Un arrondissement de plus victime d’une intrusion informatique, une communication tardive, et un silence prudent en attendant l’enquête. Le scénario a un air de déjà-vu.
Les services de l’arrondissement d’Anjou sont perturbés depuis jeudi dernier en raison d’une intrusion dans son système informatique, touchant notamment ses services de téléphonie. L’arrondissement a confirmé la nouvelle par communiqué le mardi 28 juillet, précisant que l’ensemble des services à la population demeure accessible aux installations et numéros habituels, mais que le dépôt de demandes et le paiement des permis ont été temporairement relocalisés au Bureau Accès Montréal d’Anjou. Une firme spécialisée a été mandatée pour déterminer l’origine et les circonstances de l’incident, et une plainte a été déposée auprès du Service de police de la Ville de Montréal.
Un délai de plusieurs jours entre la détection et l’annonce publique.
Premier constat qui mérite d’être souligné : l’intrusion serait survenue jeudi, mais ce n’est que le mardi suivant que la population en a été informée officiellement — un écart de quatre à cinq jours. L’arrondissement justifie cette prudence en expliquant vouloir communiquer uniquement des informations fiables et vérifiées, et qu’aucune autre déclaration ne sera faite tant que les résultats de l’enquête ne seront pas connus. C’est un principe défendable en matière de cybersécurité — annoncer trop vite, avec des informations incomplètes, peut nuire à l’enquête ou semer une panique inutile. Mais ce délai reste un choix de communication que l’arrondissement devra un jour justifier plus en détail, notamment si des données personnelles de citoyens s’avèrent avoir été compromises.
Ce n’est pas la première fois qu’un organisme de la famille montréalaise se fait prendre les culottes baissées côté cybersécurité.
C’est ici que le contexte historique devient éclairant, et pas rassurant. En 2023, la Commission des services électriques de Montréal — un organisme paramunicipal responsable du réseau de câblage souterrain de l’île, partagé avec Hydro-Québec, Bell Canada et Vidéotron — avait été victime d’une cyberattaque majeure. L’enquête qui a suivi avait révélé une gestion qualifiée de « lacunaire » : des mots de passe partagés entre plusieurs utilisateurs, parfois carrément affichés sur des papillons adhésifs, dans un organisme qui détenait pourtant des informations hautement confidentielles sur des infrastructures névralgiques de la ville. Ce n’était pas un cas isolé de négligence individuelle ; c’était un problème de gouvernance qui a mené la Ville à poursuivre son propre sous-traitant informatique quelques mois plus tard.
Trois ans plus tard, la question à poser n’est pas seulement « qui a attaqué Anjou », mais « qu’est-ce qui a changé depuis ».
Aucun des communiqués émis cette semaine par l’arrondissement d’Anjou ne fait référence à cet épisode antérieur, ni ne précise si les correctifs de gouvernance recommandés après l’affaire de la CSEM — gestion rigoureuse des accès, authentification renforcée, audits réguliers — ont bel et bien été déployés à l’échelle des 19 arrondissements montréalais, ou seulement au sein de l’organisme directement touché en 2023. Un rappel utile figure d’ailleurs dans les analyses de sécurité municipale : les collectivités territoriales comptent parmi les cibles privilégiées des cyberattaques, précisément en raison du volume de données personnelles qu’elles gèrent et de la valeur stratégique de leurs infrastructures.
Ce que Montréal doit aux citoyens d’Anjou, et à ceux des 18 autres arrondissements.
La collaboration annoncée entre l’arrondissement, une firme spécialisée et les équipes informatiques de la Ville centrale est la bonne réponse dans l’immédiat. Mais un incident de plus, trois ans après un épisode qui avait exposé des pratiques de sécurité informatique jugées inadéquates dans un organisme apparenté à la Ville, appelle une reddition de comptes qui dépasse le cas isolé d’Anjou. Avant de clore ce dossier par un simple constat de « systèmes rétablis », l’administration Ferrada devrait profiter de l’occasion pour rendre public, ne serait-ce qu’en substance, l’état actuel des pratiques de cybersécurité dans l’ensemble de l’appareil municipal — plutôt que de laisser chaque arrondissement gérer, communiqué par communiqué, sa propre crise informatique comme si c’était la première fois que Montréal y faisait face.
