Foule devant une scène de spectacle éclairée, illustrant le piratage de la billetterie Le point de vente

Piratage de la billetterie Le point de vente : ce qu’on sait et quoi faire

Ian-Rémi Lafleur
octobre 27, 2026
8 min read
0 comments

Depuis le vendredi 23 octobre 2026, impossible d’acheter des billets sur Lepointdevente.com, la principale billetterie indépendante au Québec selon Le Devoir. L’entreprise a confirmé un incident de cybersécurité, et son enquête indique que certains renseignements d’acheteurs pourraient avoir été consultés lors de ce piratage de la billetterie Le point de vente.

Si vous avez acheté un billet de spectacle au Québec ces dernières années, vous êtes peut-être concerné. Et si votre PME confie les données de ses clients à une plateforme en ligne, cet incident vous concerne aussi.

Piratage de la billetterie Le point de vente : ce qu’on sait, jour par jour

Mercredi

21 oct.

PHP publie des correctifs pour deux failles critiques surnommées « php2shell ». Le Centre canadien pour la cybersécurité publie une alerte le jour même.

Vendredi

23 oct.

Le point de vente détecte une « activité non autorisée dans une partie de son environnement technologique » et met sa plateforme hors ligne par précaution. Les billets déjà émis restent valides.

Lundi

26 oct.

La billetterie indique que des renseignements d’acheteurs « pourraient avoir été consultés ». Le même jour, la CISA américaine confirme que les failles php2shell sont exploitées activement.

Mardi

27 oct.

Date de remise en ligne visée par l’entreprise. Ce matin, la page d’accueil de lepointdevente.com répondait de nouveau.

Le directeur général, Yannick Cimon-Mattar, a confirmé au Soleil que la plateforme avait été mise hors ligne « par mesure de précaution » après la détection d’une activité non autorisée. « L’enquête indique à ce stade que certains renseignements relatifs à des acheteurs pourraient avoir été consultés. Toute personne touchée sera avisée directement et recevra de l’information sur les mesures de protection appropriées », a-t-il déclaré.

La panne a aussi touché les salles. Selon Radio-Canada, le système qui permet de valider les billets à l’entrée était lui aussi hors service. Le Devoir rapporte que la billetterie a envoyé aux salles la liste des coordonnées des acheteurs pour qu’elles puissent accueillir le public, et que certaines craignent d’avoir perdu des ventes pendant la fin de semaine.

Confirmé, ou pas encore

✔️ Ce qui est confirmé

La plateforme a été mise hors ligne le vendredi 23 octobre après la détection d’une activité non autorisée.
Selon l’enquête en cours, certains renseignements d’acheteurs pourraient avoir été consultés.
Les personnes touchées seront avisées directement, avec de l’information sur les mesures de protection.
L’entreprise travaille avec des experts externes en cybersécurité.
Elle a étendu son examen aux composantes visées par les failles critiques publiées la semaine dernière dans PHP et Node.js.
Les billets déjà achetés demeurent valides.

❓ Ce qui ne l’est pas

Quels renseignements exactement : l’entreprise ne l’a pas précisé, ni s’il y a des données de paiement.
Combien de personnes : aucun chiffre officiel. Le Soleil écrit que les données de « millions d’utilisateurs » pourraient être touchées, sans source chiffrée.
La cause : une source externe citée par Le Soleil évoque php2shell, mais l’entreprise ne l’a pas confirmé.
Aucune revendication par un groupe de pirates n’a été rapportée.

Les faits sont donc encore minces. On s’en tient à ce que l’entreprise et les médias ont rapporté, et on mettra l’article à jour si l’avis aux personnes touchées apporte des précisions.

La piste php2shell : une faille qui touche aussi votre site

Le 21 octobre, PHP a corrigé deux failles critiques (CVE-2026-109618 et CVE-2026-109619) découvertes par Wiz Research. Surnommées « php2shell », elles permettent à un attaquant d’exécuter du code sur un serveur à distance, sans mot de passe. PHP fait fonctionner WordPress, Drupal, Joomla et une grande partie des sites web. Le 26 octobre, la CISA américaine les a ajoutées à sa liste de failles exploitées activement.

Le point de vente n’a pas confirmé que php2shell est en cause. Il a toutefois écrit au Devoir qu’il avait étendu son examen aux composantes visées par les failles critiques publiées la semaine dernière dans PHP et Node.js, et que c’est ce qui expliquait la durée de la maintenance. Peu importe la cause exacte ici, la leçon pour une PME est la même : si votre site roule sur PHP et n’a pas été mis à jour depuis le 21 octobre, il est exposé.

Les arnaques à surveiller après un incident comme celui-ci

L’entreprise demande aux acheteurs, aux organisateurs et aux partenaires de rester vigilants face à « tout message inhabituel concernant des billets, des remboursements ou des paiements ». Voici à quoi ça peut ressembler :

🎟️

Faux remboursement

Un courriel « votre spectacle est annulé, cliquez pour être remboursé » qui demande votre numéro de carte.

💳

Faux paiement à refaire

« Votre transaction a échoué pendant la panne, confirmez vos informations de paiement. »

📱

Texto ou appel

Un message qui reprend le nom du spectacle et la date que vous avez vraiment achetés, pour paraître crédible.

🏢

Faux fournisseur

Côté salles et organisateurs : une fausse facture ou un changement de coordonnées bancaires « à la suite de l’incident ».

Pour un exemple concret de faux message, voyez notre article sur la fausse amende de péage par texto.

Vous avez acheté des billets sur Le point de vente : quoi faire

☐ Surveillez vos courriels : l’entreprise dit qu’elle avisera directement les personnes touchées.
☐ Ne cliquez sur aucun lien de remboursement ou de paiement reçu par courriel ou texto. Allez plutôt sur le site en tapant vous-même l’adresse.
☐ Vérifiez vos relevés de carte de crédit des dernières semaines et signalez toute transaction inconnue à votre institution financière.
☐ Si vous utilisiez le même mot de passe ailleurs, changez-le partout, et activez l’authentification multifacteur sur votre courriel.
☐ Personne de légitime ne vous demandera votre mot de passe ou votre numéro de carte complet par courriel.

Votre PME confie aussi les données de ses clients à une plateforme

Une salle de spectacle ne gère pas sa billetterie elle-même : elle la confie à un fournisseur. Votre PME fait pareil avec sa prise de rendez-vous, sa boutique en ligne, son infolettre ou son logiciel de paiement. Le jour où ce fournisseur est piraté, ce sont vos clients qui reçoivent les faux courriels, et c’est à vous qu’ils téléphonent.

⚖️ Au Québec : quand c’est votre fournisseur qui est piraté

Vos clients restent vos clients. Selon l’article 18.3, vous pouvez confier des renseignements personnels à un fournisseur pour exécuter un mandat, mais par un contrat écrit qui prévoit les mesures de protection et l’obligation de vous aviser de toute atteinte.
Des mesures raisonnables. L’article 10 exige des mesures de sécurité adaptées à la sensibilité, à la quantité et au support des renseignements, y compris chez ceux à qui vous les confiez.
En cas d’incident, les articles 3.5 à 3.8 prévoient des mesures pour réduire le risque, un avis à la Commission d’accès à l’information et aux personnes concernées s’il y a un risque de préjudice sérieux, et l’inscription au registre des incidents.

Résumé informatif, pas un avis juridique. Nous ne connaissons pas les contrats entre Le point de vente et ses salles.

Pour votre PME : 6 vérifications cette semaine

☐ Faites la liste de vos sites et applications en PHP : site WordPress, boutique en ligne, portail client, extranet, intranet.
☐ Demandez à votre hébergeur ou à votre agence, par écrit, si PHP a été mis à jour vers 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, ou s’il y a un correctif équivalent.
☐ Si un système roule sur PHP 8.1 ou plus ancien sans correctif, retirez-le d’Internet en attendant, comme le recommandent la CISA et le Centre canadien pour la cybersécurité.
☐ Demandez aux fournisseurs qui traitent les données de vos clients (billetterie, prise de rendez-vous, paiement, infolettre) ce qu’ils ont fait.
☐ Préparez d’avance le message à vos clients si un fournisseur est touché : quoi surveiller et par quel canal vous les joindrez.
☐ Vérifiez que vous avez un registre des incidents de confidentialité, comme l’exige la Loi 25.

Une faille comme php2shell se corrige en quelques heures quand quelqu’un surveille vos serveurs. Notre surveillance automatisée 24/7 avec intervention du technicien de garde couvre les serveurs et sites que vous nous confiez, et nos services de cybersécurité commencent par l’inventaire de ce que vous exposez vraiment. Si votre site est chez un hébergeur, posez-lui aussi les bonnes questions de sécurité.

Réservez votre Bilan cyber gratuit

Vous ne savez pas si votre site roule sur une version de PHP vulnérable, ni ce que vos fournisseurs font des données de vos clients? Le Bilan cyber gratuit fait le tour de vos sites, serveurs et fournisseurs, et vous remet une liste claire de priorités.

👉 Réservez votre Bilan cyber gratuit

Appelez-nous au 438-476-2322 ou écrivez à info@neotechcloudsolutions.com.

Sources

Photo : Caleb Oquendo, Pexels (licence Pexels).