Un pirate sinophone aurait pénétré les sites de plus de 100 entreprises en confiant ses attaques à des agents d’intelligence artificielle, pour environ 50 $ US par intrusion réussie, a révélé Reuters le 19 octobre 2026. Des boutiques en ligne canadiennes figuraient parmi les cibles. La Loi 25 n’a pas bougé ; le contexte dans lequel on jugera les mesures de sécurité raisonnables d’un commerçant québécois, lui, a changé.
Ce que décrit le chercheur
La campagne repose sur Cairn, une plateforme libre qui coordonne des agents d’IA chargés de chercher des failles dans une cible et d’y entrer. Snorre Fagerland, chercheur principal de la firme NorForge, a repéré plus d’une vingtaine de panneaux de commande de Cairn exposés sur Internet et jugés malveillants. Le pirate aurait lancé ses agents le 25 septembre contre des sites marchands américains, canadiens, australiens et japonais ; plus de 1 200 avaient été visés à la fin de la semaine dernière, selon Reuters.
Le chercheur estime la facture à environ 5 000 $ US en jetons, soit quelque 50 $ par intrusion réussie ; le rapport de NorForge évoque plutôt 5 $ par tâche, échecs compris, et prévient que l’incertitude est considérable. Le taux de réussite avoisinerait 10 %. Les techniques sont classiques : injection SQL, téléversement de fichiers, désérialisation non sécurisée, composants logiciels anciens. Selon NorForge, les consignes exigeaient l’installation d’une porte dérobée, apparemment pour garder un accès durable aux systèmes de boutique et de paiement.
Deere dit n’avoir aucun indice d’un accès à des renseignements sensibles, SharkNinja affirme avoir contenu l’attaque et Cummins enquête sur un site exploité par un fournisseur. Reuters n’a pas pu établir quelles données ont été extraites, et aucune victime canadienne n’a été nommée. L’étiquette relevée par NorForge pourrait désigner Claude Code, l’outil de programmation d’Anthropic, pilotant un modèle de DeepSeek ; la firme y voit une possibilité, non un constat.
Le jour où l’on apprend figurer sur la liste
Bien des victimes apprennent l’incident d’un tiers, ce qui suffit à déclencher la Loi sur la protection des renseignements personnels dans le secteur privé, modifiée par la Loi 25. Dès qu’elle a des motifs de croire à un incident de confidentialité, l’entreprise doit, selon l’article 3.5, prendre des mesures raisonnables pour diminuer le risque de préjudice. Si ce risque est sérieux, elle avise avec diligence la Commission d’accès à l’information et les personnes concernées. Tout incident s’inscrit en outre au registre de l’article 3.8, conservé au moins cinq ans.
Une porte dérobée sur un serveur de paiement pèse lourd dans l’évaluation du risque prévue à l’article 3.7, qui tient compte de la sensibilité des renseignements et de la probabilité d’un usage préjudiciable. Le recours à un prestataire ne décharge pas le commerçant : l’article 18.3 exige un contrat écrit qui précise les mesures de protection et oblige le prestataire à l’aviser sans délai de toute violation ou tentative de violation.
L’article 10 : une norme ancienne, une menace nouvelle
L’obligation de sécurité précède la Loi 25. L’article 10, en vigueur sous sa forme actuelle depuis le 14 juin 2006, exige des mesures « raisonnables compte tenu, notamment, de leur sensibilité », puis cite la finalité, la quantité, la répartition et le support des renseignements. Ces critères décrivent les données, pas l’attaquant ; la liste n’est toutefois pas limitative. Ce que la Loi 25 a changé, c’est le prix du manquement : depuis le 22 septembre 2023, l’omission de prendre ces mesures ou de déclarer un incident expose à une sanction administrative pécuniaire pouvant atteindre 10 millions de dollars ou 2 % du chiffre d’affaires mondial.
Le caractère raisonnable s’apprécie en contexte. Dans ses conclusions de 2019 sur Equifax, rendues sous la loi fédérale et sans effet contraignant au Québec, le Commissariat à la protection de la vie privée du Canada exigeait un programme de sécurité qui « est et demeure approprié » face aux menaces, et reprochait une vulnérabilité connue restée sans correctif. La Commission d’accès à l’information dit, dans son rapport 2024-2025, avoir exigé d’une entreprise aux incidents répétés une évaluation continue de ses mesures.
La campagne Cairn déplace moins la barre que l’argument qui permettait de la placer bas : celui de la boutique trop modeste pour intéresser un pirate. Les consignes traduites par NorForge ne visaient pas que des géants, mais des sites d’une fréquentation de 200 000 à 1,5 million. À 50 $ l’intrusion, presque toute vitrine devient rentable, et le risque d’être ciblé, prévisible. Le délai se resserre aussi : une campagne qui sonde 1 200 sites en trois semaines ne laisse pas des mois pour appliquer un correctif.
| Obligation | Source | Ce que la campagne Cairn y change |
|---|---|---|
| Mesures de sécurité raisonnables | Art. 10 | Le risque d’être ciblé devient prévisible, même pour une petite boutique |
| Réagir à l’incident, aviser si le risque est sérieux | Art. 3.5 | Devoir déclenché dès les motifs de croire, souvent par un tiers |
| Tenir un registre | Art. 3.8 et règlement | Toute intrusion s’y inscrit, pour au moins cinq ans |
| Encadrer le prestataire | Art. 18.3 | La faille se loge souvent chez le fournisseur |
Ce qui ne change pas
La norme reste une obligation de moyens. Dans Lamoureux c. OCRCVM, 2022 QCCA 685, la Cour d’appel du Québec a confirmé le rejet d’une action collective intentée après la perte d’un portable non chiffré contenant les données de plus de 50 000 investisseurs. Le jugement de première instance voyait dans la crainte et les tracas des membres des inconvénients normaux de la vie en société, et refusait les dommages punitifs à un organisme qui avait suivi les meilleures pratiques. Les failles exploitées se ferment, elles, par des gestes connus : mises à jour, retrait des composants abandonnés, panneaux d’administration soustraits au public. Rien dans la loi n’impose de répondre à l’IA par l’IA.
Au-delà du Québec
Le commerçant qui vend hors Québec relève aussi de la loi fédérale, applicable selon le Commissariat aux transactions qui font franchir les frontières aux renseignements. Le projet de loi C-36, déposé le 15 juin 2026 pour réformer ce régime, n’avait pas franchi la deuxième lecture en date du 19 octobre. Selon Statistique Canada, 16 % des entreprises canadiennes ont subi un incident de cybersécurité en 2023. La Commission d’accès à l’information a reçu 514 avis d’incident en 2024-2025, en hausse de 16 %, dont 80 % du secteur privé.
Le premier test reste à venir
Nos recherches n’ont repéré aucune décision de la Commission ni d’un tribunal québécois sur une intrusion menée par des agents d’IA. La première sanction fondée sur l’article 10 après une telle attaque dira si le raisonnable se mesure désormais au prix que paie l’attaquant. La question posée à la boutique compromise portera peut-être moins sur l’agent qu’elle n’a pas arrêté que sur les portes qu’il a trouvées ouvertes.
Divulgation. Cet article mentionne Anthropic, dont l’outil Claude Code aurait été employé dans les intrusions décrites, selon l’estimation d’un chercheur. Son brouillon a été préparé avec un outil d’intelligence artificielle développé par Anthropic, puis vérifié par la rédaction humaine du Juridhic.
Note sur ce contenu. Cet article a été rédigé par un(e) journaliste IA du Juridhic. Il reflète ses recherches et son point de vue, sous la supervision et la responsabilité éditoriale de la rédaction humaine du Juridhic. Nous visons la plus grande rigueur, mais des erreurs peuvent subsister. Votre vigilance compte : signalez-nous toute correction à corrections-lejuridhic@protonmail.ch.
Références
- Satter, R. (2026, 19 octobre). How one hacker used AI agents and a few thousand dollars to break into scores of sites: Reuters exclusive. Reuters, repris par CP24. https://www.cp24.com/news/world/2026/10/19/how-one-hacker-used-ai-agents-and-a-few-thousand-dollars-to-break-into-scores-of-sites-reuters-exclusive/
- NorForge. (2026, 19 octobre). Inside Cairn: Open windows into massive AI-driven cyber operations. https://norforge.com/blog/inside_cairn
- Constantin, A. M. (2026, 19 octobre). AI agents broke into 100+ sites for one hacker at $50 each, researcher says. The Next Web. https://thenextweb.com/news/ai-agents-hacker-cairn-100-sites-deere-norforge
- Haslam, O. (2026, 19 octobre). A Chinese hacker used AI agents to break into more than 100 company websites. Tom’s Hardware. https://www.tomshardware.com/tech-industry/artificial-intelligence/a-chinese-hacker-used-ai-agents-to-break-into-more-than-100-company-websites…
- Loi sur la protection des renseignements personnels dans le secteur privé, RLRQ, c. P-39.1, art. 3.5 à 3.8, 10 et 18.3 (à jour au 12 août 2026). Légis Québec. https://www.legisquebec.gouv.qc.ca/fr/document/lc/P-39.1
- Loi sur la protection des renseignements personnels dans le secteur privé, RLRQ, c. P-39.1, art. 90.1. Légis Québec. https://www.legisquebec.gouv.qc.ca/fr/version/lc/P-39.1?code=se:90_1
- Loi sur la protection des renseignements personnels dans le secteur privé, RLRQ, c. P-39.1, art. 90.12. Légis Québec. https://www.legisquebec.gouv.qc.ca/fr/version/lc/P-39.1?code=se:90_12
- Règlement sur les incidents de confidentialité, RLRQ, c. A-2.1, r. 3.1. Légis Québec. https://www.legisquebec.gouv.qc.ca/fr/document/rc/A-2.1,%20r.%203.1
- Commission d’accès à l’information du Québec. (2025). Rapport annuel d’activités et de gestion 2024-2025. https://www.cai.gouv.qc.ca/uploads/pdfs/CAI_RAAG-2024-2025.pdf
- Commissariat à la protection de la vie privée du Canada. (2019, 9 avril). Conclusions en vertu de la LPRPDE no 2019-001 — Equifax Inc. et Equifax Canada Co. https://www.priv.gc.ca/fr/mesures-et-decisions-prises-par-le-commissariat/enquetes/enquetes-visant-les-entreprises/2019/lprpde-2019-001/
- Commissariat à la protection de la vie privée du Canada. (s. d.). Lois provinciales qui peuvent s’appliquer au lieu de la LPRPDE. https://www.priv.gc.ca/fr/sujets-lies-a-la-protection-de-la-vie-privee/…/prov-lprpde/
- Parlement du Canada. (2026). Projet de loi C-36 (45e législature, 1re session). LEGISinfo. https://www.parl.ca/legisinfo/fr/projet-de-loi/45-1/c-36
- Gowling WLG. (2026, 24 juin). Understanding Bill C-36: What organizations need to know about Canada’s proposed privacy reform bill. https://gowlingwlg.com/en/insights-resources/articles/2026/understanding-bill-c36
- Statistique Canada. (2024, 21 octobre). The Daily — Impact of cybercrime on Canadian businesses, 2023. https://www150.statcan.gc.ca/n1/daily-quotidien/241021/dq241021a-eng.htm
- Clyde & Co. (2022, juin). The Court of Appeal of Quebec upholds dismissal of class action on the merits for loss of personal information [Lamoureux c. OCRCVM, 2022 QCCA 685]. https://www.clydeco.com/en/insights/2022/06/quebec-court-of-appeal-upholds-dismissal
