Les données de la fuite de Desjardins de 2019 rendues publiques

Hola.

Fidèle à mon habitude, je suis en retard d’une semaine pour mon infolettre, mais cette fois-ci, j’ai une bonne excuse: les données fuitées de Desjardins en 2019 ont été rendues publiques par le groupe de cybercriminels Coinbase Cartel! Moi et quelques autres collègues de l’industrie avons analysé la fuite, et c’est assez intéressant… dans le sens où c’est carrément une solution clé en main pour voler l’identité de millions de québécois.

Have phun!

La semaine dernière, le groupe Coinbase Cartel a rendu publiquement disponible la fuite de données de Desjardins (celle de 2019), prétextant le refus de payer et le manque de communication avec l’institution financière québécoise.

Je suis récemment passé à travers les données (et je n’étais pas seul : merci à G., M. et K. pour leur aide) et la journaliste Fanny Tan a accepté de publier mes observations là-dessus dans sa plus récente infolettre.

Dans ce qui suit, je reprends donc mon analyse sommaire et mes observations sur la fuite rendue publique.

Figure 1 – La description de la fuite sur le service Onion de Coinbase Cartel

Le fichier téléchargeable est sans extension, mais une inspection des premiers octets du fichier révèle qu’il s’agit d’une archive compressée (ZIP). Deux fichiers y figurent : djb.xlsl (le tableur contenant les renseignements personnels de millions de personnes), ainsi qu’un fichier texte incitant les employé·es de grosses entreprises à acheminer de l’information sensible à Coinbase Cartel en échange d’un paiement. Il y a aussi un Tox ID (une chaîne unique de 76 caractères hexadécimaux) permettant de les contacter sur qTox, une application de messagerie instantanée soucieuse de la vie privée.

Figure 2 – Contenu du fichier ‘Want to get rich, then contact us if you have what we need.txt’

La fuite inclut un identifiant numérique, le nom complet, un code (‘F’ ou ‘A’), l’adresse civique, la date de naissance, le numéro d’assurance sociale et un numéro de téléphone sur des particuliers, des citoyens corporatifs et des fiducies. Il y grossièrement 3,8 millions de lignes, chaque ligne représentant une victime. Des spot checks effectués par moi-même et certains autres collègues du milieu indiquent que les informations contenues dans le tableur étaient véridiques au moment de la fuite (2019).

Figure 3 – Une portion infime du tableur djb.xlsl censurée pour des raisons évidentes

Dans le texte décrivant la fuite sur leur service Onion, Coinbase Cartel sous-entend détenir de l’information sur une autre fuite plus récente chez Desjardins. Le groupe affirme qu’il publiera 1 Go de données par semaine jusqu’à ce que l’institution financière communique avec eux. Le groupe va même jusqu’à s’excuser à « M. Dubois », vraisemblablement Denis Dubois, président et chef de la direction au Groupe Desjardins, qui vient TOUT JUSTE d’être nommé à ce poste… Ou serait-ce ironique?

C’est à se demander si Coinbase Cartel n’a pas un beef avec d’anciens membres de la haute direction de Desjardins, pour s’excuser ainsi à un cadre qui n’a sûrement pas demandé à gérer cette histoire aussi hâtivement, juste après sa promotion.

À noter : manipuler le fichier lui-même – un tableur de 250 Mo –, et ce, de manière sécuritaire (via du sandboxing) nécessite une certaine préparation et des ressources non négligeables. Mes recommandations : une machine virtuelle Linux (minimum 8 Go de vRAM, préférablement 12 Go; 4 cœurs) ou, encore mieux, un système d’exploitation roulant en mémoire vive, comme Tails. Et Gnumeric pour ouvrir et manipuler les données du tableur, et le Tor Browser pour accéder à la fuite directement (ou via un service non anonymisé, comme Tor2Web).

Je serais curieux de savoir si d’autres spécialistes en cybersécurité ont travaillé sur la fuite, et s’ils ont d’autres observations à fournir à la communauté. Mon analyse est sommaire et sans prétention : plus de travail est nécessaire considérant la taille du dataset.

Sharing is caring, comme ils disent!

Dans une optique cohérente (d’un point de vue dystopique) de retour au bureau forcé, couplé d’une obsession avec le contrôle et la surveillance, Microsoft va bientôt déployer une nouvelle fonctionnalité sur Teams, qui va permettre à des gestionnaires insécures de savoir immédiatement si un·e employé·e travaille de la maison ou au bureau. On n’a pas de détail spécifique sur le fonctionnement de ça, outre le fait que le nom (SSID) du point d’accès sans-fil utilisé sera comparé à celui au bureau pour savoir si l’employé·e en question est bel et bien présent·e sur les lieux de travail.

Protip: changez le SSID de votre WAP à la maison pour le même que celui au bureau et WIN. Bon, on verra si c’est aussi simple que ça, mais ce genre de mesures de surveillance obsessionnelle me pue au nez. Ce qui est «amusant» avec ça, c’est que la fonctionnalité va être désactivée par défaut… Alors, si votre employeur l’active en toute connaissance de cause, c’est probablement votre cue pour vous chercher une autre job.

Fait intéressant: le gouvernement du Canada vient de lancer le concours «IDEeS» (Innovations pour la Défense, l’Excellence et la Sécurité) s’adressant aux auteur·rices de fiction. Le but est essentiellement de pondre un scénario out there basé sur la défense de l’Arctique afin de possiblement pallier le manque d’imagination des bonzes militaires dans l’édifice Pearkes, à Ottawa.

Bon, assez de mauvaise foi: ça reste une idée originale et différente, ce qui est pas mal nécessaire côté défense, à défaut d’avoir les effectifs ou le budget pour faire la guerre de manière conventionnelle... Les textes peuvent être envoyés d’ici le 16 janvier 2026.

Un nouveau standard de gestion informatique entre la couche matériel et le système d’exploitation sur un ordinateur vient de voir le jour: le UBIOS (Unified Basic Input/Output System) est une norme développée par plus d’une demi-douzaine d’entreprises chinoises avec, comme but avoué, de se libérer de la dépendance envers les technologies occidentales.

Une fuite de données de Gmail contenant des noms d’usagers et des mots de passe a été largement médiatisée cette semaine. Or, après analyse, il semblerait que la vaste majorité (92 %) des accès fuités l’étaient déjà depuis plusieurs mois. C’est le plus proche d’une bonne nouvelle qu’on peut avoir dans ce genre de cas, alors prenons-la.

Composé de combo lists et d’accès nouvellement leakés, la fuite a été intégrée au site Have I Been Pwned, qui vous permet de vérifier si votre adresse courriel se retrouve dans une ou des fuites de données (spoiler alert: votre adresse va se retrouver dans PLUSIEURS fuites).

Les conseils habituels s’appliquent ici: en cas de compromission, changez le mot de passe compromis et NE RÉUTILISEZ JAMAIS UN ACCÈS. Je le répéterai jamais assez souvent, mais la réutilisation d’accès reste encore un enjeu majeur. Je vois cette gaffe se répéter dans presque toutes les entreprises que je visite. Les accès réutilisés sont militarisés dans les attaques de type credential stuffing.

C’est aussi un bon rappel d’activer l’authentification multifactorielle à un maximum d’endroit. C’est déjà obligatoire du côté de Google depuis un certain temps, mais ça vaut la peine de faire un recensement de votre côté pour éviter les blindspots. Si le 2FA n’est pas une panacée, ça reste la base de la sécurité de l’information en 2025.

C’est tout pour cette semaine. On verra si Coinbase Cartel va publier plus de données sur Desjardins, comme ils menacent de le faire…

Bonne semaine!