Fuite de documents: le silence de Promutuel Assurance

Promutuel Assurance a tenu dans l’ignorance des courtiers et des firmes, dont le nom se retrouve dans des documents publiés sur le dark web. Aucun rapport n’a été fourni non plus aux commissaires à la protection de la vie privée du Québec et du Canada.

• À lire aussi: Des données volées à Promutuel se retrouvent en ligne

Depuis décembre, plusieurs systèmes informatiques chez Promutuel sont paralysés. Le Journal révélait cette semaine qu’au début du mois de janvier, des documents confidentiels avaient été publiés en ligne.

L’entreprise a confirmé nos informations, ajoutant que «les 15 fichiers» divulgués ne contenaient aucun numéro d’assurance sociale, permis de conduire, numéro de carte de crédit ou autre information bancaire.

L’assureur dit avoir, aujourd’hui, récupéré ces documents.

Joints par Le Journal, plusieurs courtiers et firmes de courtage, dont le nom se retrouve dans les documents ou courriels publiés en ligne ont confirmé, mercredi et hier, ne pas avoir été informés par Promutuel de cette fuite de renseignements. 

Pas obligatoire

Au cours des derniers jours, l’assureur de Québec n’avait pas voulu dire s’il avait contacté les individus impliqués dans cet incident.

Promutuel avait répondu que «les autorités réglementaires sont d’ores et déjà avisées de la situation et [que] la police a aussi été saisie de l’affaire». 

Mercredi, la porte-parole de la Commission d’accès à l’information du Québec a souligné que son organisation n’avait pas eu d’échange avec l’assureur.

«Nous n’avons pas reçu de déclaration d’incident de la part de Promutuel», a indiqué Isabelle Gosselin. «Dans certains cas, cela prend parfois du temps avant d’être informé», a-t-elle ajouté, précisant que ses troupes évalueront prochainement s’il y a matière à ouvrir une enquête.

La réponse a été la même du côté du Commissariat à la protection de la vie privée du Canada. «Nous n’avons pas reçu de rapport d’incident de la part de l’organisation», a répondu la porte-parole Anne-Marie Cenaiko.

L’Autorité des marchés financiers a toutefois été avisée par le regroupement de mutuelles au mois de décembre, lors de la cyberattaque.

Actuellement au Québec, une entreprise n’est pas obligée de divulguer publiquement un vol de renseignements personnels ou un incident de sécurité. Elle n’est également pas forcée d’aviser les commissaires. Le projet de loi 64 prévoit toutefois une modification à cette pratique. 

Hier, il n’a pas été possible de parler à un responsable chez Promutuel.

L’UPA est préoccupée

Quant à l’Union des producteurs agricoles (UPA), dont plusieurs membres sont assurés chez Promutuel, la direction se dit préoccupée par cette cyberattaque et tente d’obtenir des précisions de la part de l’assureur.

«Nous espérons que les conséquences seront limitées auprès de nos productrices et producteurs du Québec», a noté la responsable aux communications, Jessica Blackburn. 

– Avec la collaboration de Hugo Joncas, Bureau d’enquête