Fuite à l’Université de Copenhague : votre environnement de test contient-il de vraies données?
Mardi 20 octobre 2026, l’Université de Copenhague a détecté une intrusion. Selon l’université, les pirates n’avaient pas atteint ses systèmes de tous les jours, mais l’un de ses environnements de test. Le problème : cet environnement contenait de vraies données sur environ 525 000 personnes, dont leur numéro d’identité national.
Votre PME n’a pas un demi-million de dossiers. Elle a peut-être, par contre, un site de préproduction, une « copie de la compagnie » dans le logiciel comptable ou un vieux serveur de test qui contient exactement les mêmes données que la production, avec beaucoup moins de protection.
Ce que l’on sait, jour par jour
Selon l’université, citée par BleepingComputer et DR, les données touchées peuvent inclure le nom complet, le numéro CPR (le numéro d’identité personnel danois, un peu comme notre NAS), le téléphone au travail, le téléphone privé et le courriel privé. Dans son annonce du 23 octobre, l’université disait n’avoir aucun signe d’accès aux systèmes qui soutiennent ses activités quotidiennes. La nouvelle attaque du 26 octobre a toutefois forcé la fermeture préventive de systèmes administratifs, et l’université n’a pas dit comment les pirates sont entrés, ni si des données ont été consultées cette fois. Selon DR, l’Université d’Aarhus a aussi annoncé une intrusion sur l’un de ses serveurs la même semaine.
Ce que l’université n’a pas expliqué : pourquoi de vraies données se trouvaient dans un environnement de test. On ne fera donc pas de suppositions sur sa configuration. La leçon, elle, ne dépend pas de ce détail.
Les numéros CPR ont déjà fait parler d’eux ce mois-ci : nous avions raconté l’affaire du mot de passe 123456 dans le registre CPR danois.
Pourquoi un environnement de test devient la porte d’entrée
Un environnement de test est fait pour essayer, casser et recommencer. C’est justement pour ça qu’on y relâche la garde. Si on y copie les vraies données « pour que ce soit réaliste », on obtient les mêmes renseignements que la production, protégés comme un brouillon.
Où se cachent les copies de données dans une PME
Dans une petite entreprise, l’environnement de test ne porte pas toujours ce nom. Voici les six endroits où nous trouvons le plus souvent des copies oubliées.
🌐 Le site de préproduction
Un clone du site ou de la boutique en ligne, avec les commandes et les comptes clients, créé pour tester une refonte ou une extension.
🔎 Où chercher : Les sous-domaines staging., dev., test. ou un dossier « /old » chez votre hébergeur.
🧹 Quoi faire : Le protéger par mot de passe ou le supprimer, et vider les tables de clients s’il doit rester.
🗄️ La « copie de la compagnie »
Une copie du dossier comptable ou de paie, faite pour essayer une mise à jour ou former quelqu’un.
🔎 Où chercher : La liste des sociétés ou dossiers dans le logiciel, et les fichiers de sauvegarde récents sur les postes.
🧹 Quoi faire : La supprimer après le test, ou la remplacer par un dossier de démonstration.
📊 Les exports CSV et Excel
Une liste de clients exportée pour une campagne, une migration ou un consultant.
🔎 Où chercher : Le dossier Téléchargements, les dossiers partagés OneDrive ou SharePoint, les pièces jointes envoyées.
🧹 Quoi faire : Supprimer les fichiers et retirer les liens de partage qui ne servent plus.
🖥️ La vieille machine « TEST »
Un serveur monté pour une migration, jamais éteint ni mis à jour depuis.
🔎 Où chercher : L’inventaire de votre hyperviseur ou de votre console infonuagique.
🧹 Quoi faire : L’éteindre, l’archiver de façon chiffrée ou la supprimer.
💻 Le portable du fournisseur
Une copie de base de données envoyée à un développeur pour corriger un bogue.
🔎 Où chercher : Demandez par écrit à chaque fournisseur ce qu’il conserve encore.
🧹 Quoi faire : Exiger la destruction et une confirmation écrite, et l’inscrire au contrat pour la prochaine fois.
☁️ Le « bac à sable » d’un logiciel en ligne
Un environnement de formation de votre CRM ou de votre plateforme de facturation, alimenté avec de vraies fiches.
🔎 Où chercher : La console d’administration du logiciel (sandbox, environnement de test).
🧹 Quoi faire : Le rafraîchir avec des données fictives ou le supprimer.
Les sauvegardes sont aussi des copies. Elles doivent être chiffrées, avec un accès restreint et une durée de conservation connue. C’est la base de nos services de sauvegarde et reprise après sinistre.
Masquer avant de copier : à quoi ça ressemble
La plupart des tests n’ont pas besoin de la vraie Julie Tremblay. Ils ont besoin d’une fiche qui ressemble à une fiche. Trois options, de la plus sûre à la moins sûre :
- Des données fictives générées pour le test.
- Une copie masquée : les noms, numéros et courriels sont remplacés avant que la copie quitte la production.
- Une copie réelle limitée, seulement si le test l’exige vraiment : le moins de fiches possible, accès restreint, authentification multifacteur, journalisation et date de suppression fixée d’avance.
Exemple : la même table, avant et après masquage
❌ Copie brute : ce qu’on retrouve trop souvent en test
| Client | NAS | Téléphone | Courriel |
|---|---|---|---|
| Julie Tremblay | 123 456 789 | 514 555-0142 | julie.tremblay@exemple.ca |
| Marc Gagnon | 987 654 321 | 450 555-0177 | mgagnon@exemple.ca |
✅ Copie masquée : assez pour tester, inutile pour un fraudeur
| Client | NAS | Téléphone | Courriel |
|---|---|---|---|
| Client 0001 | *** *** *** | 000 555-0100 | client0001@test.invalid |
| Client 0002 | *** *** *** | 000 555-0101 | client0002@test.invalid |
Données entièrement fictives, pour l’illustration. Le test garde la structure (un nom, un numéro, un courriel valides en apparence) sans la personne réelle derrière.
⚖️ Au Québec : ce que la Loi 25 dit d’une copie de test
- Une copie reste un renseignement personnel. L’article 10 exige des mesures de sécurité raisonnables compte tenu notamment de la sensibilité, de la quantité, de la répartition et du support des renseignements. Une copie de plus, c’est de la répartition en plus.
- Les projets de système sont visés. L’article 3.3 exige une évaluation des facteurs relatifs à la vie privée pour tout projet d’acquisition, de développement ou de refonte d’un système d’information qui touche des renseignements personnels. C’est le bon moment pour décider quelles données iront en test.
- Fin du besoin, fin de la copie. Selon l’article 23, quand les fins sont accomplies, les renseignements sont détruits ou anonymisés, sous réserve d’un délai de conservation prévu par une loi.
- Masquer n’est pas toujours anonymiser. L’article 12 parle de renseignements dépersonnalisés quand ils ne permettent plus d’identifier directement la personne. L’anonymisation, elle, doit être irréversible et suivre un règlement précis.
- En cas d’incident, les articles 3.5 et 3.8 s’appliquent comme pour la production : mesures pour réduire le risque, avis à la Commission d’accès à l’information et aux personnes concernées s’il y a un risque de préjudice sérieux, et inscription au registre des incidents.
Résumé informatif, pas un avis juridique.
Vos environnements de test : la liste à faire cette semaine
Cette semaine : 7 vérifications sur vos environnements de test
- ☐ Dresser la liste de tous les environnements de test, de préproduction et de formation, y compris ceux de vos fournisseurs.
- ☐ Pour chacun, noter s’il contient de vraies données de clients ou d’employés.
- ☐ Retirer d’Internet ce qui n’a pas besoin d’y être, ou le protéger par mot de passe et par adresse IP.
- ☐ Exiger l’authentification multifacteur et supprimer les comptes partagés ou « temporaires ».
- ☐ Remplacer les copies brutes par des données masquées ou fictives pour les prochains tests.
- ☐ Supprimer les exports, les copies de base de données et les machines « TEST » qui ne servent plus.
- ☐ Ajouter une ligne dans vos contrats : le fournisseur détruit les copies à la fin du mandat et le confirme par écrit.
Un serveur de test oublié n’envoie souvent aucune alerte, parce que personne ne l’a ajouté à la surveillance. Notre surveillance automatisée 24/7 avec intervention du technicien de garde couvre les serveurs que vous nous confiez, y compris ceux qu’on a tendance à oublier, et nos services de cybersécurité commencent par l’inventaire de ce que vous exposez vraiment. Si votre site est chez un hébergeur, posez-lui aussi les bonnes questions de sécurité, notamment sur les copies de préproduction.
Réservez votre Bilan cyber gratuit
Vous ne savez pas combien de copies de vos données de clients existent, ni qui y a accès? Le Bilan cyber gratuit fait le tour de vos sites, serveurs, exports et accès de fournisseurs, et vous remet une liste claire de priorités.
👉 Réservez votre Bilan cyber gratuit
Appelez-nous au 438-476-2322 ou écrivez à info@neotechcloudsolutions.com.
Sources
- BleepingComputer (Bill Toulas, 26 octobre 2026) : University of Copenhagen data breach exposes data of 525,000 people (en anglais)
- DR (23 octobre 2026) : Københavns Universitet har været udsat for cyberangreb (en danois)
- Université de Copenhague : Københavns Universitet udsat for hackerangreb (communiqué et mises à jour) (en danois)
- Université de Copenhague : Driftsforstyrrelser på KU (mise à jour du 26 octobre 2026) (en danois)
- LégisQuébec : Loi sur la protection des renseignements personnels dans le secteur privé (P-39.1)
Photo : Ofspace LLC, Culture, Pexels (licence Pexels).