Cyberattaques sur les infrastructures essentielles et les municipalités
Des groupes criminels, des militants pro-étatiques et des acteurs étatiques perturbent ou prennent en otage les systèmes informatiques et les systèmes de contrôle dont dépendent les services essentiels (eau, alerte, administration). Au Québec, ces systèmes sont exploités par des municipalités souvent petites, qui manquent d'expertise et d'encadrement en cybersécurité.
Fiche en brouillon · v0.4 · 12 octobre 2026Récurrent
Appuyé par : Allianz (1er) · AXA · ONU · Horizons Canada
4importance sur 5 Proposé
Enlisement · proposé
16priorité sur 25
Brouillon rédigé par Claude à partir de sources publiques. Chaque fait renvoie à sa source ; les jugements et le stade de réponse sont des propositions à valider.
Ce que ça veut dire
Pour la province
Le Québec a eu son avertissement sans frais : à Saint-Noël, les alarmes ont été coupées et le chlore modifié, et c'est la vigilance d'un employé qui a évité le pire. Nous n'avons trouvé ni portrait public des installations d'eau municipales joignables par Internet, ni ministère clairement chargé de le dresser, et la nouvelle loi fédérale ne couvre pas les municipalités. Le premier pas utile est un inventaire, avec un ministère responsable et une aide pour les petites municipalités.
Pour une municipalité
Trois vérifications à faire cette semaine : qui peut se connecter à distance à l'usine d'eau et aux stations de pompage, et comment cet accès est protégé ; si l'opérateur sait conduire l'installation à la main et si quelqu'un peut le remplacer ; si les sauvegardes sont tenues hors du réseau. À préparer ensuite : une façon de joindre la population sans la plateforme d'alerte, une entente avec la MRC ou une voisine pour un coup de main, la lecture des exigences de la police d'assurance, et l'ajout du scénario cyber au plan de sécurité civile.
Fiabilité des sources : A source primaire officielle · B média reconnu ou institution · C source secondaire · D non vérifiable
Stress chroniques
Les tendances de fond qui fragilisent le Québec au quotidien ou de façon cyclique, et qui aggravent l’effet d’un choc.
Croissance des incidents de rançongiciel au Canada2026-01-28 · ↗ en hausse
+26 % par année en moyenne depuis 2021
La pression de fond augmente d'année en année pour toutes les organisations canadiennes, y compris les municipalités. Le Centre précise que les incidents réels sont presque certainement plus nombreux que ceux qui sont déclarés.
Seuil : Le Centre pour la cybersécurité s'attend à ce que ce rythme de croissance se maintienne ; un rythme supérieur à 26 % marquerait une accélération.
Coûts de reprise après des incidents de cybersécurité (entreprises canadiennes)2024-10-21 · ↗ en hausse
1,2 milliard de dollars en 2023, le double de 2021 (environ 600 millions) ; 16 % des entreprises touchées en 2023, contre 18 % en 2021
Moins d'organisations sont touchées, mais chaque incident coûte plus cher. L'enquête porte sur les entreprises et non sur les municipalités : elle donne l'ordre de grandeur, pas la mesure municipale.
Pertes et interruption de service pour une municipalité victime2026-08-11 · tendance inconnue
1 million de dollars de pertes financières en moyenne ; 22 jours d'interruption des services essentiels en moyenne lors d'un rançongiciel
Pour une petite municipalité, une telle perte représente une part importante du budget annuel, et trois semaines d'interruption dépassent la durée couverte par la plupart des modes de relève improvisés. L'UMQ ne cite pas l'origine de ces chiffres.
Systèmes de contrôle industriels joignables par réseau au Canada2025-11-25 · tendance inconnue
Plus de 60 000 interfaces réseau liées aux technologies opérationnelles au Canada (sondage de 2021, tous secteurs)
L'exposition est large et ancienne. Aucun décompte public n'existe pour les installations d'eau municipales du Québec : c'est la donnée qui manque le plus.
Encadrement de la sécurité des systèmes de contrôle dans les villes auditées (2022)2022-11-01 · tendance inconnue
0 ville sur 3 avait classé ses actifs selon leur sensibilité, défini ses exigences de sécurité ou attribué les responsabilités de sécurité de ses systèmes de contrôle
L'audit visait notamment les usines d'eau de La Prairie et de Rouyn-Noranda. Si les trois villes auditées avaient ces lacunes de base, il est raisonnable de penser que de plus petites municipalités les ont aussi (jugement).
Villes auditées dont l'application des recommandations reste insatisfaisante2026-05-21 · ↘ en baisse
1 ville sur 3 (La Prairie) plus de trois ans après l'audit
Même avec un rapport public et un suivi officiel, la correction prend plus de trois ans. C'est un indice du rythme auquel le reste du milieu municipal peut se mettre à niveau sans obligation.
Seuil : Les trois villes auditées ont appliqué les recommandations de façon satisfaisante. (non franchi)
Un choc est un événement soudain qui frappe ou menace. Les autres événements datés (décisions, annonces) sont notés à part.
12 octobre 2026Choc aigu
France : une cyberattaque vise les installations frigorifiques de centaines de supermarchés
Dans la nuit du 11 au 12 octobre, une cyberattaque a visé les installations frigorifiques de plusieurs centaines de supermarchés français, dont 150 à 200 magasins Intermarché et moins d'une centaine de points de vente de Coopérative U, selon les deux enseignes. D'autres médias rapportent des températures modifiées à distance et des pertes de marchandises ; ces détails n'ont pas été vérifiés ici.
Saint-Jean-sur-Richelieu interrogée sur la sécurité de son réseau d'eau
Après l'intrusion de Saint-Noël, un hebdomadaire régional demande à la Ville si son réseau d'eau potable est à l'abri. Elle répond qu'aucune organisation ne peut se dire complètement à l'abri, qu'elle prend la menace très au sérieux et qu'elle ne détaillera pas l'architecture de ses installations pour des raisons de sécurité.
Retour de La Presse sur Saint-Noël : une quinzaine de minutes, sans demande de rançon
Dans un dossier sur la cybersécurité, La Presse revient sur l'attaque du 23 juillet contre la station d'eau potable de Saint-Noël. Selon le maire Gilbert Marquis, l'événement a duré une quinzaine de minutes et n'était accompagné d'aucune demande de rançon : une intrusion de démonstration plutôt qu'une extorsion.
Sondage CIRA : les budgets de cybersécurité montent, la confiance baisse
Selon le sondage 2026 de CIRA, 76 % des organisations canadiennes ont augmenté leur budget de cybersécurité depuis un an, mais seulement 67 % jugent leur investissement suffisant, contre 74 % en 2025.
Élection d'un gouvernement minoritaire ; la cybersécurité municipale absente des priorités annoncées
Le premier ministre désigné, Paul St-Pierre Plamondon, présente ses priorités de début de mandat : un grand rendez-vous sur l'itinérance et un Secrétariat à l'efficacité gouvernementale. Aucune mesure visant la cybersécurité des municipalités ou des installations d'eau n'apparaît dans les priorités rapportées.
Cyberattaque contre la Commission de la construction du Québec
Les services en ligne et téléphoniques de la CCQ ont été perturbés du 24 août au 8 septembre, et la CCQ confirme le vol de renseignements de clients et d'employés. La Presse rapporte 350 000 personnes touchées et attribue l'attaque au groupe Qilin (article lu dans les résultats de recherche seulement). L'organisme n'est pas municipal, mais l'incident montre qu'un groupe de rançongiciel actif vise des organismes publics québécois.
Québec et Ottawa enquêtent ; une autre installation d'eau québécoise avait été compromise
Radio-Canada révèle qu'à Saint-Noël (station desservant 350 personnes), les pirates ont désactivé les alarmes de niveau d'eau et changé le niveau de chlore, et que l'accès informatique à la station n'était pas protégé par des clés chiffrées avant l'attaque. Le Centre de la sécurité des télécommunications avait aussi été informé un 7 octobre que le groupe NoName avait accédé à une autre installation municipale d'eau du Québec, non identifiée. La Sûreté du Québec enquête et la GRC s'intéresse au dossier.
Plus de 30 réseaux d'eau municipaux touchés au Minnesota en deux jours
Des réseaux d'eau municipaux d'au moins sept États américains ont été visés, dont plus de 30 au Minnesota. Selon l'avis du FBI et de la CISA rapporté par NBC, certaines attaques ont mené à des avis d'ébullition et à une exploitation manuelle prolongée. Aucune attribution officielle n'a été faite.
Intrusion dans la station d'eau potable de Saint-Noël (Bas-Saint-Laurent)
Vers 7 h 30, des pirates ont accédé au système de la station d'eau potable de la municipalité. Un employé a détecté l'incident peu après 8 h et est intervenu ; la municipalité affirme que la santé et la sécurité du public n'ont jamais été compromises. L'analyse a été menée avec les experts de la MRC de La Matapédia.
Sanction royale de la loi fédérale sur les cybersystèmes essentiels (C-8)
La loi impose des programmes de cybersécurité et la déclaration des incidents aux exploitants de six secteurs sous compétence fédérale (banques, compensation, pipelines et lignes électriques interprovinciales, nucléaire, télécommunications, transport). Elle entrera en vigueur par décret, à des dates à fixer. Les municipalités et les réseaux d'eau n'en font pas partie.
Les chocs de l'été 2026 (intrusion à la station d'eau de Saint-Noël, plus de 30 réseaux d'eau touchés au Minnesota, attaque contre la Commission de la construction du Québec) frappent un milieu municipal dont les faiblesses sont anciennes : aucune des trois villes auditées en 2022 n'avait classé ses actifs selon leur sensibilité, et l'une d'elles n'avait toujours pas corrigé la situation plus de trois ans après. La hausse de fond des rançongiciels rend les chocs plus fréquents ; la lenteur de la mise à niveau en allonge les effets, puisqu'une municipalité victime perd en moyenne 22 jours de service. Aucun décompte public des installations d'eau exposées n'existe au Québec : cet effet multiplicateur se présume, il ne se mesure pas encore. Semaine du 12 octobre : le choc français n'est pas municipal, mais il est de la même famille que Saint-Noël : des équipements physiques pilotés à distance, touchés d'un coup chez des centaines d'exploitants. Il tombe, au Québec, sur le même stress : personne ne sait combien d'installations municipales sont joignables à distance, ni combien partagent un même fournisseur (proposition de lecture). Lecture proposée
Canaux de transmission vers le Québec
Canal
Mécanisme
Intensité
Infrastructures et numérique
Les attaquants ne choisissent pas une municipalité : ils repèrent partout dans le monde les systèmes de contrôle joignables par Internet et mal protégés, et frappent ceux qu'ils trouvent. Le Centre pour la cybersécurité juge très probable que ces intrusions opportunistes continuent dans les systèmes d'eau canadiens, surtout lors d'événements géopolitiques majeurs, et presque certain que des acteurs étatiques y ont déjà développé un accès.
Les municipalités achètent les mêmes services à quelques fournisseurs (alerte à la population, logiciels de gestion, intégrateurs des usines d'eau). Quand le fournisseur est compromis, toutes ses clientes sont touchées d'un coup : en novembre 2025, la plateforme d'alerte CodeRED a été mise hors ligne et les données d'abonnés de plusieurs villes de la région de Montréal ont pu être exposées.
Le rançongiciel est une activité criminelle rentable : la rançon moyenne versée au Canada était estimée à 1,13 million de dollars en 2023, en hausse de près de 150 % en deux ans. Pour la victime, le coût vient surtout de la reprise : Hamilton a dépensé 18,3 millions de dollars après l'attaque de février 2024, et son assureur a refusé la réclamation parce que l'authentification multifacteur n'était pas déployée partout.
Les groupes publient leurs intrusions sur Telegram pour faire peur, qu'elles soient réelles ou non. À Saint-Noël, une vidéo de l'intrusion a été diffusée ; à Halton (Ontario), le même jour, des pirates ont revendiqué l'arrêt de pompes alors que la Région dit n'avoir trouvé aucune trace d'accès. Le doute sur la qualité de l'eau peut donc se propager sans dommage réel.
Plus une fonction dispose de manières distinctes d’être assurée, moins elle est exposée.
Produire et distribuer l'eau potable5 manières de l’assurer
Systèmes
Automates, postes de supervision et accès à distance des usines et stations d'eau, souvent installés et entretenus par un intégrateur externe.
Où
Toute municipalité qui exploite une installation d'eau (226 installations municipales de production d'eau potable au Québec selon Radio-Canada), et surtout les petites sans personnel informatique, comme Saint-Noël.
Manières
Conduite automatisée, surveillée à distance (mode normal)
Conduite manuelle sur place par l'opérateur
Réserve d'eau déjà traitée dans les réservoirs, pour une durée limitée
Avis d'ébullition ou de non-consommation, avec distribution d'eau embouteillée
Appui d'une municipalité voisine ou de la MRC, là où il existe
Lecture
Le mode manuel a fonctionné à Saint-Noël et aux États-Unis, mais il dépend d'un opérateur présent et formé : dans une petite municipalité, c'est souvent une seule personne. Les trois dernières manières sont des solutions de quelques jours, pas de 22 jours (jugement).
Alerter et informer la population en sinistre4 manières de l’assurer
Systèmes
Plateforme d'alerte automatisée d'un fournisseur externe (appels, textos, courriels), site web et courriel de la municipalité.
Où
Municipalités abonnées à un même fournisseur ; en 2025, Mont-Royal, Côte-Saint-Luc, Kirkland et Hampstead, entre autres villes de la région de Montréal, utilisaient ou avaient utilisé CodeRED.
Manières
Plateforme d'alerte automatisée du fournisseur (mode normal)
Site web et médias sociaux de la municipalité
Médias locaux, dont la radio
Porte-à-porte et véhicules munis de haut-parleurs
Lecture
Quand la plateforme tombe, les solutions de rechange existent mais elles sont plus lentes et ne rejoignent pas les mêmes personnes. La liste des manières vient du jugement de rédaction et doit être validée avec des coordonnateurs municipaux.
Administrer la municipalité : percevoir les taxes, payer, délivrer les permis, tenir les séances du conseil4 manières de l’assurer
Systèmes
Serveurs, courriel, logiciels financiers, rôle d'évaluation et géomatique, souvent hébergés par la MRC pour plusieurs municipalités.
Où
Toutes les municipalités ; l'effet se multiplie quand la MRC héberge les systèmes de ses municipalités, comme dans la MRC de Maskinongé en 2025.
Manières
Systèmes informatiques habituels (mode normal)
Procédures papier et service au comptoir
Restauration à partir de sauvegardes tenues hors ligne
Appui de la MRC, d'une municipalité voisine ou d'un fournisseur de relève
Lecture
Le mode papier tient quelques jours, mais pas pour la paie, les taxes ou les permis sur plusieurs semaines. À Lac-Mégantic en 2023, les sauvegardes ont été atteintes en même temps que les serveurs : une sauvegarde reliée au réseau ne compte pas comme une manière distincte.
Proposé : enlisement. Le diagnostic existe depuis 2022 (audit de la Commission municipale) et le fédéral a demandé en octobre 2025 aux provinces de s'assurer, avec les municipalités, que les systèmes exposés sont recensés et protégés. Pourtant, aucune obligation provinciale ne vise la cybersécurité des usines d'eau, les services du Centre gouvernemental de cyberdéfense s'adressent à l'administration publique sans mention des municipalités, et l'aide repérée passe par des services offerts sur une base volontaire par l'UMQ et la FQM. Après Saint-Noël, le ministère de la Cybersécurité et du Numérique dit prendre la situation au sérieux, sans mesure annoncée que nous ayons trouvée.
Ce qui freine la réponse
Freins psychologiques
L'idée qu'une petite municipalité n'intéresse personne, alors que les attaques sont opportunistes et frappent ce qui est exposé. Un incident sans conséquence, comme à Saint-Noël, peut aussi rassurer à tort.
Freins organisationnels
Petites organisations aux ressources limitées, infrastructures vieillissantes et manque d'expertise, selon le Centre pour la cybersécurité. Les systèmes de contrôle relèvent des opérateurs d'eau et des intégrateurs plutôt que de l'informatique, et l'audit de 2022 a montré que personne n'en avait la responsabilité de sécurité.
Freins politiques
Le partage des compétences laisse un vide : la loi fédérale C-8 ne couvre que des secteurs fédéraux, l'eau relève des provinces et des municipalités, et nous n'avons repéré aucun ministère québécois clairement responsable de la cybersécurité municipale (jugement). Selon l'analyse de Hackfest, aucun parti ne traite de la cyberrésilience municipale ni des services d'eau dans la campagne électorale du 5 octobre 2026.
Définitions concurrentes du problème
Municipalités, fournisseurs informatiques, UMQ et FQM
Un problème informatique : former le personnel, surveiller les réseaux, s'assurer. La réponse est un service acheté par chaque municipalité selon ses moyens.
Sécurité civile (coordonnateurs municipaux, ministère de la Sécurité publique)
Un problème de continuité des services essentiels : maintenir l'eau, l'alerte et l'administration en mode dégradé, comme pour une panne ou une inondation. Ce cadrage est encore peu présent ; le bulletin ministériel sur la nouvelle loi sur la sécurité civile ne mentionne pas les cyberincidents.
Gouvernement fédéral (Centre pour la cybersécurité, GRC)
Un problème de sécurité nationale : des acteurs étatiques et des groupes liés à des conflits visent les infrastructures essentielles. La réponse passe par le renseignement, les enquêtes et la loi C-8, qui ne s'applique pas aux municipalités.
Ce qui est atteignable en un pas depuis la situation actuelle, du côté des menaces comme du côté des ouvertures.
Menace à un pasActif
Une intrusion dans une installation d'eau municipale du Québec n'est pas détectée à temps et force un avis d'ébullition ou de non-consommation.
Échéance
0 à 12 mois ; le risque monte lors d'événements géopolitiques majeurs.
Pour qui
Municipalités dont l'installation d'eau est accessible à distance, surtout les petites sans personnel informatique ; population desservie.
Ce qui le rend possible, faisable et acceptable
Rendu possible par
Intrusion du 23 juillet 2026 à Saint-Noël (alarmes de niveau désactivées, niveau de chlore changé, détection par un employé environ une demi-heure plus tard) et attaques de la fin juillet 2026 aux États-Unis, qui ont mené à des avis d'ébullition.
Possible
Oui : le même scénario s'est rendu jusqu'aux avis d'ébullition aux États-Unis la même semaine.
Faisable
Les conditions sont réunies : une autre installation québécoise a déjà été compromise et aucune obligation provinciale n'impose de protéger les accès à distance.
Acceptable
Inacceptable pour la population : la tolérance au doute sur l'eau potable est très faible, ce qui en fait une cible de choix pour qui cherche l'attention.
Un rançongiciel paralyse une ville ou une MRC pendant plusieurs semaines et l'assureur refuse de payer, faute de mesures de base en place.
Échéance
0 à 24 mois.
Pour qui
Villes et MRC qui hébergent les systèmes de plusieurs municipalités ; leurs assureurs et mutuelles.
Ce qui le rend possible, faisable et acceptable
Rendu possible par
Refus de l'assureur de Hamilton, rendu public en juillet 2025 (18,3 millions de dollars à la charge de la Ville) ; paralysie de la MRC de Maskinongé à partir du 30 mars 2025 ; attaque du 24 août 2026 contre la CCQ.
Possible
Oui : chaque élément s'est déjà produit séparément, dont deux au Québec.
Faisable
Les polices d'assurance posent des exigences de sécurité que plusieurs petites municipalités ne remplissent probablement pas (jugement ; aucune donnée publique trouvée).
Acceptable
Un refus d'indemnisation reporterait la facture sur les contribuables et sur l'aide provinciale, ce qui serait politiquement difficile.
Un fournisseur partagé tombe pendant un sinistre réel : plusieurs municipalités perdent en même temps leur outil d'alerte à la population.
Échéance
Prochaine saison de sinistres (hiver et printemps 2027).
Pour qui
Municipalités abonnées à une plateforme d'alerte externe ; citoyens inscrits.
Ce qui le rend possible, faisable et acceptable
Rendu possible par
Mise hors ligne de la plateforme CodeRED en novembre 2025 après une cyberattaque chez le fournisseur, avec exposition possible des données d'abonnés de plusieurs villes de la région de Montréal. Précédent relevé le 12 octobre 2026 : en France, une seule attaque a touché en une nuit les installations frigorifiques de centaines de supermarchés de plusieurs enseignes.
Possible
Oui : la panne du fournisseur a déjà eu lieu ; il manque seulement la coïncidence avec un sinistre.
Faisable
La saison des crues et celle des tempêtes hivernales offrent chaque année des périodes où la coïncidence est plausible (jugement).
Acceptable
En 2025, Mont-Royal a annoncé attendre la plateforme de remplacement du même fournisseur, signe que la dépendance est tolérée (jugement).
Une revendication fausse ou exagérée de sabotage de l'eau, diffusée en ligne, provoque une crise de confiance dans une municipalité qui n'a subi aucune intrusion.
Échéance
0 à 12 mois.
Pour qui
Toute municipalité exploitant un réseau d'eau ; directions de santé publique ; médias locaux.
Ce qui le rend possible, faisable et acceptable
Rendu possible par
Revendication du 23 juillet 2026 visant l'usine d'eau de Halton (Ontario), démentie par la Région, et diffusion sur Telegram d'une vidéo de l'intrusion de Saint-Noël.
Possible
Oui : la revendication non confirmée de Halton en est un exemple récent.
Faisable
Une petite municipalité n'a souvent ni les journaux d'accès ni l'expertise pour démentir rapidement, preuve à l'appui (jugement).
Acceptable
Dans le doute, la prudence pousse à émettre un avis préventif, ce qui donne à l'auteur l'effet recherché.
Québec recense les accès à distance des installations municipales d'eau potable et demande le retrait de ceux qui sont exposés directement à Internet.
Échéance
Tant que l'attention créée par Saint-Noël dure ; les 100 premiers jours du gouvernement désigné le 5 octobre 2026, puis au plus tard le printemps 2027 (jugement).
Pour qui
Gouvernement du Québec (Cybersécurité et Numérique, Environnement, Affaires municipales) ; municipalités exploitantes ; MRC.
Ce qui le rend possible, faisable et acceptable
Rendu possible par
Alerte fédérale AL25-016 du 29 octobre 2025, qui demande aux provinces de s'assurer avec les municipalités que les services sont recensés et protégés, et intrusion du 23 juillet 2026 à Saint-Noël, qui a mis le sujet à l'ordre du jour au ministère de la Cybersécurité et du Numérique. Le gouvernement issu du scrutin du 5 octobre 2026 est désigné ; ses priorités annoncées ne mentionnent pas le sujet.
Possible
Oui : c'est la première recommandation du Centre pour la cybersécurité.
Faisable
Le nombre d'installations est fini (226 selon Radio-Canada), mais il faut désigner un ministère pilote et outiller les petites municipalités.
Acceptable
Forte acceptabilité après Saint-Noël ; la résistance viendra du coût pour les petites municipalités si aucune aide n'accompagne la demande.
Ce que ça ajoute
N'ajoute pas de nouvelle manière d'assurer l'eau, mais protège le mode normal et permet de vérifier, installation par installation, que le mode manuel existe réellement.
Assortir l'aide aux infrastructures d'eau d'exigences minimales de cybersécurité pour les systèmes de contrôle financés.
Échéance
Avant que les modalités du programme soient fixées.
Pour qui
Ministère des Affaires municipales et de l'Habitation ; municipalités qui rénovent une usine ou une station.
Ce qui le rend possible, faisable et acceptable
Rendu possible par
Annonce du 16 juin 2026 : Québec transfère 1 milliard de dollars sur 10 ans aux municipalités pour l'entretien des infrastructures d'eau potable et d'eaux usées.
Possible
Oui si les modalités ne sont pas encore arrêtées ; leur état n'a pas été vérifié.
Faisable
Une exigence simple (accès à distance protégé, responsable désigné, mode manuel documenté) peut s'ajouter aux conditions d'un programme existant.
Acceptable
Le ministre des Finances reconnaît lui-même que l'enveloppe ne règle pas tout ; une condition de plus sans argent dédié risque d'être contestée (jugement).
Ce que ça ajoute
Gain indirect : chaque installation rénovée garde un mode manuel documenté au lieu de dépendre du seul automatisme.
Mutualiser la cybersécurité à l'échelle de la MRC : une équipe partagée qui surveille, intervient et peut prêter main-forte à une municipalité voisine.
Échéance
Cycle budgétaire municipal de l'automne 2026 pour une mise en place en 2027.
Pour qui
MRC et municipalités locales ; UMQ et FQM comme fournisseurs.
Ce qui le rend possible, faisable et acceptable
Rendu possible par
À Saint-Noël, ce sont les experts de la MRC de La Matapédia qui ont rétabli le système et mené l'analyse en juillet 2026 ; l'UMQ a mis de l'avant son offre d'accompagnement en cybersécurité le 11 août 2026.
Possible
Oui : le modèle a fonctionné dans La Matapédia et des services clés en main existent à l'UMQ et à la FQM.
Faisable
Dépend de la capacité de chaque MRC ; la tarification de la FQM tient compte du budget des organismes.
Acceptable
Bien reçue par les petites municipalités si le coût est partagé ; attention au revers : une MRC qui héberge tout devient un point de défaillance commun, comme à Maskinongé.
Ce que ça ajoute
Ajoute une manière distincte de rétablir un service : une deuxième équipe, extérieure à la municipalité, capable d'intervenir quand l'unique responsable local est dépassé.
Inscrire le scénario « cyberincident touchant un service essentiel » dans les plans de sécurité civile municipaux et dans le futur règlement sur les plans régionaux de résilience.
Échéance
Jusqu'à l'adoption du règlement d'application ; pour une municipalité, à la prochaine révision de son plan.
Pour qui
Ministère de la Sécurité publique ; MRC ; coordonnateurs municipaux de sécurité civile.
Ce qui le rend possible, faisable et acceptable
Rendu possible par
Loi sur la sécurité civile visant à favoriser la résilience aux sinistres, sanctionnée le 28 mai 2024 : en octobre 2025, le règlement qui fixera le contenu des plans régionaux n'était pas encore adopté. L'incident de Saint-Noël fournit le cas d'école.
Possible
Oui tant que le règlement n'est pas adopté ; son état au 1er octobre 2026 n'a pas été vérifié.
Faisable
Une municipalité peut le faire seule dès maintenant dans son plan de sécurité civile, sans attendre le règlement.
Acceptable
Peu coûteux et cohérent avec l'approche tous risques ; demande toutefois que la sécurité civile et l'informatique se parlent, ce qui n'est pas l'habitude.
Ce que ça ajoute
Transforme des solutions de rechange improvisées (manuel, papier, porte-à-porte) en manières prévues, attribuées et exercées, donc réellement disponibles le jour venu.
Alertes fédérales sur les systèmes de contrôle et l'eau
Nouvelles alertes et nouveaux avis du Centre canadien pour la cybersécurité mentionnant les systèmes de contrôle industriels, l'eau ou les municipalités (page Alertes et avis).
Hebdomadaire
Toute nouvelle alerte citant un incident dans une installation d'eau ou une municipalité au Canada.
à convenir
Incidents municipaux au Québec
Communiqués de municipalités et de MRC (Réseau d'information municipale) et médias régionaux signalant une cyberattaque.
Hebdomadaire
Tout incident touchant l'eau, l'alerte à la population ou les appels d'urgence, ou toute paralysie administrative de plus de 7 jours.
à convenir
Suite donnée par Québec à l'incident de Saint-Noël
Annonces des ministères de la Cybersécurité et du Numérique, de l'Environnement, des Affaires municipales et de la Sécurité publique : inventaire, directive, obligation ou programme d'aide visant la cybersécurité municipale.
Mensuelle, et dans les semaines suivant la formation du gouvernement après le 5 octobre 2026
Première mesure obligatoire ou financée : le stade de réponse passerait d'enlisement à diagnostic ou à action.
à convenir
Entrée en vigueur de la loi fédérale C-8
Décrets et règlements publiés dans la Gazette du Canada pour la Loi sur la protection des cybersystèmes essentiels.
Mensuelle
Décret fixant une date d'entrée en vigueur, ou tout élargissement des services désignés au-delà des six secteurs fédéraux.
à convenir
Suivis et audits de la Commission municipale
Rapports de la Commission municipale du Québec sur la sécurité des systèmes de contrôle industriels et la sécurité de l'information (suivi de La Prairie, nouveaux audits).
Semestrielle
Nouveau rapport, ou annonce d'un audit élargi aux installations d'eau.
à convenir
Croissance des rançongiciels au Canada
Taux de croissance annuel des incidents de rançongiciel publié par le Centre canadien pour la cybersécurité (vue d'ensemble des rançongiciels et prochaine Évaluation des cybermenaces nationales).
Annuelle
Taux supérieur à 26 % par année, ou mention explicite des municipalités parmi les secteurs les plus touchés.
Les intrusions de 2025 et 2026 dans des installations d'eau sont revendiquées par des groupes pro-russes, et le Centre pour la cybersécurité lie leur fréquence aux événements géopolitiques majeurs.
Une cyberattaque sur l'eau, l'électricité ou les télécommunications se propage comme une panne, et les mêmes modes dégradés (manuel, entraide) servent dans les deux cas.
La concentration des fournisseurs fait qu'une seule compromission touche plusieurs municipalités (CodeRED), et le Centre pour la cybersécurité note que l'IA générative rend l'hameçonnage plus convaincant.
Les revendications publiées en ligne, vraies ou fausses, sèment le doute sur l'eau, et la perte d'une plateforme d'alerte prive la municipalité de sa voix au pire moment.
Les systèmes de contrôle vieillissants et le manque de ressources des petits exploitants d'eau sont nommés par le Centre pour la cybersécurité comme facteurs de vulnérabilité.
Ces liens ne comptent pas tant qu’ils ne sont pas cotés dans la matrice.
Jugements
D’ici 2 ans
Très probable
D’ici 10 ans
Quasi certain
Connaissances
Moyenne
Justification
Le risque est déjà réalisé à petite échelle au Québec (Saint-Noël, une autre installation d'eau, la MRC de Maskinongé), et le Centre pour la cybersécurité juge très probable la poursuite des intrusions ; la probabilité porte sur une perturbation notable d'un service essentiel municipal. Deux référentiels indépendants convergent : Allianz place les incidents cyber au 1er rang mondial en 2026 et Horizons de politiques Canada au 4e rang de ses dix principales perturbations. La force des connaissances est moyenne : les évaluations fédérales sont solides, mais il n'existe aucune donnée publique sur l'exposition et les incidents des municipalités québécoises.
Limites de cette fiche
Trois articles de La Presse (CodeRED, 28 novembre 2025 ; CCQ, 26 août et 4 septembre 2026) n'ont pas pu être ouverts (accès refusé) : leur contenu vient des résultats de recherche. Le chiffre de 350 000 personnes et l'attribution au groupe Qilin reposent sur ces résultats.
Les incidents de la MRC de Maskinongé (2025) et de Lac-Mégantic (2023) sont cités d'après les résultats de recherche ; les articles du Nouvelliste et de La Tribune n'ont pas été ouverts.
Le communiqué de la Municipalité de Saint-Noël n'a pas été lu en entier (réservé aux membres du Réseau d'information municipale) : les détails viennent du Soleil, de Radio-Canada et de Ma Gaspésie. L'attribution à un groupe pro-russe repose sur la revendication du groupe et sur l'analyse de la MRC, pas sur une attribution officielle.
L'article de Radio-Canada du 11 août 2026 parle du « 7 octobre dernier » pour l'autre installation québécoise compromise : il s'agit vraisemblablement du 7 octobre 2025, mais l'année n'est pas écrite.
Le chiffre de 226 installations municipales de production d'eau potable vient de Radio-Canada ; il n'a pas été recoupé avec une source ministérielle et sa définition exacte n'est pas connue.
Les chiffres de l'UMQ (1 million de dollars, 22 jours) sont publiés sans source d'origine. Les chiffres de la FQM (44 % des rançongiciels viseraient les administrations municipales, 96 % d'erreurs humaines) n'ont pas été retenus pour la même raison.
Aucune donnée publique trouvée sur : le nombre d'installations d'eau québécoises exposées à Internet, le nombre d'incidents déclarés par des municipalités à la Commission d'accès à l'information, le nombre de municipalités abonnées aux services de l'UMQ et de la FQM, les exigences précises des assurances cyberrisques municipales.
Aucun programme provincial dédié à la cybersécurité des municipalités n'a été trouvé ; cela ne prouve pas qu'il n'en existe pas. L'absence d'obligation provinciale repose sur les propos d'un expert cité par Radio-Canada, non sur une lecture des règlements.
L'état du règlement d'application de la Loi sur la sécurité civile et les modalités du transfert de 1 milliard de dollars pour l'eau n'ont pas été vérifiés au 1er octobre 2026.
La date de publication de l'Évaluation des cybermenaces nationales 2025-2026 (30 octobre 2024) vient du communiqué fédéral repéré en recherche ; la page elle-même indique des informations à jour au 20 septembre 2024. La date exacte de publication du baromètre Allianz 2026 n'a pas été relevée.
L'analyse de Hackfest sur les plateformes électorales est une source militante (cote C) ; les plateformes des partis n'ont pas été lues directement.
Reposent sur le jugement de rédaction : le type « récurrent », le stade « enlisement », les probabilités, l'importance, les listes de manières (dégénérescence), les échéances des adjacents et les lectures pour le Québec.
Aucun nouvel incident municipal n'a été repéré dans la collecte de la semaine du 1er au 8 octobre 2026 ; cela ne prouve pas qu'il n'y en a pas eu.
Le dossier de La Presse du 8 octobre 2026 n'a pas été lu en entier : la durée de quinze minutes et l'absence de demande de rançon viennent de l'extrait.
Choc à l'étranger : dans la nuit du 11 au 12 octobre, une cyberattaque a visé les installations frigorifiques de plusieurs centaines de supermarchés français (150 à 200 magasins Intermarché, moins d'une centaine de Coopérative U). Ce n'est pas un incident municipal, mais c'est la même famille que Saint-Noël : des équipements physiques pilotés à distance, touchés en série. Il tombe sur un stress québécois connu : on ne sait pas combien d'installations municipales sont joignables à distance. Réponse locale : interrogée par son hebdomadaire, la Ville de Saint-Jean-sur-Richelieu dit qu'aucune organisation n'est à l'abri et refuse de décrire ses installations. Tendance : selon CIRA, 76 % des organisations canadiennes ont augmenté leur budget de cybersécurité, mais 67 % seulement le jugent suffisant (74 % en 2025). Aucun nouvel incident municipal québécois dans la collecte.
Menace étayée. La panne simultanée de plusieurs municipalités par un fournisseur commun a maintenant un précédent étranger : des centaines de magasins de plusieurs enseignes touchés en une nuit en France. L'ouverture « recenser les accès à distance des installations d'eau » reste atteignable ; aucune mesure n'est annoncée.
Aucun nouvel incident municipal dans la collecte. La Presse revient sur Saint-Noël : selon le maire, l'attaque a duré une quinzaine de minutes et ne s'accompagnait d'aucune demande de rançon, ce qui va dans le sens d'intrusions de démonstration plutôt que d'extorsion. Les priorités annoncées du nouveau gouvernement ne mentionnent pas la cybersécurité municipale. En toile de fond, les pertes attribuées à la fraude au Canada dépassent 350 M$ depuis janvier, et Desjardins aura versé près de 77 M$ d'indemnités pour la fuite de 2019.
Ouverture inchangée. Le recensement des accès à distance des installations d'eau reste atteignable pendant les 100 premiers jours du gouvernement ; aucune mesure n'est annoncée.
Aucun nouvel incident municipal n'apparaît dans la collecte de la semaine. Radio-Canada compare les propositions des partis en cybersécurité, et la fuite de données à la Commission de la construction du Québec mène à une demande d'action collective.
Ouverture. L'attention créée par l'intrusion de Saint-Noël et l'arrivée d'un nouveau gouvernement rendent atteignable un recensement des accès à distance des installations municipales d'eau potable.
Signaux de la collecte
Les signaux que vous avez rejetés n’apparaissent pas ; ceux que vous avez corrigés figurent sous le rhinocéros que vous avez indiqué.
Dans la nuit du 11 au 12 octobre, une cyberattaque a visé les installations frigorifiques de plusieurs centaines de supermarchés français, dont 150 à 200 magasins Intermarché et moins d'une centaine de Coopérative U.
Un Canadien spécialisé dans la négociation avec les auteurs de rançongiciels a été arrêté aux États-Unis et fait face à des accusations liées à l'extorsion, alors que le FBI s'attaque à un groupe de pirates.
Interrogée après l'intrusion de Saint-Noël, la Ville de Saint-Jean-sur-Richelieu répond qu'aucune organisation n'est à l'abri, dit prendre la menace au sérieux et refuse de détailler l'architecture de ses installations d'eau potable.
Selon le sondage 2026 de CIRA, 76 % des organisations canadiennes ont augmenté leur budget de cybersécurité, mais seulement 67 % le jugent suffisant, contre 74 % en 2025.
La Presse revient sur la cyberattaque du 23 juillet contre la station d'eau potable de Saint-Noël : un événement d'une quinzaine de minutes, sans demande de rançon, selon le maire.
Desjardins aura versé près de 77 millions de dollars en indemnités après la fuite de données de 2019 ; près d'un million de réclamations ont été déposées. Rattachement à confirmer : organisme financier, pas municipal.
Depuis janvier 2026, les pertes attribuées à la fraude au Canada dépassent 350 millions de dollars, soit environ 10 % des fraudes réelles selon le reportage.
Une école de Québec envoie un courriel de masse contenant les renseignements personnels de centaines de familles. Erreur humaine plutôt qu'attaque : à garder ou à écarter.
Québec rappelle l'ancienne cheffe de l'informatique pour le projet SIFA. Problème de système d'information de l'État, pas une attaque ; classement incertain.
Une fuite de données motive une demande d'action collective contre la Commission de la construction du Québec.
Journal de la fiche
2026-10-01 Création de la fiche (version 0.1, brouillon) à partir de sources consultées le 1er octobre 2026.
2026-10-02 Nomenclature des 100 villes résilientes : chaque événement récent est marqué « choc » ou « événement », et une lecture croisée des chocs et des stress chroniques est proposée. Aucun fait nouveau.
2026-10-08 Semaine 2026-S41 : ajout de deux événements (élection du 5 octobre sans mesure annoncée en cybersécurité municipale ; retour de La Presse sur Saint-Noël : quinze minutes, sans rançon). L'ouverture « recensement des accès à distance » est datée par rapport au nouveau gouvernement. Aucun choc nouveau. Version 0.3.
2026-10-12 Semaine 2026-S42 : ajout d'un choc étranger (cyberattaque contre les installations frigorifiques de centaines de supermarchés français) et de deux événements (sondage CIRA ; réponse de Saint-Jean-sur-Richelieu sur son réseau d'eau). La menace « fournisseur partagé » est étayée par le précédent français. Aucun nouvel incident municipal québécois dans la collecte ; aucun adjacent réalisé ni fermé.
No 8 : Cyberattaques sur les infrastructures essentielles et les municipalités — CASSANDRE