Violation de données LifeLabs

Le 17 décembre 2019, LifeLabs — le plus grand fournisseur d'analyses de laboratoire et de diagnostic au Canada — a révélé que des cyberattaquants avaient pénétré ses systèmes et accédé aux informations personnelles et de santé d'environ 15 millions de clients, la grande majorité d'entre eux résidant en Ontario et en Colombie-Britannique. Il s'agit de l'une des plus importantes violations de données de santé de l'histoire canadienne.

Ce qui s'est passé

LifeLabs a détecté l'accès non autorisé le 28 octobre 2019 et a averti les commissaires à la protection de la vie privée de l'Ontario et de la Colombie-Britannique le 1er novembre. Plutôt que de divulguer l'incident immédiatement, l'entreprise a passé plusieurs semaines à travailler avec des experts externes en cybersécurité et en négociation de rançons. Elle a finalement payé une rançon non divulguée pour récupérer les données extraites par les attaquants, avant de rendre l'affaire publique à la mi-décembre.

Les systèmes compromis contenaient un vaste ensemble de champs : noms, adresses, adresses courriel, identifiants et mots de passe, dates de naissance, numéros de carte santé et résultats d'analyses de laboratoire des clients. Pour environ 85 000 clients, des résultats d'analyses de 2016 ou antérieurs ont été directement exposés. L'identité des attaquants n'a jamais été établie publiquement, et les entreprises spécialisées en criminalistique n'ont rapporté aucune preuve d'une publication ou d'une vente ultérieure des données volées.

Conclusions réglementaires

En juin 2020, les commissaires à l'information et à la protection de la vie privée de l'Ontario et de la Colombie-Britannique ont publié un rapport d'enquête conjoint concluant que LifeLabs avait manqué à son obligation de prendre des mesures raisonnables pour protéger les renseignements personnels sur la santé, en violation de la Loi sur la protection des renseignements personnels sur la santé de l'Ontario et de la Personal Information Protection Act de la Colombie-Britannique. Les autorités ont constaté des lacunes systémiques dans la posture de sécurité de l'information de LifeLabs.

LifeLabs s'est battue pendant des années pour garder le rapport confidentiel, faisant valoir que certaines parties étaient protégées par le secret professionnel de l'avocat. Elle a perdu cette bataille, et le rapport complet a été publié en novembre 2024 — plus de quatre ans après sa rédaction — confirmant l'ampleur des défaillances de sécurité.

Impact

• Environ 15 millions de clients ont vu leurs données personnelles et de santé consultées, principalement en Ontario et en Colombie-Britannique.
• LifeLabs a payé une rançon d'un montant non divulgué pour récupérer les données.
• Un recours collectif a été réglé pour un montant pouvant atteindre 9,8 millions de dollars canadiens ; en raison du volume élevé de réclamations, les demandeurs n'ont finalement reçu que quelques dollars chacun.
• L'entreprise a offert aux clients touchés une surveillance gratuite du crédit et une protection contre le vol d'identité.

Pourquoi c'est important

La violation de LifeLabs est une étude de cas déterminante au Canada sur l'éthique et les conséquences du paiement de rançons pour protéger des données de santé sensibles, et sur les limites de la transparence des entreprises. La bataille de plusieurs années pour supprimer le rapport des autorités — finalement infructueuse — a renforcé le principe selon lequel les organisations détenant des données de santé doivent au public une reddition de comptes complète lorsque cette confiance est trahie, et elle a nourri les débats ultérieurs sur les délais obligatoires de divulgation des violations dans le droit canadien de la protection de la vie privée.