Cyberattaque CCQ : seulement 10 % ont activé leur protection, le guide pour vos employés
Près de 685 000 personnes ont reçu, ou recevront d’ici la fin octobre, une lettre ou un courriel de la Commission de la construction du Québec leur offrant deux ans de surveillance du crédit gratuite chez Equifax. Le 16 octobre, la CCQ a fait un constat inquiétant : seulement 10 % des personnes concernées ont activé cette protection.
Si vous dirigez une PME de la construction, une bonne partie de votre équipe est probablement dans les 90 % restants. Voici ce que l’on sait de la cyberattaque CCQ, l’appel frauduleux type à reconnaître, une fiche à afficher dans la roulotte et les cinq gestes de l’employeur.
Cyberattaque CCQ : où en est-on?
L’attaque a été détectée le 24 août au matin. Les services en ligne et téléphoniques de la CCQ sont restés fermés jusqu’au 8 septembre. Selon la CCQ, l’organisation a pu repartir grâce à des sauvegardes fiables, sans payer les pirates.
10 %
des près de 685 000 personnes concernées avaient activé leur protection Equifax au 16 octobre 2026, selon la CCQ.
Pourquoi autant de personnes? Depuis le 29 septembre, la CCQ a élargi l’envoi aux travailleurs qui ont fait affaire avec elle par le passé et dont le numéro d’assurance sociale (NAS) aurait été touché. Certains n’ont pas travaillé dans la construction depuis des années : la CCQ précise que des renseignements peuvent être conservés même sans interaction récente.
Ce qui a été touché, selon la CCQ
| Ce que dit la CCQ (16 oct.) | |
|---|---|
| Ce qui a été volé | Des renseignements de clients et d’employés, dont le NAS de travailleurs ayant fait affaire avec la CCQ au fil des ans. |
| Informations bancaires, passeports, permis | Selon la CCQ, rien n’indique pour l’instant que ces informations de la clientèle soient touchées. |
| Ce que ça veut dire pour vous | Activez la protection si vous l’avez reçue, surveillez vos comptes et méfiez-vous des appels. |
L’appel à reconnaître (exemple fictif)
Une fuite médiatisée, avec des lettres officielles qui arrivent par centaines de milliers, est le décor idéal pour un fraudeur. Voici à quoi pourrait ressembler l’appel, et les quatre signaux qui doivent faire raccrocher.
Les quatre signaux d’alarme
- 1L’urgence inventée. Selon la CCQ, la protection dure 24 mois à partir du jour de l’inscription.
- 2Le NAS au téléphone. La CCQ prévient qu’elle ne confirmera pas par téléphone quels renseignements ont été compromis : tout passe par l’envoi écrit.
- 3Le code d’activation se tape vous-même sur equifax.ca/fr/activer/, en écrivant l’adresse dans le navigateur. Personne n’a besoin de le lire à votre place.
- 4Le lien par texto vers vos données bancaires : raccrochez, puis rappelez le numéro officiel imprimé sur votre lettre.
La fiche à afficher dans la roulotte
Cyberattaque à la CCQ
Votre protection gratuite : 5 gestes, 15 minutes
- Vérifiez votre courrier et vos courriels, indésirables compris : la CCQ communique par lettre ou par courriel.
- Activez la protection sur equifax.ca/fr/activer/ en tapant l’adresse vous-même. Aide d’Equifax : 1 866 349-5204.
- Rien reçu d’ici la fin octobre alors que vous avez travaillé dans la construction? Appelez la CCQ au 1 888 842-8282.
- Ne donnez jamais votre NAS ni votre code à quelqu’un qui vous appelle : raccrochez et rappelez le numéro officiel.
- Surveillez vos relevés bancaires. Vous pouvez aussi demander un avis de sécurité sur votre NAS ou verrouiller votre dossier chez Equifax ou TransUnion.
Sources : CCQ, mise à jour du 16 octobre 2026, et FAQ de la CCQ. Fiche préparée par NeoTech Cloud Solutions, libre de reproduction pour votre équipe.
Les cinq gestes de l’employeur
À faire cette semaine
- ☐ Affichez la fiche ci-dessus dans la roulotte et partagez-la dans le groupe de messagerie de l’équipe, en français et dans les langues de vos employés.
- ☐ Donnez 15 minutes à la fin d’une pause pour que chacun active sa protection, sur son propre téléphone : vous ne touchez jamais à leurs codes.
- ☐ Avertissez le bureau : toute demande de changement de dépôt direct ou de coordonnées bancaires d’un employé se confirme de vive voix, au numéro déjà connu.
- ☐ Prévenez votre comptable et la personne qui gère la paie : un faux courriel « CCQ » qui demande des listes d’employés ou des NAS est un signal d’alarme.
- ☐ Faites le ménage chez vous : quels NAS, spécimens de chèque et pièces d’identité d’anciens employés gardez-vous encore, et pourquoi?
La leçon pour toutes les PME
La cyberattaque CCQ rappelle deux choses. D’abord, les sauvegardes : la CCQ a pu relancer ses services sans négocier avec les pirates. Ensuite, la conservation : plus une organisation garde de données longtemps, plus une fuite touche de monde. La Loi 25 vous oblige à détruire ou anonymiser les renseignements personnels une fois leur finalité accomplie, sous réserve des délais de conservation prévus par la loi. Un NAS d’employé parti il y a huit ans, dans un dossier partagé, c’est un risque sans aucun bénéfice.
Pour aller plus loin : la fuite des feuillets T4 et l’avant/après pour votre PME, notre grille pour noter vos fournisseurs après une fuite, la fuite danoise du mot de passe 123456, et notre offre de sauvegarde et reprise après sinistre, avec surveillance proactive de vos systèmes.
Réservez votre Bilan cyber gratuit
Vous conservez vous aussi des NAS, des spécimens de chèque ou des pièces d’identité d’employés? Le Bilan cyber gratuit repère où dorment ces données, qui y a accès et si vos sauvegardes vous permettraient de repartir sans payer de rançon, et vous remet une liste de correctifs claire.
👉 Réservez votre Bilan cyber gratuit
Appelez-nous au 438-476-2322 ou écrivez à info@neotechcloudsolutions.com.
Sources
- CCQ, « Incident de sécurité informatique – Mise à jour sur la situation », 16 octobre 2026
- CCQ, page « Incident de sécurité informatique 24 août 2026 » et FAQ, mise à jour du 16 octobre 2026
- APCHQ, « Incident de cybersécurité à la CCQ : vérifiez vos communications reçues », 5 octobre 2026
Photo : ANTONI SHKRABA production, Pexels (licence Pexels).