Incidents dans le pays :
31 incidents catalogued
Le fournisseur de vérification d'identité IDScan.net a confirmé que des attaquants avaient dérobé plus de 150 millions de dossiers de permis de conduire et de pièces d'identité de ses systèmes cloud, après que les données ont été mises en vente sur un site du dark web permettant de rechercher n'importe quel individu aux États-Unis et au Canada.
La fintech canadienne Wealthsimple a confirmé qu'une compromission de chaîne d'approvisionnement visant un logiciel tiers avait exposé des données personnelles — coordonnées, pièces d'identité, numéros d'assurance sociale et numéros de compte — d'une petite fraction de ses quelque trois millions de clients.
Bridgestone Americas a confirmé une cyberattaque ayant interrompu la production de plusieurs de ses usines de fabrication et de rechapage en Amérique du Nord, tout en affirmant avoir contenu l'incident rapidement et n'avoir trouvé aucune preuve de vol de données clients.
L'Hôpital pour enfants malades de Toronto (SickKids) a révélé qu'une vulnérabilité dans une application logicielle tierce avait exposé des informations personnelles d'employés actuels et anciens ainsi que de candidats à l'emploi, tandis que les systèmes cliniques et les données des patients n'ont pas été affectés.
Shared Health a confirmé un incident de rançongiciel dans le plus grand hôpital du Manitoba, touchant les systèmes de maintenance du bâtiment, dont la supervision centrale du chauffage et de la ventilation, le contrôle d'accès des portes et l'émission des badges du personnel, sans interrompre les soins.
L'université Mount Royal, à Calgary, a confirmé qu'un groupe de rançongiciel se faisant appeler CMD Organization s'était introduit dans son stockage de fichiers partagé, avait exfiltré des données appartenant à des étudiants et employés actuels et anciens, puis avait délibérément effacé les fichiers d'origine pour entraver toute restauration.
Le groupe japonais de boissons Sapporo Holdings a révélé un accès non autorisé présumé à ses filiales étrangères Pokka (Singapour) et Sleeman Breweries (Canada), arrêtant les systèmes concernés pour enquêter.
Les activités de Nissan sur le continent américain ont révélé que des attaquants exploitant une faille zero-day d'Oracle PeopleSoft avaient accédé à des données sensibles d'employés actuels et anciens aux États-Unis, au Canada, au Mexique et au Brésil.
Des attaquants ont utilisé un compte client pour exploiter une vulnérabilité des systèmes du distributeur canadien London Hydro, accédant potentiellement aux noms, coordonnées et informations de compte d'autres clients.
Un identifiant d'API dormant a permis à des attaquants de compromettre la plateforme d'intelligence concurrentielle Klue et de récolter les jetons OAuth des applications connectées de ses clients, exfiltrant des enregistrements Salesforce d'entreprises comme Huntress et Recorded Future lors d'une attaque de la chaîne d'approvisionnement ensuite attribuée au groupe d'extorsion Icarus.
Le Threat Intelligence Group de Google a révélé que l'acteur lié à la RPC UNC6508 a passé plus d'un an au sein d'environnements de recherche médicale, universitaire et de santé militaire aux États-Unis et au Canada, compromettant d'anciens serveurs REDCap, déployant le maliciel sur mesure INFINITERED et détournant les règles de conformité de la messagerie Google Workspace pour exfiltrer discrètement des données de recherche et de défense.
En octobre 2025, le détaillant Canadian Tire a été victime d'une fuite de données qui a exposé près de 42 millions d'enregistrements. Les données contenaient 38 millions d'adresses e-mail uniques ainsi que des noms, des numéros de téléphone et des adresses physiques.
Une fuite chez le courtier en données National Public Data (Jerico Pictures) a exposé une base d'environ 2,9 milliards d'enregistrements contenant noms, numéros de sécurité sociale, dates de naissance et adresses collectés depuis des sources publiques et non publiques, déclenchant une vague de poursuites et la faillite de l'entreprise.
Les opérateurs de BlackSuit ont chiffré la plateforme de gestion des concessionnaires de CDK Global, mettant hors ligne environ 15 000 concessionnaires automobiles nord-américains pendant près de deux semaines. Une seconde attaque a frappé dès le deuxième jour de la reprise. Les pertes pour le secteur sont estimées à plus d'un milliard de dollars ; CDK aurait versé une rançon de 25 millions de dollars.
En mars 2024, la campagne nationale des citoyens canadiens en faveur de la représentation proportionnelle, Fair Vote Canada, a subi une fuite de données. L'incident a été attribué à « un bénévole bien intentionné » qui a involontairement exposé des données de 2020 comprenant 134 000 adresses e-mail uniques, des noms, des adresses physiques,…
Cl0p a exploité la CVE-2023-34362 dans MOVEit Transfer de Progress Software pour rançonner plus de 2 700 organisations, dont la BBC, British Airways et le département américain de l’Énergie.
Des affiliés de LockBit ont chiffré le plus grand libraire du Canada, mettant le site web et les systèmes de paiement en magasin hors ligne pendant des semaines. Indigo a publiquement refusé la rançon ; LockBit a publié les données personnelles d'employés.
En janvier 2023, le Pitt Meadows School District 42 en Colombie-Britannique a subi une fuite de données. L'incident a exposé les noms et adresses e-mail d'environ 19 000 élèves et membres du personnel, qui ont par la suite été redistribués sur un forum de piratage populaire.
L'Hôpital pour enfants malades de Toronto a été frappé par une attaque par rançongiciel durant les fêtes de décembre 2022, retardant les résultats de laboratoire et d'imagerie ; fait rare, le gang LockBit a présenté ses excuses, a blâmé un affilié rebelle et a fourni un déchiffreur gratuit.
Une attaque par rançongiciel Hive contre le réseau de soins de santé de Terre-Neuve-et-Labrador a paralysé les systèmes informatiques à l'échelle de la province, forçant l'annulation de milliers de rendez-vous et d'interventions dans ce que les responsables ont qualifié de pire cyberattaque de l'histoire du Canada.
Des affiliés de REvil ont chiffré les systèmes du plus grand transformateur de viande au monde, paralysant des usines de transformation de bœuf et de porc aux États-Unis, au Canada et en Australie. JBS a payé une rançon de 11 millions de dollars — l'un des plus importants paiements de rançongiciel publiquement confirmés à l'époque.
En mars 2023, le « centre commercial en ligne du Canada » Shopper+ a divulgué une fuite de données découverte sur un forum de piratage public. La fuite remontait à septembre 2020 et incluait 878 000 enregistrements de clients avec des adresses e-mail et physiques, des noms, des numéros de téléphone et, dans certains cas, des genres et des dates de naissance.
Mi-2020, la plateforme d'histoires créées par les utilisateurs Wattpad a subi une fuite exposant environ 268,8 millions d'enregistrements, dont des noms, adresses e-mail, dates de naissance et mots de passe hachés en bcrypt. La base a d'abord été vendue en privé, puis diffusée gratuitement sur un forum de piratage.
Le plus grand laboratoire d'analyses médicales du Canada a révélé que des attaquants avaient accédé aux données de santé d'environ 15 millions de clients, a payé une rançon non divulguée pour récupérer les dossiers volés, et a ensuite été reconnu par les autorités de protection de la vie privée comme ayant manqué à son obligation de protéger ces informations.