La French Connection

Enregistré le soir de l’élection québécoise, cet épisode passe au crible ce que chaque parti promet en cybersécurité, en vie privée et en gouvernement numérique. Patrick présente l’analyse publiée sur elections2026.hackfest.ca : le PQ est le seul à proposer un organisme de cyberdéfense, alors que le MCN et le centre de cybersécurité existent déjà ; la CAQ met 14 M$ sur quatre ans contre la cybercriminalité, de quoi payer dix à quinze personnes pour tout le Québec ; le PLQ s’attaque aux échecs de type SAAQclic sans un mot de sécurité ; le PCQ arrive avec une trentaine de documents détaillés pendant que d’autres partis tiennent leur programme sur une page. Une fois mappées au NIST, les plateformes plafonnent à 7 sur 24, aucune ne parle de détection ni de reprise, et le Parti vert propose carrément le vote par Internet.

Francis ramène le débat sur les infrastructures critiques : quinze ans après les journalistes qui entraient dans les édifices d’Hydro-Québec, toujours aucune évaluation des menaces et risques sérieuse, pendant que des villes se font pirater. Il défend aussi l’idée que des plateformes qui changent en pleine campagne, c’est un problème d’intégrité des données. Le panel décortique la Loi 25 — que sept PME sur dix ne connaissent pas et qui ne dit rien sur le chiffrement —, le MCN qui mélange transformation numérique et cybersécurité, et le ministère de la Sécurité intérieure qui n’a finalement changé que de nom. Francis explique comment il intègre le security by design dans son cours de méthodologie de design en génie électrique, parce qu’un système optimisé à 100 % de son matériel n’a plus de place pour le chiffrement.

Côté IA, l’image du jour : on choisit la couleur du marbre du penthouse pendant que les fondations s’effritent. Personne ne parle de gestion des données, alors que c’est elle qui règle le problème. Richer rappelle qu’un LLM appelé à chaque requête donne une réponse différente : faites-lui écrire un script, testez-le, et il ne bouge plus. Détour par le vox pop de Guy Nantel et Platon sur la démocratie, puis Francis nous amène au Royaume-Uni, où le MI5 lance une rare alerte publique sur l’espionnage chinois dans les universités — un problème que le Canada connaît depuis trente ans.

On termine avec le comité fédéral sur l’IA, où personne n’a d’expérience en sécurité, en vie privée ni en gestion des données, puis avec SIFA à Santé Québec : un projet au rouge qui passe au vert après avoir réduit sa portée, augmenté son budget et repoussé sa fin à 2032. Et le panel ose ses prédictions pour le prochain ministre de la Sécurité intérieure.

Épisode « intime » : Patrick et Steve Waterhouse en duo, présenté comme la pratique avant le vrai trois-centième, qui se fera devant public au Hackfest. Steve arrive avec sept pages de nouvelles et un point de méthode qu’il enseigne à ses étudiants : remonter à la source primaire, parce que la nouvelle qu’on lit est souvent le quatrième filtre de l’événement.

Le gros morceau est local. Epic, le logiciel de dossier médical déployé par Santé Québec, a décidé de connecter ChatGPT et Codex aux données patients. L’activation est manuelle — mais quelqu’un va le faire. La vraie question n’est pas technique : où est le consentement du patient, et qui possède la liste des sous-traitants de Santé Québec ? Personne. Steve génère en direct une évaluation des menaces et des risques : souveraineté des données, exposition au Cloud Act, centralisation et rayon d’impact élargi, dette de sécurité liée au déploiement précipité, et une lacune linguistique documentée dès le jour un. Patrick enchaîne sur l’offre d’emploi sortie cette semaine à Santé Québec — dix ans d’expérience plus une pile de certificats que deux personnes au Québec possèdent — pour illustrer un système d’embauche qui mesure des papiers et jamais l’expérience.

Côté incidents, chapeau à la CCQ : transparence, présidente en entrevue radio sans cassette, aucune rançon payée, restauration à partir des sauvegardes. En face, Qilin a mis les données en ligne avec un compteur, cinq cent mille fichiers, neuf cent trente gigaoctets — et une exfiltration qui ne s’est clairement pas faite en une fin de semaine. Puis le tour de la souveraineté : Hydro-Québec et les composants de contrôle industriel chinois, la commission américaine sur les émanations électromagnétiques et le décret qui relance la fabrication de transformateurs en Amérique du Nord, la stratégie du quarante pour cent sous le prix du marché, et le rappel que tout ce qui est « smart » documente ce qui se passe chez vous.

Le clou de l’épisode : à quelques semaines des élections québécoises, les deux fouillent en direct les plateformes des partis. Cyber : zéro chez la CAQ hors du livre bleu, une mention de souveraineté numérique au PQ, rien au PLQ. Seul le PCQ a un document de plateforme numérique — onze pages, un statut d’expert numérique stratégique et « garantir la sécurité des données ». Ça se termine sur les cyber-conflits : mille vulnérabilités au dernier Patch Tuesday de Microsoft, quatre sabotages cinétiques du réseau électrique allemand et des drones sur deux aéroports, Berlin siphonnée via une municipalité voisine, les trackers publicitaires coupés par l’armée américaine, l’ID Windows qui a fait tomber un attaquant, COSCO qui remonte de la géolocalisation à Pékin — et la seule sortie possible : une loi qui force les entreprises à faire de la cyber.

Karolynn Boulet est de retour pour parler de ce que l’intelligence artificielle est en train de faire au marché de l’emploi en cybersécurité. Des prompt injections cachées dans les CV pour tromper les ATS — une étude portant sur 200 000 CV réels en a trouvé dans 2 % d’entre eux. Des deepfakes en entrevue. Et surtout, des candidats qui lisent leurs réponses sur un deuxième écran pendant l’appel : elle raconte le « L3 SOC senior » qui lui a demandé ce qu’était un SIEM, et l’« expert Active Directory » à qui il a fallu expliquer ce qu’est une GPO. D’un bord des CV écrits par l’IA, de l’autre des filtres d’IA, et au milieu plus personne pour juger. Patrick rappelle qu’un téléprompteur et quelqu’un hors caméra suffisent pour que ça devienne indétectable.

Le débat dérape rapidement, comme d’habitude. Francis veut ramener les entrevues en présentiel, Karolynn explique pourquoi ce n’est pas toujours possible et pourquoi la décision en 90 secondes dont Patrick est si fier porte un nom : un biais cognitif. On parle du stress en entrevue, des processus à cinq étapes, de l’impossibilité de faire entrer un junior en sécurité parce que personne ne veut mentorer, et des certificats universitaires en cyber qui vendent de la gouvernance en faisant croire à de la technique. Puis la vieille chicane refait surface : est-ce qu’un CISO doit être technique ? Francis pose ses bases — actif, menace, vulnérabilité, et le risque qui n’est qu’une résultante — et explique pourquoi un policier retraité n’est pas automatiquement un bon directeur de la sécurité : en sécurité, on court après le sac d’argent, pas après le bandit.

Jacques nous ramène en Espagne avec une histoire qui ressemble à un film d’espionnage. Un groupe d’hacktivistes algériens en conflit avec le Maroc affirme détenir 2,7 Go de conversations extraites du téléphone de Pedro Sánchez, infecté par Pegasus, qui prouveraient son inaction lors de l’entrée massive de Marocains à Ceuta. L’ultimatum est simple : 62 heures pour démissionner, sinon tout sort. De l’extorsion politique en direct, à suivre.

On termine sur les caméras, et ça brasse. Le reportage de Ben Jordan sur Flock aux États-Unis : accès quasi ouvert à l’application, journalisation déficiente, caméras installées dans des gyms d’enfants et des parcs. La caméra dont on a parlé à Montréal est une Genetec, pas une Flock, contrairement à ce qu’ont rapporté plusieurs médias. Francis décortique le modèle d’affaires d’Axon — des tasers à 7 000 $, des caméras corporelles données, puis la facturation qui commence dès que tu enregistres — pendant qu’il existe des fabricants canadiens et québécois qui streament en temps réel plutôt que de stocker sur l’appareil. Patrick s’échauffe sur le registre public des caméras privées glissé dans le plan de la Ville, sur les lecteurs de plaques, et sur les métriques de Flock : des millions de caméras déployées en trois ans, et 0 % de baisse de criminalité. Richer ferme le débat en soulignant le vrai problème : il n’y a personne d’autre que nous pour en discuter publiquement.

Épisode spécial : Patrick et Steve reçoivent Jean-Luc Trussart et Jean-François Poulin, deux des artisans de Sociable, la coopérative de solidarité qui construit une plateforme communautaire pour le Québec. Jean-Luc enseigne l’UX, l’UI et les médias interactifs au collégial, dirige la firme de formation en ligne Vecteurs et Leviers et a co-signé un livre sur l’usage intelligent de l’IA pour apprendre. Jean-François, lui, cumule trente ans de numérique et près de vingt ans d’UX, entre l’Apéro UX et sa chronique dans Mon Carnet. Les deux sont bénévoles sur le projet — comme tout le monde autour de la table.

Sociable, c’est un projet né dans la foulée du Panier bleu, mais construit à l’envers des gros projets numériques québécois : coop sans but lucratif, open source, grassroots, sans levée de fonds et sans échéancier imposé. L’équipe explique la vision — un réseau où on peut valider que les comptes sont de vraies personnes, où l’utilisateur garde le contrôle de ses données, où les médias et les PME n’ont plus à se mettre à genoux devant Meta pour être vus. Et surtout, une plateforme pensée pour le territoire du Québec plutôt que pour la langue française seulement : anglais, espagnol, arabe, langues autochtones.

La conversation dérive vite vers le fond du problème. Nos écoles sont sur Classroom, nos villes et nos gouvernements sur Teams : si Microsoft plante demain matin, les trois paliers arrêtent de fonctionner. Steve rappelle qu’on parle beaucoup de souveraineté des données sans jamais nommer qui opère l’infrastructure derrière. Patrick raconte l’échec de trouver un processeur de paiement canadien pour une plateforme de sécurité, et lance l’idée qu’il faut recréer un Visa canadien. L’équipe revient aussi sur le lobby Microsoft à la Ville de Montréal, sur les appels d’offres au plus bas soumissionnaire, et sur le vrai débat autour de l’âge minimum sur les réseaux sociaux — frapper Facebook plutôt que les jeunes.

Gros bloc sur l’IA et le développement : le flot design → code qui a permis de coder en une semaine ce qui traînait depuis six mois, la fin de Figma pour le prototypage, le passage de programmeur à architecte, le hackathon Soignons la tech où des médecins ont bâti leurs propres interfaces, la gestion des permissions des agents, et une astuce concrète — demander à l’IA le script Python qu’elle génère en arrière-plan et le rendre déterministe, plutôt que de brûler des dizaines de milliers de dollars en jetons d’API. Puis les questions de fond de Sociable : définir un algorithme qui n’en est pas un, concevoir l’hygiène numérique sans surveiller les gens, chiffrer le clavardage de bout en bout tout en gardant un fil public. On termine avec les nouvelles : les infrastructures essentielles frappées par les groupes Cyber Av3ngers et Handala, et Desjardins qui s’en va héberger des données financières chez un fournisseur américain — alors que des nuages canadiens existent et que personne ne les connaît.

Infrastructures essentielles et secteur de l’eau

Rançongiciels

Vulnérabilités et correctifs

IA, santé et vie privée

Souveraineté des données (sujet proposé par Jacques)

Épisode d’été chargé, avec Patrick, Francis, Steve et Richer. On ouvre fort : un système de gestion de l’eau d’une ville québécoise a été piraté par un groupe russophone, une information confirmée dans le rapport annuel du Centre de la sécurité des télécommunications. Quelle ville? On ne le sait toujours pas. Et pendant ce temps, les municipalités n’ont ni le budget ni le monde pour se défendre.

On parle aussi du CST qui a mené des cyberopérations offensives ayant dérangé des réseaux criminels, de l’Environmental Protection Agency américaine qui a créé une section dédiée à la cybersécurité de l’approvisionnement en eau — pendant qu’Ottawa et Québec regardent ailleurs — et du site web d’une usine de traitement d’eau retiré en panique après notre dernier épisode.

Ensuite, gros morceau : les bornes de recharge Flo du Circuit électrique, leur interface web exposée, leurs cartes d’accès, et ce qui arrive quand un chercheur qui divulgue devient l’ennemi à abattre plutôt qu’un allié. On finit avec l’avis conjoint sur le durcissement des routeurs exposés à Internet, la cyber-hygiène IoT à la maison, un négociateur de rançongiciels qui travaillait en fait pour les attaquants, et une discussion franche sur le burn-out en cybersécurité.

On dit « 0x296 » à l’audio, mais il s’agit bien de l’épisode 0x297. On a perdu le compte 🤷

Le retour de Richer! Avec Patrick, Francis et Jacques, on se demande pourquoi la technologie s’invite dans nos affaires sans jamais demander la permission : des caméras infrarouges dans les prochains AirPods pour donner des yeux à Siri, de l’IA poussée dans le fond de la gorge à chaque mise à jour, et un buzz grandissant pour les téléphones « zen », les écrans e-ink et le retour à l’analogique — jusqu’au flip phone Callback 8020 de Commodore, sans navigateur ni réseaux sociaux.

Ensuite ça brasse : l’AI-washing dans les startups — payer des tokens pour ce qu’un script Python de dix lignes ferait aussi bien —, les 97 % d’applications vibe-codées qui meurent dans leur première année faute de soutien, et la grande question de la souveraineté numérique canadienne : autonomie réelle ou rêve pieux? Le sujet d’opinion revient sur nos fleurons vendus aux Américains — Element AI passé chez ServiceNow, les talents formés à Mila qui migrent au sud — et sur ce que ça veut dire de partir une entreprise ici. La démonstration du jour arrive d’ailleurs toute cuite : Washington ordonne à Anthropic de couper l’accès à Fable 5 et Mythos 5 pour tout ressortissant étranger, trois jours après leur lancement.

On termine avec les face scans au Royaume-Uni, l’interdiction des réseaux sociaux aux moins de 16 ans, le débat sur l’anonymat en ligne, les 3,5 G$ de fraude par usurpation rapportés par la FTC, et une statistique qui fait mal : une cinquantaine d’entreprises québécoises par année ferment à cause d’un rançongiciel — et on n’en entend jamais parler.

Pour cette édition spéciale, La French Connection débarque sur scène à ITSec 2026, au Centre des congrès de Saint-Hyacinthe, pour un enregistrement en direct devant public. Une heure de discussion sans flafla sur l’état de la cybersécurité au Québec, avec le crew au complet et les participants dans la salle… pas de montage, pas de filet.

Cette semaine, un épisode spécial commandité par GitGuardian avec leur fondateur et CEO Eric Fourrier qui se joint à Patrick, Steve et Francis depuis New York. On déroule le rapport annuel State of Secrets Sprawl et le constat est brutal : le nombre de secrets exposés sur GitHub explose, et l’IA n’arrange rien. Les utilisateurs de coding agents leakent deux fois plus de secrets que les développeurs traditionnels, et une nouvelle catégorie de “vibe codeurs” sans formation sécurité produit du code rempli de clés API directement dans les fichiers de config.

Eric détaille la nouvelle économie d’attaque où voler des secrets est devenu l’objectif #1 : que ce soit via du phishing, du social engineering ou des compromissions supply chain comme Shai-Hulud, LiteLLM ou l’attaque récente sur NX, tout converge vers le même but. Les machines des développeurs sont devenues la cible privilégiée parce qu’elles concentrent à la fois les accès, les secrets et maintenant les coding agents connectés à tout (GitHub, Jira, CRM, bases de données) via MCP et autres intégrations.

La conversation s’attaque ensuite au cas Axios et à la méthode des Nord-Coréens qui exploitent l’ingénierie sociale pour piéger les mainteneurs de packages open source — un faux call de business, un faux fichier joint, et c’est tout l’écosystème en aval qui se retrouve compromis. Patrick et Steve ramènent le débat sur la réalité des PME québécoises qui ne savent même pas où sont leurs secrets, et encore moins comment gérer un vault.

L’épisode se termine sur une réflexion essentielle : la sécurité n’est pas une valeur absolue, c’est un trade-off. Les approches les plus parfaites sont souvent celles qui découragent les équipes et finissent par ne jamais être implémentées. Eric annonce aussi la récente levée de fonds de 50 M$ de GitGuardian et leur recrutement actif.

Cette semaine, Patrick et Jacques reçoivent Jonathan Bastille, technicien informatique avec mandat sécurité au Cégep de Rivière-du-Loup. Jonathan raconte sa transition du privé vers le secteur public, et le contraste brutal entre la rapidité de décision en PME et le rythme « paquebot » d’un milieu où chaque changement passe par un conseil d’administration. La discussion bifurque rapidement vers la loi 25, l’illusion de conformité par bouts de papier, et l’attitude de trop de PME québécoises : « la sécurité, c’est pas important — j’attends que ça le devienne ».

Le trio s’attaque ensuite à un sujet récurrent du podcast : la futilité de la majorité des campagnes de phishing simulé. Renforcement positif vs punition, tests qui ne mesurent que le clic au lieu du processus de détection en arrière, et l’argument central de Patrick — si vos employés deviennent bons à reconnaître votre simulation, ils ne deviennent pas pour autant bons à reconnaître les vraies attaques. Jonathan partage aussi une histoire concrète où il a bloqué le device code flow dans Microsoft, juste avant qu’une attaque réelle utilisant exactement cette technique frappe l’organisation.

Côté actualités, plusieurs nouvelles passent au crible : le retour forcé au bureau qui a accouché du néologisme « téléprésentiel », la sortie maladroite du chef du CST qui blâme la proximité avec les États-Unis pour les cyberattaques canadiennes, et surtout le combo explosif CopyFeld + cPanel — une vulnérabilité Linux d’escalade de privilèges présente depuis 2007 et un piratage massif de panneaux d’administration d’hébergeurs.

L’épisode se ferme sur une campagne de phishing déployant ScreenConnect chez 80+ organisations, un faux positif retentissant de Microsoft Defender sur des certificats DigiCert, et un rappel martelé : tant que les utilisateurs travaillent en local admin, aucun EDR ne va vous sauver.

Épisode spécial de La French Connection avec Jean-François Courteau, président et fondateur de 4DS Technologie, venu présenter son rapport sur la souveraineté des données au Québec. Patrick, Francis et Steve décortiquent avec lui les résultats d’une étude qui a fait jaser jusqu’à Radio-Canada : analyse géographique de l’hébergement Web et courriel des ministères, des 40 plus grandes villes, des 30 plus grandes entreprises et des 40 plus grandes PME du Québec. Le constat est sans équivoque : le Québec n’est pas maître de ses données. Plus de 90 % des organisations gouvernementales ont leurs courriels chez Microsoft, plus de 82 % de l’ensemble des organisations analysées ont leurs courriels filtrés ou hébergés par des entreprises américaines.

Le trio revient sur le CLOUD Act américain, cette loi adoptée en 2018 qui donne aux agences fédérales le droit d’exiger les données de tout client d’une entreprise américaine, sans mandat canadien, et avec une clause bâillon qui empêche le fournisseur d’aviser son client. Jean-François explique pourquoi l’emplacement physique des serveurs ne veut rien dire si la compagnie qui les opère est soumise à une juridiction étrangère - et pourquoi la nationalité du fournisseur pèse trois fois plus lourd dans son système de pointage.

Francis apporte une perspective critique : le rapport est un bon point de départ mais ne couvre pas toutes les dépendances cachées - Cloudflare, AWS, GitHub, les tenants Microsoft des clients et fournisseurs. La panne Cloudflare du 18 novembre 2025 a démontré à quel point l’économie numérique repose sur une poignée de joueurs. Patrick ramène le palmarès gênant des partis politiques québécois et canadiens : même le PQ et Québec Solidaire, ardents défenseurs de l’achat local, hébergent leurs services chez Cloudflare, Google et Microsoft.

L’épisode se termine sur des pistes concrètes : l’annonce du ministre Gilles Bélanger de février 2026 qui marque un virage à 180 degrés vers le logiciel libre, l’exemple du Schleswig-Holstein en Allemagne qui économise 15 M€ par an en sortant de Microsoft 365, et l’idée d’un package “PME souveraine” basé sur Nextcloud, Postfix, Dovecot et LibreOffice pour donner aux entreprises une alternative clé en main aux géants américains.