Cyberattaque au CSS des Appalaches : Des données publiées sur le Web caché, la population appelée à la vigilance

Le Centre de services scolaire (CSS) des Appalaches a émis un avis public concernant une cyberattaque majeure survenue il y a environ un an, le 25 août 2025. Cet incident a mené à l’exfiltration de données, incluant de nombreux renseignements personnels, qui ont par la suite été publiés sur le Web caché (« Dark Web ») le 20 septembre 2025.

Bien que le CSS des Appalaches ait avisé individuellement les personnes touchées au cours des derniers mois, cet avis public vise à joindre ceux qui n’ont pas pu être identifiés ou contactés directement par lettre.

Qui pourrait être concerné ? La fuite de données potentielle couvre une large période et pourrait affecter :

• Les élèves et leurs parents ayant fréquenté un établissement ou reçu des services du CSS des Appalaches entre les années scolaires 2003-2004 et 2025-2026.
• Les employés et prestataires de services ayant travaillé pour le CSS entre l’année scolaire 2005-2006 et août 2025.

Le CSS précise toutefois que ce ne sont pas tous les élèves, parents ou employés de ces périodes qui sont concernés par la fuite.

Nature des renseignements exfiltrés Les données publiées sur le Dark Web sont vastes et de nature très sensible. Bien qu’une personne touchée ne soit pas nécessairement concernée par toutes ces catégories, les informations compromises peuvent inclure :

• Identification : Noms, coordonnées, dates de naissance, numéros d’assurance sociale (NAS), d’assurance maladie (NAM), de permis de conduire, de passeport, et copies de documents d’identité.
• Scolaire : Codes permanents, bulletins, plans d’intervention et avis sur l’évolution de l’élève.
• Financier : Numéros de cartes de crédit, coordonnées bancaires, relevés fiscaux et informations de faillite.
• Santé et social : Diagnostics, évaluations, historiques médicaux et recommandations.
• Travail : Salaires, dossiers disciplinaires et notes d’observation.

Actions prises par le CSS Dès la détection de l’attaque en août 2025, le CSS des Appalaches indique avoir collaboré avec le Centre opérationnel de cyberdéfense du ministère de l’Éducation et le ministère de la Cybersécurité pour contrer la menace. Des plaintes ont été déposées auprès des services de police et la Commission d’accès à l’information a été avisée. Le Centre assure avoir mis en place de nouvelles mesures de sécurité pour éviter qu’un tel événement ne se reproduise.

Que doivent faire les citoyens ? Le CSS des Appalaches exhorte la population à la plus grande prudence face aux risques de vol d’identité et de fraude :

• Soyez vigilants face aux courriels, appels ou textos non sollicités (hameçonnage).
• Surveillez attentivement vos comptes bancaires et vos relevés de cartes de crédit.
• Changez régulièrement vos mots de passe.
• En cas de doute, placez une alerte de fraude gratuite à votre dossier de crédit (Equifax : 1-800-465-7166 / TransUnion : 1-800-663-9980).
• Surveillez votre Carnet santé Québec pour vérifier l’utilisation de votre carte d’assurance maladie.

Si vous constatez une utilisation frauduleuse de vos documents, contactez rapidement les organismes émetteurs (SAAQ, RAMQ, Service Canada, etc.).

Pour plus d’informations Les citoyens qui croient être touchés par cet incident sans avoir reçu de lettre officielle, ou qui souhaitent obtenir plus de détails, sont invités à contacter le CSS des Appalaches par courriel à info@cssa.gouv.qc.ca ou par téléphone au (418) 338-7800, poste 1384.