Incidents de cybersécurité

La protection des renseignements personnels des Canadiennes et des Canadiens est une priorité de l'Agence du revenu du Canada. La confiance des particuliers et des entreprises envers l'Agence constitue la pierre d'assise du système fiscal du Canada. 

L'Agence collabore avec la Gendarmerie royale du Canada (GRC) dans l'enquête en cours menée en raison des récents incidents de cybersécurité qu'a subis l'Agence. Au fur et à mesure que l'enquête se poursuit, il est impératif que nous ne communiquions aucun renseignement sur la nature précise des attaques ou à l'égard des mesures de sécurité prises pour y faire face, et ce, afin de ne pas compromettre le travail des enquêteurs de la GRC. Le Commissariat à la protection de la vie privée a également été informé de cet incident et continue d'être tenu au courant des développements.

L'Agence comprend les difficultés et les frustrations que vivent des Canadiens en raison de ces cyberincidents. Afin de protéger les Canadiens contre la fraude et les répercussions potentielles du vol d'identité, l'Agence a mis en place des procédures rigoureuses de vérification.

Nous reconnaissons que le fait de restreindre l'accès aux comptes de l'Agence peut contrarier les Canadiens, et nous nous excusons des inconvénients que ces précautions nécessaires leur ont causés. Nous nous engageons à aider les personnes touchées par ces cyberincidents. Les personnes dont les comptes ont été compromis recevront une lettre de l'Agence leur expliquant comment confirmer leur identité et rétablir l'accès à leur compte. Des services de protection de crédit gratuits leur seront aussi offerts.

Nous continuons de travailler avec nos homologues du gouvernement, y compris le Centre canadien pour la cybersécurité et le Secrétariat du Conseil du Trésor du Canada, pour répondre aux récentes attaques contre les systèmes en ligne de l'Agence. Pour empêcher l'accès à d'autres comptes gouvernementaux en ligne, le lien entre Mon dossier de l'Agence et Mon dossier Service Canada reste désactivé. 

À mesure que progresse l'analyse judiciaire liée aux récents incidents de cybersécurité, nous mettons à jour nos données, et les chiffres qui sont fournis aujourd'hui représentent les plus récents renseignements disponibles à ce stade-ci. Ils peuvent changer au fur et à mesure que l'enquête révèle de nouveaux faits. 

En conséquence de ces incidents de cybersécurité, l'Agence a cerné des activités suspectes pour environ 48 500 comptes sur un total de plus de 14 millions de comptes d'utilisateurs de l'Agence. Le nombre de comptes touchés par de telles activités suspectes s'élevait à 5 500 le 15 août 2020, mais il a augmenté depuis en raison de l'analyse judiciaire qui se poursuit. Ces 48 500 comptes ont tous été bloqués afin de prévenir tout autre accès non autorisé ou toute fraude liée à ceux-ci. 

De plus, des mesures sont en place pour repérer les comptes qui présentent un risque plus élevé d'être touchés et pour éviter que ceux-ci soient l'objet de demandes potentiellement suspectes. Les mesures d'atténuation qui ont été mises en place se sont avérées efficaces. Nous avons commencé à communiquer avec les personnes touchées en leur faisant parvenir une lettre par courrier recommandé qui leur explique comment confirmer leur identité et rétablir l'accès à leur compte. Dans certains cas, l'Agence pourrait demander aux demandeurs de communiquer avec l'un de ses agents et de fournir des documents à l'appui avant le prochain versement de leurs prestations. 

Des mesures de protection ont été mises en place pour les comptes touchés et tous les paiements de prestations d'urgence pertinents seront effectués. L'Agence travaillera avec les personnes qui ont été touchées par le vol d'identité ou la fraude pour aider à faire en sorte qu'elles ne soient pas tenues responsables des demandes frauduleuses faites par les fraudeurs qui ont eu accès à leur compte et qui ont perçu des paiements de manière frauduleuse. Il leur sera également proposé des services de protection du crédit gratuits. 

Malgré les mesures prises par l'Agence pour lutter contre les arnaques, le vol d'identité se produit chaque année, et les incidents de cybersécurité se produisent fréquemment. Les arnaqueurs acquièrent des renseignements personnels par divers moyens, comme l'hameçonnage et les fuites ou les violations de données dont sont responsables des organismes de l'extérieur de l'Agence. À mesure que les arnaqueurs adaptent leurs pratiques, l'Agence fait de même. L'Agence surveille régulièrement les comptes contre toute activité suspecte afin de détecter, de prévenir et de traiter les cas de fraude et de vol d'identité potentiels, que cette activité soit liée ou non à des cyberattaques. L'Agence combine l'analyse avancée des données et l'intelligence d'affaires acquises auprès de nombreuses sources, y compris des organismes d'application de la loi, des institutions financières et des indices, pour appuyer ces efforts. 

Les récents incidents de cybersécurité ont utilisé le bourrage d'identifiants, où les mots de passe et les noms d'utilisateur obtenus lors de piratages de comptes précédents dans d'autres organismes sont saisis pour accéder aux comptes de l'Agence. Pour aider à réduire leur risque contre ces types d'incidents de cybersécurité, on encourage fortement tous les Canadiens à éviter de réutiliser les mêmes mots de passe dans d'autres systèmes et applications. 

Les Canadiens peuvent utiliser d'autres mesures de sécurité pour améliorer la sécurité de leurs comptes. L'Agence demande à tous les utilisateurs de comptes en ligne de l'Agence d'activer les « avis par courriel ». Ce service informe les contribuables, par courriel, des changements apportés à leurs comptes de l'Agence. Ces avis servent à prévenir rapidement les Canadiens d'éventuelles activités frauduleuses dans leur compte. Les Canadiens inscrits qui reçoivent ces alertes, mais qui n'ont pas autorisé de changements, doivent communiquer avec l'Agence par téléphone en composant le 1-800-959-7383 (français) ou le 1-800-959-8281 (anglais) pour prendre les mesures qui s'imposent pour rectifier la situation. Nous avons mis à disposition certains employés dans nos centres d'appels qui accordent la priorité aux appels des victimes de fraude et de vol d'identité. 

Pour obtenir de plus amples renseignements sur la façon d'accroître la sécurité de votre compte ou pour signaler des activités suspectes, et obtenir des mises à jour sur les incidents de cybersécurité, veuillez consulter les pages Web sur la fraude et le vol d'identité de l'Agence. 

Comme de nombreux Canadiens comptent sur ses services en ligne, l'Agence travaille rapidement et assidument pour continuer à offrir des services de façon ininterrompue. 

Liens connexes

• 15 août 2020 : Déclaration du Bureau du dirigeant principal de l'information du gouvernement du Canada au sujet de l'attaque de bourrage de justificatifs touchant le service CléGC
• 17 septembre 2020 : Mise à jour du Bureau du dirigeant principal de l'information du gouvernement du Canada sur les récentes cyberattaques

-30-