Rançongiciel dans une PME : les 72 premières heures, et ce que la Loi 25 vous oblige à faire

Un vendredi à 16 h, l'écran de la commis à la facturation affiche une note de rançon. Personne dans l'entreprise n'a jamais vécu ça, et les deux jours suivants vont se jouer sur des décisions prises dans les vingt premières minutes. C'est le seul volet du résumé des obligations de la Loi 25 pour les PME qui se déclenche sous pression, en pleine crise technique.

Cet article est donc une ligne du temps plutôt qu'un cours. Heure zéro, jour 1, jours 2 et 3, la semaine d'après : à chaque étape, ce que dit le Centre canadien pour la cybersécurité, et ce que la loi québécoise ajoute par-dessus. Une précision d'entrée de jeu : le « 72 heures » du titre est notre cadre de travail, pas un délai inscrit dans la loi.

La réponse courte, pour les pressés

Un rançongiciel devient un incident de confidentialité au sens de la Loi 25 dès qu'il touche des renseignements personnels, même sans preuve de vol de données : l'article 3.6 vise la perte et toute autre atteinte à la protection d'un renseignement. Aucun délai de 72 heures n'existe dans la loi québécoise. L'article 3.5 exige d'aviser la Commission d'accès à l'information « avec diligence » lorsque l'incident présente un risque qu'un préjudice sérieux soit causé, et d'aviser également chaque personne concernée. Dans l'ordre : isoler les systèmes infectés et couper les accès à distance, signaler le crime au service de police local et au Centre antifraude du Canada, appeler votre assureur, puis établir quels renseignements ont été touchés. L'évaluation du risque se fait avec le responsable de la protection des renseignements personnels et considère la sensibilité du renseignement, les conséquences appréhendées de son utilisation et la probabilité qu'il serve à des fins préjudiciables. Chaque incident, déclaré ou non, va au registre.

Le délai de 72 heures n'existe pas, et il faut le savoir avant la crise

Beaucoup de dirigeants québécois ont en tête une horloge de 72 heures. Elle vient du Règlement général sur la protection des données européen, pas d'ici. Le texte québécois est plus court et plus flou : l'article 3.5 de la Loi sur la protection des renseignements personnels dans le secteur privé demande d'aviser la Commission d'accès à l'information « avec diligence » (la version anglaise officielle dit « promptly »). Pas de compteur, pas de jours ouvrables, pas de seuil.

L'absence de chiffre n'est pas une permission de traîner, c'est l'inverse. Un délai fixe vous donne un alibi jusqu'à son expiration ; « avec diligence » s'apprécie après coup, au regard de ce que vous saviez et quand. Nous gardons 72 heures comme discipline interne, parce que c'est à peu près le temps qu'il faut à une PME pour passer du chaos à une image claire.

Heure zéro : isoler, changer de canal, et ne pas payer par réflexe

Le Guide sur les rançongiciels du Centre canadien pour la cybersécurité (ITSM.00.099, en vigueur depuis le 11 décembre 2025) commence par la consigne que les PME appliquent le moins : présumez que l'auteur de menace est toujours sur votre réseau et qu'il sait ce qui s'y passe. Coordonnez donc l'intervention par un autre canal, hors du réseau compromis, sinon vous rédigez votre plan de reprise sous les yeux de la personne qui vous attaque.

Ensuite, l'endiguement. Repérez les dispositifs infectés, isolez-les, déconnectez-les d'Internet et des réseaux internes, et désactivez les réseaux privés virtuels, les serveurs d'accès à distance, l'authentification unique et les ressources infonuagiques exposées. Le guide reconnaît que couper l'infrastructure perturbe temporairement les activités, et maintient que c'est la marche à suivre la plus importante. Réinitialisez ensuite les mots de passe d'administration et d'utilisateur, sans révoquer les justificatifs dont vous aurez besoin pour restaurer vos sauvegardes.

Signalez le crime au service de police local, au Centre antifraude du Canada et au Centre pour la cybersécurité. Ce n'est pas une formalité : pour un rançongiciel connu, les forces policières disposent parfois d'une clé de déchiffrement. Appelez aussi votre assureur, qui mettra souvent une équipe d'intervention externe à votre disposition.

Sur le paiement, le guide est mesuré : la décision vous appartient, mais payer ne garantit rien. Certains groupes déploient un effaceur qui détruit les fichiers après le versement, d'autres reviennent réclamer davantage, publient quand même les données ou attaquent de nouveau. Le paiement peut aussi être illégal en vertu des lois contre le terrorisme, le blanchiment d'argent, le financement d'organisations criminelles ou des régimes de sanctions. C'est pour ça que l'appel à la police vient avant la décision, pas après.

Jour 1 : ce qui a été touché, et le test du préjudice sérieux

Une fois l'hémorragie contenue, l'obligation québécoise prend le relais. La question n'est plus « nos systèmes fonctionnent-ils ? », c'est « quels renseignements personnels ont été touchés ? ».

Attention au raisonnement le plus courant : « ils ont seulement chiffré, ils n'ont rien volé, donc rien à déclarer ». L'article 3.6 définit l'incident de confidentialité comme l'accès, l'utilisation ou la communication non autorisés par la loi d'un renseignement personnel, ou sa perte et « toute autre atteinte à la protection d'un tel renseignement ». Un serveur de paie chiffré entre dans la définition sans qu'un octet soit sorti, et la Commission d'accès à l'information nomme le rançongiciel parmi ses exemples d'incident, au même titre que l'hameçonnage.

L'évaluation du risque suit l'article 3.7 : sensibilité du renseignement, conséquences appréhendées de son utilisation, probabilité qu'il serve à des fins préjudiciables. Elle se fait avec votre responsable de la protection des renseignements personnels, ce que la loi impose et que beaucoup d'entreprises oublient. Une liste de clients avec noms et courriels, un dossier d'employés avec numéros d'assurance sociale et un serveur de plans d'atelier ne donnent pas la même réponse.

Tout cela s'inscrit dans votre registre des incidents de confidentialité, y compris si vous concluez à l'absence de risque sérieux. Le registre se remplit pendant l'incident, pas de mémoire trois semaines plus tard.

Jours 2 et 3 : aviser sans mentir, et sans tout savoir

Si le test conclut à un risque de préjudice sérieux, deux avis partent. Celui à la Commission se fait par écrit, au moyen de son formulaire officiel, dont le Règlement sur les incidents de confidentialité fixe le contenu : onze éléments, dont la description des renseignements visés, les circonstances, la date de l'incident et celle où vous en avez pris connaissance, le nombre de personnes concernées et combien résident au Québec. Le formulaire prévient au passage que certains renseignements, dont le nom de votre organisation et le fait qu'un incident soit survenu, pourraient être communiqués publiquement.

L'objection habituelle, à ce stade, est qu'on ne sait pas encore tout. Le règlement y répond : l'organisation doit transmettre avec diligence, au fur et à mesure, tout élément dont elle prend connaissance après l'envoi de l'avis. Vous déclarez ce que vous savez, puis vous complétez. Attendre d'avoir une image parfaite est le mauvais choix, y compris juridiquement.

L'avis aux personnes concernées est plus court et plus utile : quels renseignements, quelles circonstances, quand, ce que vous faites, ce qu'elles devraient faire pour se protéger, et à qui s'adresser. Un avis public ne remplace l'avis individuel que dans trois cas, notamment lorsque vous n'avez pas les coordonnées des personnes. C'est ici que la tentation d'arrondir les angles est la plus forte : le risque réel des sanctions de la Loi 25 tient bien plus à la gestion de l'après qu'au montant théorique des amendes.

La semaine d'après : restaurer depuis des sauvegardes que vous avez déjà testées

La reprise se joue sur une décision prise des mois plus tôt. Le guide fédéral recommande d'exécuter les diagnostics antimaliciels sur la sauvegarde avant de restaurer, de rétablir les systèmes dans un emplacement propre et isolé du réseau, puis de tout remettre au dernier niveau de correctif. Une sauvegarde restaurée sans vérification réinstalle souvent la porte dérobée avec les fichiers, et l'entreprise se fait chiffrer une seconde fois.

Prévoyez aussi la durée : le guide prévient que presque tous les processus de reprise exigent une longue période sans connexion à Internet pour expulser l'auteur de menace, un temps d'arrêt dont la plupart des PME n'ont jamais chiffré le coût.

La prévention qui change les cotes, et ce qu'elle coûte vraiment

Le Centre pour la cybersécurité nomme trois portes d'entrée principales : les attaques sur les mécanismes d'authentification (la supposition de mot de passe), l'exploitation de vulnérabilités logicielles, et l'hameçonnage. Les trois se ferment avec les mesures détaillées dans notre article sur la sécurité d'un site web de PME : authentification multifacteur partout, correctifs appliqués vite, comptes réduits au minimum de privilèges, sauvegardes hors ligne dont la restauration a été testée. L'étude de Microsoft sur des comptes Azure Active Directory à activité suspecte a mesuré une réduction du risque de compromission de 99,22 % avec l'authentification multifacteur : aucune autre mesure n'offre ce rapport entre l'effort demandé et le résultat.

Le volet humain mérite mieux qu'une formation annuelle. Le Centre antifraude du Canada décrit sous le nom de harponnage la mécanique que les PME appellent fraude du président : un courriel qui semble venir du patron réclame un virement urgent, ou un faux message d'un fournisseur annonce un changement de coordonnées bancaires. Une boîte courriel compromise rend ces messages crédibles, puisqu'ils citent vos vraies factures. Le réflexe à installer ne coûte rien : tout changement de coordonnées bancaires se confirme par téléphone, à un numéro connu d'avance.

L'assurance cyber : ce qu'elle couvre, ce qu'elle exige

Une police cyber couvre des postes qu'une assurance d'entreprise ordinaire ignore : l'enquête technique, le conseil juridique, l'avis aux personnes touchées, la restauration des données, la perte d'exploitation et la cyberextorsion. Le Bureau d'assurance du Canada et le programme fédéral Pensez cybersécurité insistent sur le même point : c'est un élément d'une stratégie, jamais un substitut à la cyberrésilience.

Le marché a durci. Selon le Bureau d'assurance du Canada, les primes de responsabilité cyber sont passées de 18 millions de dollars en 2015 à 550 millions en 2023, avec un ratio combiné moyen de 153 % entre 2019 et 2023, soit 1,53 $ versé en sinistres et frais pour chaque dollar encaissé. Les assureurs ont réagi en resserrant la souscription et en exigeant des contrôles de sécurité stricts. Les mesures de base conditionnent donc désormais votre assurabilité et votre prime. Une dernière mise en garde du Centre pour la cybersécurité, contre-intuitive : gardez vos documents de police hors de portée, parce qu'un attaquant qui connaît le montant de votre couverture négocie la rançon en conséquence.

Le nombre d'incidents de rançongiciel connus du Centre pour la cybersécurité a crû en moyenne de 26 % par année depuis 2021, et l'organisme juge presque certain que le nombre réel est plus élevé, faute de signalements. Aucune de ces mesures ne suppose une équipe de sécurité interne. La facture arrive quand, un vendredi à 16 h, personne ne sait qui appelle la police, qui appelle l'assureur, ni où sont les sauvegardes.

→ Parlons de votre situation ou voyez comment nous encadrons la sécurité dans nos services web.

Ce texte vulgarise des obligations légales pour aider une PME à poser les bonnes questions ; il ne constitue pas un avis juridique. Le texte de la Loi sur la protection des renseignements personnels dans le secteur privé, le Règlement sur les incidents de confidentialité et les positions de la Commission d'accès à l'information font foi : pour une situation particulière, consultez un juriste.