Points clés
- L’hôpital Nipigon District Memorial a divulgué un incident de rançongiciel à la mi-septembre 2026, et le 4 octobre un groupe identifié comme Storm l’a ajouté à son site de fuite. L’inscription est une affirmation, pas une preuve de vol de données, mais elle marque la phase de double extorsion, où les tactiques de pression s’intensifient.
- En vertu de l’article 12(2) de la LPRPS, les dépositaires de renseignements sur la santé en Ontario doivent aviser les personnes touchées à la première occasion raisonnable lorsque des renseignements personnels sur la santé sont volés, perdus ou utilisés sans autorisation, et l’avis doit mentionner le droit de porter plainte au CIPVP. Le commissaire a déjà statué qu’attendre une réunion du conseil n’est pas une raison valable de retarder l’avis.
- L’attaque TransForm de 2023 contre cinq hôpitaux du sud-ouest de l’Ontario montre la trajectoire : divulgation conjointe en huit jours, CIPVP et forces de l’ordre avisés, rançon refusée, et un recours collectif proposé de 480 millions de dollars. Les petits dépositaires doivent s’attendre à ce que leur réponse soit jugée de la même façon.
L’incident (septembre), puis l’inscription (4 octobre)
À la mi-septembre, l’hôpital Nipigon District Memorial a publié sur les médias sociaux qu’il répondait à ce qu’il appelait un incident de cybersécurité, confirmé par la suite comme un rançongiciel. Selon la presse locale, l’hôpital a activé ses procédures de réponse aux incidents et de continuité des activités, a fait appel à des experts externes en cybersécurité et a contacté les forces de l’ordre. Le laboratoire externe et l’imagerie diagnostique ont été fermés jusqu’à nouvel ordre, les temps d’attente se sont allongés et le personnel est revenu à des procédures manuelles. La mairesse Suzanne Kukko a déclaré à la radio CFNO que l’hôpital avait confirmé que certains fichiers pouvant contenir des renseignements personnels et des renseignements personnels sur la santé avaient été chiffrés par le logiciel malveillant, et que l’hôpital aviserait les personnes touchées comme requis.
Trois semaines plus tard, l’escalade est arrivée. Le 4 octobre, des observateurs de rançongiciels ont enregistré l’ajout de l’hôpital au site de fuite public d’un groupe identifié comme Storm (aussi répertorié par ransomware.live). L’inscription est une affirmation : les observateurs répertorient ce que les attaquants publient, et aucun reportage ne confirme que des données ont réellement été exfiltrées. Mais dans le modèle économique du rançongiciel, le site de fuite est le levier de pression.
Pourquoi la phase de publication change le calcul
C’est la double extorsion, et elle obéit à une logique précise. Chiffrer les systèmes attire l’attention; menacer de publier des données de patients volées crée l’urgence. Pour un petit hôpital de 51 à 200 employés qui dessert une communauté définie, cette urgence retombe sur des gens qui connaissent les patients par leur nom. L’attaquant n’a rien besoin de publier pour créer la pression. L’inscription elle-même est la pression.
J’ai vu des dépositaires traiter une inscription sur un site de fuite comme un arrêt de mort ou comme un non-événement. Les deux réactions sont fausses. C’est un signal : l’attaquant est passé à la phase publique de sa campagne, et votre horloge de réponse, juridique et réputationnelle, tourne désormais en public elle aussi.
Ce que la loi ontarienne exige, et ce qu’elle a pardonné en 2023
L’article 12(2) de la LPRPS oblige les dépositaires de renseignements sur la santé à aviser les personnes touchées à la première occasion raisonnable lorsque leurs renseignements personnels sur la santé sont volés, perdus ou utilisés ou communiqués sans autorisation. L’avis doit informer les gens de leur droit de porter plainte au CIPVP. Le commissaire interprète « première occasion raisonnable » de façon stricte : dans la décision 210 sur la LPRPS, il a rejeté l’explication d’un hôpital selon laquelle l’avis attendait une réunion du conseil, affirmant qu’une réunion aurait dû être convoquée spécialement.
Il y a aussi le décompte annuel : les dépositaires doivent transmettre au CIPVP leurs statistiques d’atteintes au plus tard le 1er mars de chaque année, en vertu de l’article 6.4 du règlement pris en application de la LPRPS. Et les lignes directrices du CPVP de septembre 2026 sur les fournisseurs de services tiers rappellent aux organisations qu’elles demeurent responsables des renseignements personnels traités par leurs fournisseurs, ce qui compte parce que les petits hôpitaux fonctionnent souvent avec une informatique partagée ou sous-traitée.
Le précédent TransForm de 2023 est la comparaison locale la plus proche :
| Nipigon (2026) | TransForm, cinq hôpitaux (2023) | |
|---|---|---|
| Divulgation | Mi-septembre, message de l’hôpital | Communiqué conjoint en huit jours après la détection |
| Acteur revendiqué | Storm (inscription du 4 octobre) | Daixin Team |
| RPS confirmés | Fichiers pouvant contenir des RPS chiffrés (selon l’hôpital, via la mairesse) | Base de données d’environ 267 000 patients de Bluewater; données d’employés ailleurs |
| Autorités | Pas encore annoncé publiquement | CIPVP et forces de l’ordre avisés dès le premier communiqué |
| Rançon | Inconnue | Refusée publiquement |
| Suite | Enquête en cours | Recours collectif proposé de 480 millions de dollars (selon CBC) |
La trajectoire de la divulgation vers le recours collectif est visible. La façon dont Nipigon gérera les prochaines semaines déterminera dans quelle colonne il atterrira.
Le plan de match des 72 premières heures pour un petit dépositaire
N’envoyez pas votre personnel sur le site de fuite. Consulter des données publiées par un attaquant n’est pas une enquête. Des observateurs comme ransomware.live répertorient délibérément les inscriptions sans toucher au contenu volé; suivez leur exemple et tenez vos gens à l’écart.
Placez un avocat entre vous et l’expertise. Mandatez un conseiller juridique externe avant que l’enquête ne s’approfondisse, afin que les constats puissent relever du privilège. Établissez les faits au mérite : y a-t-il eu exfiltration de données, ou seulement chiffrement? La réponse détermine vos obligations d’avis.
Cernez la question de l’avis avec honnêteté. Le chiffrement de fichiers pouvant contenir des RPS est la zone de déclenchement. N’annoncez pas ce que vous ne pouvez pas confirmer, mais ne vous cachez pas derrière « enquête en cours » pendant des mois non plus. Comme je l’ai soutenu dans l’article sur l’atteinte de la police de Kingston, les avis honnêtes sur leurs limites résistent mieux que les avis assurés qui s’effondrent ensuite.
Appelez le CIPVP tôt. Les cinq hôpitaux ont avisé le commissaire dès leur premier communiqué. Pour un petit dépositaire, un contact volontaire précoce achète une crédibilité impossible à obtenir plus tard.
Verrouillez le fournisseur. Si un fournisseur informatique partagé ou un entrepreneur seul détient vos sauvegardes, vos identifiants d’administration ou votre surveillance, cette relation est désormais votre contrôle le plus faible. Les lignes directrices du CPVP sur les tiers existent exactement pour ce moment : vous répondez de ce qu’ils traitent.
Rédigez l’avis avant d’en avoir besoin. Date de l’atteinte, ce qui a été touché, ce que vous faites, comment vous joindre, et le droit de plainte au CIPVP. Quand le portrait médico-légal se précise, vous envoyez en quelques heures, pas en quelques semaines.
Mesure concrète : L’inscription sur un site de fuite n’est pas l’atteinte, c’est son panneau publicitaire. Traitez-la comme le début de la phase publique : préservez les preuves, mandatez un avocat, cernez l’exfiltration à partir des faits, avisez tôt et honnêtement, et surveillez vos fournisseurs. En Ontario, le CIPVP note la réponse d’aussi près que les mesures de protection.