Desjardins 是魁北克的合作银行，也是加拿大最大的信用合作社。它自称是社区所有、会员至上，并根植于魁北克特有的合作传统，这一点使其区别于大型企业银行。

很多魁北克居民被告知要信任它，因为它是“我们的”。然而在 2016 年 10 月至 2019 年 5 月期间，一名名为 Sébastien Boulanger‑Dorval 的 Desjardins 员工系统性地窃取了数百万 Desjardins 会员和客户的个人信息，并在暗网市场和网络犯罪论坛上出售。

这场泄露持续了 26 个月，在 Desjardins 发现之前。Desjardins 并未通过自身的安全系统发现此事，而是由警方通知。被盗数据包括姓名、出生日期、社会保险号、住宅地址、电话号码、电子邮件地址、交易记录以及银行习惯，涉及近 1000 万 人。

这怎么可能持续 26 个月

联邦隐私专员的调查发现，此次泄露是 Desjardins 多项技术和管理漏洞的结果。该恶意员工能够访问一个共享的营销数据仓库，里面存有敏感的会员信息，而这种访问并未得到充分监控。

在 26 个月的时间里，数据外流并未触发本应检测异常活动的安全警报。这意味着 Desjardins 将近 1000 万加拿大人的个人金融数据放在一个营销部门的员工可以随意访问、复制并出售的系统中，机构两年多都未察觉。联邦隐私专员和魁北克信息获取委员会均认定，Desjardins 未能展示出保护客户数据所需的注意水平。

这并非复杂的外部攻击，而是一次内部员工利用常规权限进行的窃取。

客户得到的赔偿

Desjardins 为此类集体诉讼支付了 2.009 亿美元，当时是加拿大金融服务史上最大的集体诉讼和解。提交索赔的客户可获得最高 90 美元 的时间损失补偿。

遭受身份盗用的客户最高可索赔 1,000 美元。也就是说，若某位客户的社会保险号、住宅地址、银行历史和个人细节在暗网被出售长达两年，只要能提供身份盗用的证据，最高只能获得 1,000 美元的赔偿。实际有一位客户在索赔过程中获得了 88 美元（Subclass 1 类别）。

随后他们收到一份需要自行付费获取的文件请求，费用甚至超过了 88 美元的赔偿金。2.01 亿美元在 970 万 受影响者之间平均约为 20 美元（未计法律费用，后者由 Desjardins 单独承担）。

Desjardins 当时的总裁表示，此次泄露的财务影响不到该机构 180 亿美元 年收入的 1%，并称 Desjardins 有足够的能力吸收这笔损失。这对 Desjardins 来说或许属实，但对那些社会保险号被出售的客户而言，吸收后果的能力截然不同。

忘记了会员的合作社

Desjardins 将其合作社结构宣传为区别于企业银行的根本特征。会员即所有者，机构的存在是为服务会员。

合作社模式本应在金融机构与信任其资金和数据的公众之间建立不同的关系。然而，这一模式并未阻止一次持续 26 个月、影响近 1000 万会员的内部数据盗窃，也未建立足以检测员工复制并出售会员数据的安全基础设施。

更别提这笔赔偿对受身份盗用影响的会员来说并不足以弥补其损失。合作社模式产生的仅是机构称之为“占年收入不足 1%”的和解金，而该机构的总裁则称其“完全有能力吸收”。而真正被出售数据的会员，却只能接受微薄的补偿。

魁北克机构的模式

本平台近期记录了魁北克多家机构的相似模式。公共资金和会员信任流入这些机构，而这些机构的决策往往损害了他们服务的对象。

后果最终落在普通人身上。机构则在运营利润中吸收财务成本并继续运作。比如，出租车司机的许可证被贬值，却只得到上诉法院确认的不足赔偿；护士因工作环境差被迫离开公共系统，却只能以高价代理费被替代，导致短缺持续；校车运营商被迫使用垄断供应商，结果巴士失火公司破产，线路被取消；REM 乘客在系统停运期间失去公交替代方案，交通陷入瘫痪。

Desjardins 会员的个人数据被出售长达 26 个月，仅得到 88 美元 加上一份需自行付费获取的文件请求。这个本应由会员所有的合作社未能保护最敏感的数据。当法律追责时，CEO 只把和解金形容为“轻易可吸收”。

会员只能承受机构无法感受到的损失。

给所有开设企业账户者的诚恳提醒

Desjardins 仍然是魁北克小企业银行的首选，因为它的合作社结构、合理的费用以及本地化的服务。此次泄露是一次严重的制度性失误，造成了真实的伤害。它也导致了加拿大历史上规模最大的金融服务集体诉讼和随后显著的安全改进。

该机构并非出于特殊的恶意。它是一家大型机构，在数据安全方面的失误与全球各国大型机构常见的失误类似。之所以 Desjardins 案例在本平台关于魁北克机构的文档中具有特殊意义，是因为该机构的宣传与实际交付之间的差距在现实中被暴露出来。

以会员为先。合作社。社区所有。每位受影响会员 88 加元。

SIIIOCULI — Intelligence. Sovereignty. Awareness. siiioculi.lilxbrxaker.com