À retenir
- Le 14 octobre 2026, le Commissariat à la protection de la vie privée du Canada a clos son enquête sur l’atteinte de 2025 chez WestJet. La compagnie avait démontré qu’elle avait respecté tous les engagements de la lettre de conformité signée en juillet : exigences renforcées d’authentification multifacteur, contrôles d’identité et d’accès plus stricts, sensibilisation accrue à la sécurité, et une évaluation externe de sécurité dont les résultats ont été transmis au Commissariat.
- L’atteinte a commencé par une ingénierie sociale qui a contourné l’authentification multifacteur sur le compte d’un employé détenant des privilèges administratifs, donnant à l’attaquant le contrôle de serveurs virtuels et un moyen d’exfiltrer des données du stockage infonuagique. Selon le Commissariat, plus de cinq millions de clients actuels et anciens et d’employés ont été touchés.
- En vertu de la LPRPDE, le commissaire ne peut pas imposer d’ordonnances contraignantes aux organisations du secteur privé; la lettre de conformité est donc sa voie de règlement rapide : des engagements signés, une enquête maintenue ouverte, puis une clôture une fois le Commissariat satisfait. Ce dossier est le modèle public le plus clair de remédiation coopérative à ce jour.
Ce qui s’est passé, de l’intrusion à la clôture
WestJet a détecté une activité suspecte le 13 juin 2025. Le communiqué du Commissariat de juillet 2026 décrit la suite avec une franchise inhabituelle : un tiers non autorisé a utilisé des tactiques d’ingénierie sociale pour contourner l’authentification multifacteur, a obtenu l’accès au compte d’un employé détenant des privilèges administratifs, a pris le contrôle des serveurs virtuels de la compagnie et a exfiltré des données de son stockage infonuagique.
Les données compromises variaient selon les personnes : noms, dates de naissance, adresses courriel et postales, numéros de téléphone, genre, réservations de voyage récentes, et renseignements sur les passeports ou autres pièces d’identité gouvernementales. Selon le Commissariat, plus de cinq millions de clients actuels et anciens et d’employés ont été touchés; les propres avis de WestJet, dont son dépôt de septembre auprès du procureur général du Maine, chiffrent la clientèle à 1,2 million de personnes.
Le Commissariat a ouvert son enquête en août 2025. WestJet a signé la lettre de conformité en juillet 2026, et le 14 octobre 2026, le commissaire Philippe Dufresne a annoncé que tous les engagements avaient été respectés et a clos le dossier. De l’atteinte à la clôture : environ seize mois. De la lettre à la clôture : trois.
Une lettre de conformité, pas une conclusion
En vertu de la LPRPDE, le commissaire enquête sur les organisations du secteur privé et publie des conclusions accompagnées de recommandations; il ne peut pas rendre d’ordonnances contraignantes comme le peut la CAI au Québec. Face à une entreprise coopérative, son levier, c’est la lettre de conformité : des engagements écrits signés par l’organisation, une enquête maintenue ouverte, une clôture seulement lorsque le commissaire est satisfait.
Les engagements de WestJet étaient concrets et centrés sur l’identité : renforcer les exigences d’authentification multifacteur, resserrer les contrôles d’identité et d’accès, améliorer la sensibilisation à la sécurité, et mandater une firme externe de sécurité pour vérifier si les nouvelles mesures fonctionnent, puis transmettre au Commissariat les résultats, les recommandations et le plan de remédiation.
Le cadrage de Dufresne est explicite. Le communiqué de juillet présente les lettres de conformité comme un effort pour régler les enjeux de protection de la vie privée plus efficacement afin d’atténuer plus rapidement les risques pour les Canadiens; le communiqué d’octobre salue la mobilisation précoce des entreprises et des autorités lors d’incidents graves.
| Voie | Ce qui se passe | Rapidité typique | Visibilité publique |
|---|---|---|---|
| Lettre de conformité | L’entreprise signe des engagements; le Commissariat vérifie, puis clôt | Des mois | Communiqués à la signature et à la clôture |
| Conclusion publiée | Le commissaire publie des conclusions et des recommandations | Plus long | Rapport public complet |
| Cour fédérale | Le commissaire ou le plaignant demande une ordonnance à la Cour | Des années | Dossier judiciaire |
WestJet est désormais le cas de référence pour la première ligne : une atteinte de cette ampleur, close en environ un an, sans conclusion et sans recours aux tribunaux.
La voie coopérative a ses critiques. Des praticiens qui discutent du dossier en ligne qualifient la lettre de réponse légère pour une atteinte de cette ampleur, et la liste des correctifs ressemble à une hygiène de base qui aurait dû exister avant l’atteinte. Juste, mais l’essentiel de cette critique vise la loi plutôt que le commissaire : sans pouvoir d’ordonnance ni d’amende, son vrai choix se situait entre une lettre et des années de recommandations suivies d’un recours à la Cour fédérale. La lettre a gagné sur la rapidité. La critique reste un rappel utile : ce dossier est une résolution, pas un effet dissuasif.
La cause profonde est la partie à étudier
Si l’on met la procédure de côté, cette atteinte est une parabole pour praticiens. L’authentification multifacteur était en place. Les attaquants ne l’ont pas brisée; ils l’ont contournée, par ingénierie sociale contre un employé dont le compte détenait des privilèges administratifs. Un seul compte, assez large pour atteindre les serveurs virtuels et le stockage infonuagique, a servi de pont.
La liste des correctifs se lit comme l’autopsie : les exigences d’authentification multifacteur ont dû être renforcées, donc la configuration existante pouvait être contournée; les contrôles d’identité et d’accès ont dû être resserrés, donc un seul compte détenait trop de clés. La leçon n’est pas « déployez l’authentification multifacteur ». C’est que la couverture d’authentification multifacteur n’est pas la solidité de l’authentification multifacteur. Les praticiens qui discutent des contournements pointent l’hameçonnage par code d’appareil et le vol de jetons de session, qui contournent l’authentification classique par notification ou SMS sans jamais avoir besoin du mot de passe de la victime. Les contre-mesures auxquelles ils reviennent sans cesse : une authentification résistante à l’hameçonnage sur les comptes privilégiés, des clés de sécurité matérielles ou leur équivalent, un accès conditionnel qui bloque le flux de code d’appareil, et une surveillance qui observe les sessions actives, pas seulement la connexion initiale.
Ce qu’il faut emprunter pour votre propre plan de réponse
Mobilisez le régulateur tôt. Dufresne l’a dit sans détour : la mobilisation précoce est ce qui rend la voie de la lettre de conformité possible. Une posture coopérative a valu à WestJet un accord écrit et un dossier clos en seize mois.
Offrez des preuves, pas des assurances. WestJet s’est engagée à faire évaluer ses correctifs par une firme externe et à remettre au Commissariat les résultats, les recommandations et sa réponse. Des yeux extérieurs transforment des promesses en éléments vérifiables.
Corrigez la couche identité. Les trois correctifs relevaient tous du travail sur l’identité : solidité de l’authentification, contrôle des accès, sensibilisation. Si votre plan de réponse aux incidents énumère les pare-feu avant les comptes privilégiés, inversez l’ordre.
Comptez comme un régulateur. L’écart entre 1,2 million de clients dans les avis de la compagnie et plus de cinq millions de personnes dans le chiffre du Commissariat, ce sont les anciens clients et les employés. Dimensionnez vos registres de notification comme le régulateur le fera.
Sortez votre liste de vérification de réponse aux atteintes cette semaine et assurez-vous que deux lignes y figurent : mobiliser le régulateur tôt, et mandater une évaluation indépendante du correctif. Des engagements écrits, une remédiation de la couche identité, une vérification externe. Voilà ce que le Commissariat a accepté comme réponse complète. Ni amende, ni conclusion, ni tribunal. Juste une lettre, honorée en entier.