Canadian Mennonite University : des NAS exposés sur dix ans de feuillets fiscaux

La Canadian Mennonite University, à Winnipeg, affirme qu’un attaquant s’est introduit dans ses systèmes en septembre et a consulté des feuillets fiscaux qu’elle avait émis à son personnel et à ses étudiants, y compris des numéros d’assurance sociale. Les lettres ont été envoyées au début d’octobre. Si vous avez travaillé ou étudié à CMU au cours des dix dernières années, voici ce que l’on sait et ce qu’il faut faire.

Ce qui s’est passé

CMU a remarqué le 18 septembre 2026 que son système avait été compromis, a rapporté CBC News (en anglais). Avec des experts en cybersécurité fournis par son assureur, l’université a constaté que deux types de formulaires fiscaux avaient été consultés :

• les feuillets T4, qui déclarent les revenus d’emploi, émis de 2015 à 2025
• les feuillets T2202, qui déclarent les frais de scolarité des étudiants, sur une période plus courte

Ces feuillets contiennent les noms, les adresses postales et les numéros d’assurance sociale. On croyait d’abord qu’un peu moins de 4 000 étudiants, employés et professeurs, actuels et anciens, étaient touchés. Un porte-parole de l’université a dit à CBC qu’une enquête plus poussée a montré qu’environ 20 % d’entre eux n’avaient finalement pas été compromis, mais qu’on leur offre quand même la même aide.

CMU a publié un avis sur son site et envoyé des lettres. Elle offre deux ans de surveillance du crédit gratuite et dit n’avoir aucune preuve que les données ont été utilisées à mauvais escient.

Ce que ça veut dire pour vous

Le numéro d’assurance sociale est l’une des rares choses au Canada qu’on ne peut pas facilement remplacer. Avec votre nom et votre adresse postale, c’est l’essentiel de ce qu’il faut pour tenter d’ouvrir du crédit, de produire une déclaration de revenus ou de réclamer des prestations en votre nom. Ce risque ne disparaît pas après deux ans : la surveillance est un début, pas une réponse complète.

Ce que vous pouvez faire

1. Inscrivez-vous à la surveillance du crédit. Elle est gratuite et vous avertira si quelqu’un demande du crédit en votre nom. Les détails d’inscription sont dans votre lettre.
2. Ajoutez une alerte de fraude auprès des deux agences d’évaluation du crédit. Equifax Canada et TransUnion Canada permettent d’ajouter une alerte à votre dossier pour que les prêteurs prennent des mesures supplémentaires afin de confirmer votre identité. Notre guide sur quoi faire après une fuite de données au Canada explique les étapes.
3. Surveillez votre compte de l’ARC. Connectez-vous à Mon dossier de l’ARC et vérifiez votre adresse, vos renseignements de dépôt direct et les déclarations produites. Un changement que vous n’avez pas fait est le premier signe d’une fraude fiscale.
4. Communiquez avec Service Canada si votre NAS est utilisé frauduleusement. Si vous voyez des signes que quelqu’un utilise votre NAS, c’est à Service Canada qu’il faut le signaler, ainsi qu’à votre service de police.
5. Ignorez les messages « de CMU » ou « de l’ARC » qui demandent votre NAS. L’université a déjà ce qu’il lui faut. Un appel ou un courriel vous demandant de confirmer votre NAS à cause de cette fuite est une fraude.

Comment Frame peut aider

Frame tient un catalogue des fuites connues et vous permet d’ajouter à une adresse courriel vérifiée celles dont vous savez avoir fait partie. Frame montre ce que chacune a exposé, vous donne une courte liste de vérification et en tient compte dans votre rapport d’exposition. La recherche automatique de fuites n’est pas encore offerte. Nous ne recueillons ni ne conservons jamais les données divulguées elles-mêmes.

Sources

• CBC News, Canadian Mennonite University warns of data breach in cyberattack (en anglais), 8 octobre 2026