancaire et les renseignements personnels ont été vendus sur des marchés du darknet pendant près de deux ans ne pouvait obtenir qu’un maximum de 1 000 $ s’il pouvait documenter le vol d’identité qui en résultait. Un client qui a suivi le processus de réclamation a indiqué avoir reçu 88 $ pour sa réclamation de sous‑classe 1.

Il a ensuite reçu une demande de documents qu’il aurait dû payer pour obtenir. Il a noté que la documentation coûterait plus cher que le paiement de 88 $. 201 millions de dollars répartis entre 9,7 millions de personnes affectées donnent environ 20 $ par personne en moyenne, avant les frais juridiques que Desjardins a couverts séparément.

Le président de Desjardins a déclaré à l’époque que l’impact financier de la brèche représentait moins d’un pour cent du chiffre d’affaires annuel de l’institution, soit 18 milliards de dollars, et que Desjardins disposait d’une capacité suffisante pour l’absorber. Ce qui est exact pour Desjardins.

Pour le client dont le numéro d’assurance sociale a été vendu sur un forum du darknet, la capacité d’absorption était très différente.

La coopérative qui a oublié ses membres

Desjardins met en avant sa structure coopérative comme une distinction fondamentale par rapport à la banque corporative. Les membres sont propriétaires. L’institution existe pour les servir.

Le modèle coopératif est censé créer une relation différente entre l’institution financière et les personnes qui lui confient leur argent et leurs données. Le modèle coopératif n’a pas empêché un vol interne de données pendant 26 mois affectant près de 10 millions de membres. Il n’a pas mis en place une infrastructure de sécurité suffisante pour détecter un employé copiant et revendant les données des membres.

Il n’a pas abouti à une compensation suffisamment significative pour couvrir les conséquences du vol d’identité subies par les membres. Ce que le modèle coopératif a produit, c’est un règlement que l’institution a décrit comme représentant moins d’un pour cent du revenu annuel, ce que le président a qualifié de capacité « ample » à absorber.

Les membres dont les données ont été vendues ont absorbé autre chose.

Le schéma institutionnel québécois

Cette plateforme a documenté un schéma récurrent parmi les institutions québécoises ces dernières semaines. L’argent public et la confiance des membres affluent vers les institutions. Ces institutions prennent des décisions qui nuisent aux personnes qu’elles servent.

Les conséquences retombent sur ces personnes. Les institutions absorbent le coût financier dans leurs marges opérationnelles et continuent. Les conducteurs de taxi dont les permis ont été dépréciés ont reçu une compensation inadéquate, confirmée par la Cour d’appel.

Les infirmières poussées hors du système public par de mauvaises conditions de travail sont remplacées à des tarifs d’agence premium tandis que la pénurie persiste. Les exploitants d’autobus scolaires, fournisseurs en monopole, ont vu leurs bus prendre feu et l’entreprise faire faillite alors que leurs lignes étaient annulées. Les usagers du REM qui ont perdu leurs alternatives de bus se sont retrouvés sans transport lors des arrêts du système.

Les membres de Desjardins dont les données ont été vendues pendant 26 mois ont reçu 88 $ et une demande de documentation. La coopérative, censée appartenir à ses membres, n’a pas protégé les données les plus sensibles que ces membres lui ont confiées. Lorsqu’elle a été tenue responsable devant le système juridique, elle s’est réglée pour un montant que son PDG a décrit comme facilement absorbable.

Les membres ont absorbé ce que l’institution ne pouvait pas ressentir.

La note honnête pour quiconque ouvre un compte d’entreprise

Desjardins reste l’option recommandée pour la banque des petites entreprises au Québec, grâce à sa structure coopérative, ses frais accessibles et sa présence locale. La violation a constitué un grave manquement institutionnel ayant causé des préjudices réels. Elle a également donné lieu au plus important règlement de recours collectif dans le secteur des services financiers de l’histoire canadienne, ainsi qu’à d’importantes améliorations de sécurité qui ont suivi.

L’institution n’est pas intrinsèquement malveillante. C’est une grande organisation qui a échoué en matière de sécurité des données, comme le font régulièrement les grandes institutions partout dans le monde. Ce qui rend le cas Desjardins spécifique à la documentation de cette plateforme sur les institutions québécoises, c’est l’écart entre ce que l’institution se présente et ce qu’elle a réellement livré, lorsque cet écart est devenu visible.

Membre d’abord. Coopérative. Propriété communautaire. 88 $ par membre affecté.

SIIIOCULI — Intelligence. Sovereignty. Awareness. siiioculi.lilxbrxaker.com