Fuite de courriels pour les rendez-vous avec le père Noël des Galeries de la Capitale

La plateforme Passeport pôle Nord permet de prendre rendez-vous avec le père Noël des Galeries de la Capitale. Cette méthode existait avant la pandémie, mais cette année, tous les parents doivent utiliser la plateforme s’ils souhaitent rencontrer le père Noël, de façon virtuelle, avec leur enfant.

Jeudi, des parents qui ont réservé une plage horaire ont reçu un courriel de confirmation du site Passeport pôle Nord, mais ensuite, de nombreux autres courriels de confirmation se sont retrouvés dans leur boîte de réception. Il s'agissait des confirmations de rendez-vous d'autres parents ayant utilisé la plateforme cette journée-là.

Voici deux exemples de deux messages qu'un parent a reçus, mais qui ne lui étaient pas destinés. Nous avons retiré le nom des personnes et nous avons camouflé la photo des enfants.

Photo : Anonyme

Les courriels envoyés aux mauvais destinataires comprennent l’adresse courriel de la personne qui s’est inscrite au site, le code d’accès pour le rendez-vous virtuel, mais aussi la photo de l’enfant inscrit, si le parent avait ajouté une photo préalablement sur le site.

Par courriel, la directrice marketing des Galeries de la Capitale, Lise-Andrée Roy, soutient que l’entreprise a vite réagi, dès qu’elle a été informée du problème technique. Nous avons agi le plus rapidement possible pour arrêter ces envois, informer et rassurer les parents et leur demander de supprimer les courriels qu’ils avaient reçus, écrit-elle.

« Nous n’avons pas encore de chiffre précis et nous poursuivons notre investigation. Mais toutefois, nous avons l’assurance qu’il y a eu un maximum de 400 personnes qui ont été touchées. »

Les Galeries de la Capitale assurent avoir pris les moyens nécessaires pour que la fuite ne se reproduise plus.

C’était un risque

Le spécialiste en cybersécurité, Steve Waterhouse, dit qu'il s’inquiétait déjà de voir que de nombreuses entreprises offrent un service de rendez-vous en ligne, pour des rencontres virtuelles avec le père Noël.

C’est quand même risqué pour la divulgation d’informations personnelles, de fonctionner ainsi, avec un courriel, sur une plateforme, pour prendre rendez-vous, explique-t-il en entrevue vendredi après-midi.

M. Waterhouse explique que ce ne sont pas toutes les entreprises qui sont dotées de politique de sécurité des informations personnelles. Par manque de connaissances, certaines entreprises pensent parfois que l’envoi d’informations par courriel est anodin, fait-il remarquer.

Mais c’est tout le contraire. Un courriel, c’est comme une carte postale qu’on envoie. Si jamais on met des photos sur notre carte postale, et que d’autres personnes reçoivent la carte par erreur, tout le monde peut voir les photos, illustre-t-il.

Steve Waterhouse, expert en cybersécurité (photo d'archives)

Photo : Radio-Canada / Tifa Bourjouane

Une option pour l’entreprise aurait été d’envoyer une confirmation par courriel qui ne comprend qu’un lien direct vers la plateforme, sans inclure les informations sur la réservation, le nom de l’enfant et la photo.

On voit souvent des situations où les plateformes sont très ad hoc avec des gens qui le font de manière très sommaire. Ça peut donc causer des fuites, poursuit l’expert.

Des excuses

Les personnes qui ont été touchées par la fuite ont reçu un courriel d’excuses signé par Stéphan Landry, administrateur et directeur général des Galeries de la Capitale.

Radio-Canada a obtenu une copie de ce courriel. En aucun cas les autres récipiendaires des courriels n’ont eu accès à votre passeport, est-il écrit.

Steve Waterhouse souligne que les parents doivent donc y penser deux fois avant d’inscrire des informations personnelles sur un site.

Il précise aussi qu’une personne malveillante pourrait utiliser les adresses courriel reçues par erreur. Ça vaut certainement quelque chose. En termes monétaires, l'identité de gens comme ça, dans les mauvaises mains, ça peut leur servir. Sur le marché noir, l’adresse courriel et l’identité de la personne, c’est ça vaut beaucoup.

L'expert en cybersécurité précise que les personnes touchées par l’erreur sur la plateforme Passeport pôle Nord pourraient désormais être plus craintives quant à la sécurité de leurs données personnelles.

Il leur suggère également de déposer une plainte à la Commission d’accès à l’information du Québec qui pourrait faire des vérifications.