Points clés
- Le 2 octobre 2026, la police de Kingston a clôturé une intrusion de janvier 2025 : un acteur malveillant est entré par l’application VPN avec des identifiants compromis, a chiffré et exfiltré 160 Go, puis a fourni une preuve de suppression.
- L’avis est d’une franchise rare sur la médecine légale numérique : le jeu de données volé a été corrompu pendant l’exfiltration, un examen dossier par dossier était impossible, et les cinq catégories sont le meilleur portrait disponible, pas un bilan complet.
- Vingt et un mois se sont écoulés entre la découverte et cet avis public, et la thèse d’un « faible risque d’utilisation abusive » repose largement sur la surveillance du web clandestin. Voyez-y un exercice : rédigez votre calendrier d’avis avant l’incident, et gardez une conservation assez serrée pour qu’un fichier de 1998 ne parte pas en 2025.
Ce que dit l’avis, et ce qu’il admet
Le 2 octobre 2026, la police de Kingston a publié un avis final sur l’incident découvert par son directeur des TI par intérim le 3 janvier 2025. Les faits : le 1er janvier 2025, un acteur malveillant a utilisé des identifiants compromis pour accéder aux systèmes de la police de Kingston par l’application VPN du service. L’enquête n’a jamais établi comment ces identifiants avaient été compromis. Les systèmes ont été fermés rapidement, mais 160 Go de données avaient déjà été chiffrés et exfiltrés.
L’avis mérite crédit pour ce qu’il admet. Des experts ont pris contact avec l’acteur malveillant, qui a accepté de supprimer les données et a fourni une preuve de suppression. Neuf mois de surveillance du web clandestin avec la Police provinciale de l’Ontario et des partenaires policiers n’ont révélé aucun signe de diffusion. La police de Kingston en conclut un risque faible d’utilisation abusive, puis affirme, sans détour, qu’on ne peut pas « exclure définitivement que des copies des renseignements aient été conservées par l’acteur malveillant ou diffusées ailleurs ».
La plupart des déclarations d’incident s’arrêtent à la revendication de surveillance. Celle-ci énonce les limites de ses propres preuves.
Ce qui est parti, du mieux qu’on puisse le dire
C’est sur la médecine légale que l’avis devient vraiment instructif. Sur 345 000 documents exfiltrés, les analystes ont élagué les doublons et les indésirables pour arriver à environ 100 000. Puis le vrai problème : le jeu de données a été fortement corrompu pendant l’exfiltration, si bien qu’un examen dossier par dossier était impossible. Les experts ont échantillonné, et l’avis prévient que les catégories ci-dessous « ne doivent pas être interprétées comme un bilan complet ».
| Catégorie | Période | Personnes estimées |
|---|---|---|
| Renseignements de tribunaux criminels : nom, date de naissance, détails de l’infraction, plaidoyer, conclusions, peine ou autre décision | 2009-2024 | Environ 51 000 |
| Contraventions provinciales : nom, date de naissance, détails de l’infraction, plaidoyer, conclusion, peine ou autre décision | 2012-2024 | 50 000 à 100 000 |
| Listes d’enquêtes sur cautionnement, adultes et jeunes contrevenants : nom, date de naissance, détails de détention | 2009-2022 | Environ 68 000 |
| Tableurs Excel : victimes, témoins, plaignants, personnes disparues, employés de la police de Kingston et agents; noms, dates de naissance, détails d’infractions | 2000-2023 | Environ 22 000 |
| Autres données : 2 000 numéros de permis de conduire, moins de 1 000 numéros d’assurance sociale (probablement des employés), moins de 250 numéros de cartes de crédit, de cartes santé ou de passeports | 1998-2020 | Environ 80 000 |
Deux constats. D’abord, l’âge des données : des fichiers remontant à 1998, des dossiers de tribunaux à partir de 2009, des listes de cautionnement à partir de 2022. Une violation en 2025 qui expose des dossiers de la fin des années 1990 est un échec de calendrier de conservation autant qu’un échec de sécurité. Ensuite, le mélange : victimes, témoins, plaignants et personnes disparues figurent dans le même ensemble que les personnes inculpées ou condamnées. Pour ces groupes, le préjudice ne se limite pas au vol d’identité : c’est un risque de représailles.
Vingt et un mois, et la thèse du « faible risque »
L’intrusion a été découverte le 3 janvier 2025. L’avis public est daté du 2 octobre 2026. Vingt et un mois d’enquête avant que les personnes dont les dossiers avaient été pris sachent ce qui avait été pris.
Il y avait des raisons légitimes à ce long délai. L’incident a été traité comme une enquête active; l’analyse d’un jeu de données corrompu de 160 Go a pris un temps réel; le CIPVP, le solliciteur général, l’inspecteur général des services policiers, la Police provinciale de l’Ontario et la GRC ont été informés en premier. Les équipes de protection des renseignements personnels ne devraient pas y voir, d’emblée, de la négligence.
Mais elles devraient y voir une donnée de planification. Les personnes sur ces listes de cautionnement ont passé 21 mois sans savoir que leur nom, leur date de naissance et leurs détails de détention se trouvaient dans un jeu de données volé, alors que l’avis reconnaît qu’on ne peut pas « exclure définitivement » une utilisation abusive. Rédigez la règle sur l’avis provisoire, même avec une analyse légale incomplète, avant le prochain incident.
Puis il y a le fondement probant du « faible risque ». La surveillance du web clandestin est un véritable outil d’enquête, et neuf mois sans résultat sont réellement rassurants. Mais elle ne détecte que la rediffusion sur les marchés observés, pas un acheteur discret assis sur un jeu de données corrompu, ni l’utilisation des données pour extorquer de façon ciblée les victimes, témoins et plaignants des tableurs. L’avis le dit dans un langage mesuré. Les équipes qui citent « aucune preuve d’utilisation abusive » devraient emprunter la franchise avec le titre.
Le vecteur d’entrée et la ligne budgétaire
L’entrée s’est faite par l’application VPN avec des identifiants compromis, dont l’enquête n’a pas établi l’origine du compromis. C’est un argument permanent en faveur d’une authentification multifacteur résistante à l’hameçonnage sur chaque voie d’accès à distance, et d’une surveillance des identifiants qui détecte la réutilisation en premier.
Et la ligne budgétaire est d’une rare publicité. Le conseil des services policiers de Kingston prévoit investir 3,9 millions de dollars sur trois ans en cybersécurité et en infrastructure des TI, et faire passer les effectifs à temps plein en TI de quatre à six personnes. C’est le coût réel de l’incident, imprimé dans un communiqué. Quand votre prochaine proposition de budget de sécurité piétine, cet avis est un comparatif.
Mesure concrète : Exécutez votre calendrier d’avis de violation comme un exercice ce trimestre. Chronométrez votre dernier incident, de la découverte à l’ébauche d’avis, et rédigez la règle sur l’avis provisoire avec une analyse légale incomplète. Vérifiez si votre inventaire de données pourrait énumérer ce qui est parti; un jeu de données d’exfiltration corrompu est le vrai test. Et assurez-vous que votre calendrier de conservation attribue aux fichiers les plus anciens une date de destruction comme il leur attribue une date de collecte. La police de Kingston a pris 21 mois pour être rigoureuse. Que ce soit assez rapide est une question que les personnes sur ces listes ont le droit de poser, et la réponse de votre équipe appartient au plan, écrite avant qu’on en ait jamais besoin.