Piratage de Nova Scotia Power : 915 000 clients exposés en un clic

En avril 2025, un seul employé de Nova Scotia Power a cliqué sur une fenêtre contextuelle malveillante. Ce bref instant a suffi à exposer les données personnelles d'environ 915 000 clients actuels et anciens, selon les conclusions du Commissaire à la protection de la vie privée du Canada. Cette violation est un rappel frappant que même les grands fournisseurs d'infrastructures critiques ne sont pas à l'abri des attaques par ingénierie sociale, et que vos données personnelles ne sont pas plus en sécurité que le maillon le plus faible de toute organisation qui les détient.

Quelles données ont été exposées

L'étendue des informations compromises lors de cette violation est significative. Les clients touchés peuvent avoir eu les données suivantes exposées :

  • Noms complets
  • Numéros de téléphone
  • Adresses électroniques
  • Adresses postales
  • Dates de naissance
  • Historiques de comptes clients, notamment les relevés de paiement, l'historique de facturation et l'historique de crédit
  • Numéros de compte bancaire
  • Numéros de permis de conduire
  • Numéros d'assurance sociale (NAS)

Il ne s'agit pas d'une fuite de données mineure. La combinaison de numéros de compte bancaire, de NAS et de numéros de permis de conduire fournit aux acteurs malveillants presque tout ce dont ils ont besoin pour commettre une fraude d'identité ou ouvrir des comptes frauduleux au nom d'une personne. Le fait que ces données se trouvaient dans les systèmes d'un fournisseur de services publics — une entreprise avec laquelle la plupart des gens interagissent simplement pour avoir accès à l'électricité — souligne à quel point nos informations sensibles sont largement réparties entre des organisations auxquelles nous pensons rarement.

Comment une fenêtre contextuelle a mis à bas les défenses d'une compagnie d'électricité

La méthode d'attaque utilisée ici n'était pas un logiciel malveillant sophistiqué déployé par un État. Il s'agissait d'une fenêtre contextuelle malveillante, le genre de chose que la plupart d'entre nous ont déjà rencontrée en naviguant sur le web. Un seul employé a cliqué dessus, et cela a suffi à ouvrir une porte dans les systèmes de Nova Scotia Power.

C'est là l'ingénierie sociale dans sa forme la plus élémentaire. Les attaquants n'ont pas toujours besoin de franchir des pare-feux ou de contourner le chiffrement. Souvent, le chemin le plus facile passe par l'humain. Une fenêtre contextuelle convaincante, une fausse invite de connexion ou un courriel d'hameçonnage bien conçu peuvent contourner en quelques secondes plusieurs couches de sécurité technique.

Les grandes organisations investissent massivement dans la sécurité périmétrique, mais le comportement des utilisateurs reste l'une des variables les plus difficiles à maîtriser. Aucun service informatique, quel que soit son budget ou son expertise, ne peut garantir que chaque employé prendra toujours la bonne décision. Ce n'est pas une critique envers le personnel de Nova Scotia Power ; c'est simplement la réalité du fonctionnement de ces attaques. Elles sont conçues pour être convaincantes, et elles sont conçues pour exploiter le bref instant où la vigilance d'une personne est en baisse.

Ce que cela signifie pour vous

Si vous êtes un client actuel ou ancien de Nova Scotia Power, vous devriez prendre au sérieux les mesures suivantes :

Surveillez vos comptes. Vérifiez vos relevés bancaires et vos dossiers de crédit pour détecter toute activité inhabituelle. Au Canada, vous pouvez demander un rapport de crédit gratuit auprès d'Equifax et de TransUnion.

Soyez vigilant face aux tentatives d'hameçonnage. Votre adresse électronique, votre nom et l'historique de votre compte se trouvant désormais potentiellement entre les mains d'attaquants, vous pourriez devenir la cible de courriels d'hameçonnage hautement personnalisés. Soyez méfiant à l'égard de tout message vous demandant de cliquer sur un lien ou de fournir des informations, même s'il semble provenir d'une source fiable.

Activez l'authentification multifacteur (AMF) partout où vous le pouvez. L'AMF ajoute une deuxième couche de vérification à vos comptes, rendant l'accès à ceux-ci beaucoup plus difficile pour quelqu'un, même s'il dispose de votre mot de passe.

Envisagez un gel de crédit. Si vous craignez une fraude d'identité, un gel de crédit auprès des agences d'évaluation du crédit canadiennes peut empêcher l'ouverture de nouveaux comptes à votre nom sans votre autorisation explicite.

Pratiquez la minimisation des données à l'avenir. Réfléchissez attentivement aux informations personnelles que vous partagez avec tout service, et ne fournissez que ce qui est strictement nécessaire.

Il vaut également la peine de réfléchir à un point plus général : vous ne pouvez pas contrôler la façon dont chaque organisation stocke ou protège vos données. Les fournisseurs de services publics, les assureurs, les détaillants et les prestataires de soins de santé détiennent tous des fragments de votre profil personnel. Lorsque l'un d'eux est victime d'une violation, les conséquences vous retombent dessus. C'est pourquoi il est important de superposer vos propres protections de la vie privée — non pas parce que cela empêche une entreprise d'être piratée, mais parce que réduire votre exposition globale limite les dommages lorsque des violations se produisent.

Prendre sa propre vie privée au sérieux

La violation de Nova Scotia Power est une bonne occasion de faire un bilan de vos propres habitudes numériques. L'utilisation d'un VPN comme hide.me chiffre votre trafic internet et masque votre adresse IP, ce qui contribue à protéger votre activité en ligne contre l'observation ou l'interception — notamment sur les réseaux publics ou non sécurisés, où les fenêtres contextuelles malveillantes et les redirections d'hameçonnage sont plus fréquentes. Cela n'empêchera pas le piratage d'une compagnie de services publics, mais c'est un élément concret d'une stratégie de confidentialité plus large.

Combinez un VPN avec des mots de passe forts et uniques pour chaque compte, l'AMF partout où elle est proposée, et un scepticisme sain envers les messages non sollicités, et vous disposerez d'une défense solide contre bon nombre des risques indirects découlant de violations comme celle-ci.

Les entreprises continueront d'être ciblées. Les employés cliqueront parfois sur la mauvaise chose. La question est de savoir à quel point vous êtes préparé lorsque cela se produit.