Le Centre canadien pour la cybersécurité est sans équivoque : « Les rançongiciels constituent la principale cybermenace pour les infrastructures essentielles du Canada », et « l’hameçonnage est l’un des types de fraude les plus signalés au Canada » (Évaluation des cybermenaces nationales 2025-2026). Le rapport 2026 de Verizon a révélé la présence de rançongiciels dans 48 % des violations analysées, contre 44 % l’année précédente, ainsi qu’un facteur humain dans 62 % des cas (résumé du DBIR 2026 par Help Net Security).
Le coût est bien réel. L’étude 2026 d’IBM a établi le coût moyen d’une violation de données au Canada à un niveau record de 7,11 millions de dollars canadiens (IBM, 2026-07-29). Les petites organisations paient moins en valeur absolue, mais elles disposent de moins de marge pour l’absorber.
La norme PCI DSS a été rédigée pour protéger les données de carte, mais plusieurs de ses exigences v4 constituent une base pratique contre l’hameçonnage et les rançongiciels pour toute organisation. En voici cinq.
1. Mécanismes anti-hameçonnage (exigence 5.4.1)
« Des processus et des mécanismes automatisés sont en place pour détecter les attaques d’hameçonnage et protéger le personnel contre celles-ci » (texte de l’exigence). Obligatoire depuis le 31/03/2025. En pratique : authentification des courriels (SPF, DKIM et DMARC), analyse des liens et des pièces jointes, et un moyen simple pour le personnel de signaler un message suspect.
2. Formation couvrant l’hameçonnage et l’ingénierie sociale (exigence 12.6.3.1)
La formation de sensibilisation à la sécurité doit désormais couvrir l’hameçonnage et les attaques connexes, ainsi que l’ingénierie sociale. L’IA rend l’hameçonnage plus difficile à détecter : le Centre pour la cybersécurité avertit que les criminels utilisent l’IA pour rédiger « des courriels d’hameçonnage personnalisés à grande échelle, avec un langage convaincant et grammaticalement correct » (ECMN 2025-2026). Verizon a également constaté que l’ingénierie sociale axée sur le mobile, via de faux textos et appels vocaux, réussit 40 % plus souvent que l’hameçonnage traditionnel par courriel (Verizon, 2026). La formation doit couvrir ces canaux, et pas seulement le courriel.
3. Authentification multifacteur (exigence 8.4)
Un mot de passe volé ne devrait pas suffire. La norme PCI DSS v4 exige l’authentification multifacteur pour tout accès non-console à l’environnement des données de titulaires de carte (8.4.2) et pour tout accès réseau à distance (8.4.3). Voir l’exigence 8.4.2 expliquée. Appliquez la même règle aux comptes de messagerie, d’accès à distance et d’administrateur dans toute l’organisation.
4. Correctifs avec délai imposé (exigence 6.3.3)
Les attaquants exploitent couramment des vulnérabilités connues dans les systèmes exposés à Internet; Verizon classe désormais l’exploitation de vulnérabilités comme le principal point d’entrée des violations (Verizon, 2026). Les correctifs critiques ou de haute sécurité doivent être installés dans le mois suivant leur publication (texte de l’exigence). Voir l’analyse et les correctifs selon la norme PCI DSS 4.0.1.
5. Un plan de réponse aux incidents testé (exigence 12.10)
Un plan de réponse aux incidents doit exister, être prêt à être activé, et être révisé et testé au moins une fois tous les 12 mois. Pour les rançongiciels, le plan devrait répondre à l’avance aux questions suivantes : qui décide, qui isole les systèmes, comment les sauvegardes sont-elles restaurées, qui avise les marques de paiement et l’acquéreur, et qui s’occupe du signalement des atteintes à la vie privée. Le guide de référence sur les rançongiciels du Centre pour la cybersécurité constitue un bon point de départ. Au Québec, un incident de confidentialité entraîne également des obligations en vertu de la Loi 25; voir ce qu’il faut consigner dans votre registre des incidents.
Ce que la norme PCI DSS ne couvre pas bien
La récupération. La norme PCI DSS dit peu de choses sur les sauvegardes hors ligne et testées, qui comptent pourtant parmi les contrôles les plus importants pour survivre à un rançongiciel. Conservez au moins une copie de sauvegarde inaccessible à un attaquant disposant d’un accès administrateur, et testez sa restauration.
Une liste de vérification d’une page
- DMARC appliqué sur vos domaines.
- Un bouton « signaler un hameçonnage », et quelqu’un qui lit les signalements.
- L’hameçonnage et l’ingénierie sociale dans la formation annuelle, y compris les fraudes par texto et par la voix.
- Authentification multifacteur sur la messagerie, l’accès à distance et les comptes d’administrateur.
- Correctifs critiques installés dans le mois.
- Sauvegardes hors ligne, avec un test de restauration au cours des 12 derniers mois.
- Un plan de réponse aux incidents avec noms et numéros de téléphone, testé cette année.
Notre cours en ligne Sensibilisation à la sécurité PCI DSS couvre l’hameçonnage et l’ingénierie sociale et appuie l’exigence 12.6. Accel GRC assure le suivi du reste du programme. Contactez-nous pour évaluer votre niveau de préparation.
Sources
- Centre canadien pour la cybersécurité : Évaluation des cybermenaces nationales 2025-2026
- Verizon : L’exploitation de vulnérabilités, principal point d’entrée des violations, selon le DBIR 2026 (2026-05-19)
- Help Net Security : Leçons tirées du DBIR 2026 de Verizon
- IBM : Les coûts des violations de données au Canada atteignent un niveau record (2026-07-29)
- Microsoft Learn : Exigence 5 de la norme PCI DSS (texte de l’exigence)
- Microsoft Learn : Exigence 6 de la norme PCI DSS (texte de l’exigence)
- Centre canadien pour la cybersécurité : Guide de référence sur les rançongiciels (ITSM.00.099)
- PCI SSC : Vient de paraître : la norme PCI DSS v4.0.1
Est-ce que cela s’applique à vous? Une consultation gratuite de 30 minutes relie l’exigence à vos systèmes et vous indique quoi faire ensuite.
Réserver une consultation gratuite