Épisode 0x296 Again – La Russie pirate l’eau du Québec, les bornes Flo et l’imputabilité

Synopsis

Épisode d’été chargé, avec Patrick, Francis, Steve et Richer. On ouvre fort : un système de gestion de l’eau d’une ville québécoise a été piraté par un groupe russophone, une information confirmée dans le rapport annuel du Centre de la sécurité des télécommunications. Quelle ville? On ne le sait toujours pas. Et pendant ce temps, les municipalités n’ont ni le budget ni le monde pour se défendre.

On parle aussi du CST qui a mené des cyberopérations offensives ayant dérangé des réseaux criminels, de l’Environmental Protection Agency américaine qui a créé une section dédiée à la cybersécurité de l’approvisionnement en eau — pendant qu’Ottawa et Québec regardent ailleurs — et du site web d’une usine de traitement d’eau retiré en panique après notre dernier épisode.

Ensuite, gros morceau : les bornes de recharge Flo du Circuit électrique, leur interface web exposée, leurs cartes d’accès, et ce qui arrive quand un chercheur qui divulgue devient l’ennemi à abattre plutôt qu’un allié. On finit avec l’avis conjoint sur le durcissement des routeurs exposés à Internet, la cyber-hygiène IoT à la maison, un négociateur de rançongiciels qui travaillait en fait pour les attaquants, et une discussion franche sur le burn-out en cybersécurité.

On dit « 0x296 » à l’audio, mais il s’agit bien de l’épisode 0x297. On a perdu le compte 🤷

Crew

• Patrick Mathieu — Cofondateur de Hackfest.ca et fondateur de Hexius
• Francis Coats — Expert, vulgarisateur et conférencier en sécurité et en technologie
• Steve Waterhouse — Conférencier, consultant en cybersécurité, vétéran et chroniqueur
• Richer Dinelle — Expert en sécurité informatique & Gestion de systèmes

IrResponsible disclosure / OPSEC FAIL

• ICSA-26-188-01 – Hydro-Québec Le Circuit Électrique (CISA)
• Usines de traitement d’eau – Ville de Québec (le site est maintenant en ligne sans la visite 3D)

News de sécurité

Patrick

• Russian group hacked Quebec water system, spy agency says (Yahoo News Canada)
• Government of Alberta uses Claude to find and fix cybersecurity vulnerabilities across government systems (Anthropic)
• Le Québec et le Luxembourg unissent leurs forces en cybersécurité (Québec.ca)
• Ransomware negotiator helped attackers extort his own clients, gets 6-year sentence (Ars Technica)

Steve

• Canadian spy agency reports hacking three criminal groups in 2025 (The Record)
• Improve Router Hygiene to Protect Against Russian State-Sponsored Targeting (PDF, NSA/CISA)
• Statement of condemnation by the North Atlantic Council of Russia’s malicious cyber activities (OTAN)
• Russian cyberattacks stretching back 15 years prompt European sanctions (WSJ)
• Russia hacks doorbell cameras to spy on NATO bases (The Telegraph)
• Russia turned civilian security cameras across Europe into spy network (United24 Media)
• Canada regulator cited Anthropic’s Claude Mythos in warning to banks on cyber risks (Reuters)
• What happens if China hacks the US water supply? I went to a secret war game to find out (WIRED)
• Microsoft expects more Windows security updates from AI-discovered flaws (BleepingComputer)
• Progress urges ShareFile admins to shut down servers over « credible » threat (BleepingComputer)
• GigaWiper: anatomy of a destructive backdoor assembled from multiple malware (Microsoft)
• Apple says former employee exploited « rare » bug to download confidential files after leaving for OpenAI (TechCrunch)
• One target, two flags : rival espionage actors converge on Pakistani law enforcement (SentinelOne)
• EU leaders eye social media ban for children under age 13 (The Record)
• Netherlands warns dependence on US tech could have « major consequences » for society (Cybernews)
• Une conseillère de Vancouver veut que les projets d’IA soient mieux encadrés (Radio-Canada)
• Les notes enfin accessibles après une panne informatique (La Presse)
• Samsung Health will delete your data if you refuse AI training consent (Gadget Review)
• All new EU cars require a camera aimed at your face — where that data goes is still anyone’s guess (Gadget Review)
• Using your iPhone to show a digital ID at a traffic stop could legally be interpreted as consenting to a full phone search (Gadget Review)

Shamelessplug

• Hackfest 2026 – Québec
• Discord Hackfest
• securite.fm

Crédits

• Montage audio par Hackfest Communication
• Locaux virtuels par Streamyard