Toronto Crime Stoppers protégeait les signalements modifiés. Des pirates ont volé les originaux.

Toronto Crime Stoppers supprimait des détails susceptibles d’identifier les personnes dans les signalements avant de les transmettre aux enquêteurs. Mais certaines versions originales non modifiées sont restées sur la plateforme de gestion des signalements — et des pirates les ont volées. Protéger la version reçue par la police n’a pas protégé tout ce que les gens avaient confié au service. ³

Cette faille a maintenant entraîné la fermeture d’une voie de signalement anonyme. Toronto Crime Stoppers a annoncé une suspension immédiate le 21 octobre 2026, en demandant au public de ne transmettre aucune information par téléphone, en ligne ou par son application. Pour les personnes qui ont déjà transmis des informations, le problème est différent : l’organisme ne peut toujours pas déterminer de façon fiable dont l’identité est révélée par les dossiers volés. ^{4 3}

La consigne du président Sean Sportun était claire : « Tant que nous n’aurons pas trouvé un moyen plus sûr de vous protéger, veuillez ne pas nous transmettre de signalement par téléphone, en ligne ou par l’application. » Toronto Crime Stoppers a supprimé la fonction « Tip Submit » de son site Web, a demandé au fournisseur de la plateforme, Navigate360, de suspendre la prise de signalements pour Toronto et a demandé au Centre national d’appels anonymes d’arrêter de traiter les nouvelles informations destinées à Toronto. Ces mesures établissent la suspension annoncée, mais ne précisent pas des heures d’arrêt distinctes pour chaque canal. ^{3 4}

Ces chiffres doivent être interprétés avec prudence. L’estimation de Toronto Crime Stoppers de 176,859 signalements touchés porte sur des transmissions, et non sur des personnes. Son estimation de 12,392 signalements susceptibles de contenir des renseignements personnels n’établit pas que chacun permet d’identifier la personne qui l’a transmis. Aucun de ces chiffres ne constitue un décompte vérifié de façon indépendante des informateurs exposés. ³

La liste distincte de 14,973 noms, fournie par Navigate360 en septembre et en octobre, ne dissipe pas cette incertitude. Sportun a déclaré qu’elle ne précisait pas à qui appartenaient ces noms. Dans un rapport de police, un nom peut être celui d’une personne décrite plutôt que de celle qui fait le signalement. Le nombre de noms et celui des signalements susceptibles de contenir des renseignements personnels mesurent des choses différentes; il ne faut pas les additionner. Les mentions antérieures de près de 177,000 signalements et de 15,000 noms étaient des chiffres arrondis correspondant à ces totaux, et non à des groupes supplémentaires. ^{3 2}

Ce qui manque, c’est le texte entourant ces noms. « Malgré de nombreuses demandes adressées par l’intermédiaire de notre conseiller juridique, Navigate360 ne nous a pas fourni le texte des signalements volés. Nous ne pouvons donc pas voir ce que dit chacun d’eux », a déclaré Sportun dans le compte rendu publié par Global News le 22 octobre. Sans ce texte, Toronto ne peut pas établir de façon fiable le lien entre les noms et les signalements ni évaluer ce qu’un dossier en particulier révèle sur quelqu’un. ³

Par ailleurs, l’anonymat ne repose pas uniquement sur le fait de laisser le champ du nom vide. « Nous ne vous demandons jamais votre nom, et nous ne le voulons pas. Mais les gens ajoutent parfois des détails pour expliquer ce qu’ils ont vu », a déclaré Sportun. Il a expliqué que le personnel supprime ces détails avant de transmettre les signalements aux enquêteurs, mais que certaines transmissions originales contenant des renseignements susceptibles d’identifier les personnes ont été volées dans P3, le logiciel de gestion des signalements de Navigate360. Toronto l’utilise depuis 2018. ¹

L’échec ne tient donc pas simplement au fait que des gens ont communiqué des renseignements que le programme ne demandait pas. Le service conservait des documents originaux qu’il savait devoir modifier avant que les enquêteurs puissent les consulter. La promesse d’anonymat dépendait aussi de la sécurité de ces documents originaux.

Cet aveu est important, mais il ne constitue pas un constat chiffré du nombre de personnes ayant fait un signalement dont l’identité a été révélée. Les éléments disponibles établissent que des signalements ont été volés et que des noms figuraient dans la fuite. Ils n’établissent pas un nombre vérifié d’informateurs exposés, un inventaire complet des champs de données de Toronto, ni le fait qu’une personne ayant fait un signalement en particulier ait subi des représailles ou d’autres préjudices. ^{3 4}

Le récit de Toronto Crime Stoppers fait état d’informations qui ont évolué au fil des mois. Sportun a déclaré que les données avaient été volées en mars. Reuters avait publiquement rapporté l’allégation de compromission au plus tard le 18 mars 2026, ce qui établit que l’information circulait publiquement à cette date — mais pas la date exacte du vol ni nécessairement la première divulgation. ^{1 27}

Selon le récit de Toronto concernant ses communications avec le fournisseur, Navigate360 a d’abord déclaré en mars qu’elle n’avait pas confirmé d’incident et que P3 restait opérationnel. Dans une communication du 25 mars, elle a reconnu qu’il y avait eu accès à P3. Toronto a réinitialisé les mots de passe et activé l’authentification multifacteur; il s’agissait de mesures de protection prises par Toronto, et non d’une preuve que Navigate360 avait achevé les correctifs. ⁶

La réassurance cruciale est venue en avril, lorsque Toronto dit avoir été informé que des données canadiennes avaient été volées, mais que ses propres signalements n’étaient pas touchés. En juin, cette position a changé : Toronto a été informé que les signalements transmis entre janvier 2022 et novembre 2025 étaient touchés. En juillet, les estimations ont fait état de 176,859 signalements, dont 12,392 susceptibles de contenir des renseignements personnels. Les dates de transmission indiquent l’ancienneté des dossiers volés, et non une intrusion qui aurait duré presque quatre ans. ¹

Le tableau canadien plus général remonte davantage dans le temps. L’enquête de CBC, publiée le 21 octobre à 4 h HAE, a rapporté que plus de 1,5 million de signalements transmis à des bureaux de Crime Stoppers au Canada avaient été touchés par la fuite, et qu’au moins la moitié contenait des renseignements personnels. La vidéo qui l’accompagnait indiquait que les signalements couvraient les 25 dernières années. Il s’agit d’une période couverte par les archives historiques, et non de la durée de l’intrusion. ^{13 17}

Les conclusions nationales de CBC et les estimations de Toronto portent sur des périmètres et des ensembles de données différents. Les reportages nationaux ne distinguent pas les renseignements personnels concernant les informateurs de ceux concernant les personnes mentionnées dans les signalements. Toronto a également indiqué que les informations plus générales, obtenues de sources anonymes, ne lui avaient pas été communiquées directement. Le total national ne remplace pas l’estimation de Toronto, et les deux mesures des renseignements personnels ne peuvent pas être considérées comme des taux directement comparables. ^{13 1}

La position publique de Navigate360 a elle aussi évolué. Un article de CNA publié le 23 octobre et mis à jour le 24 octobre indiquait que l’entreprise reconnaissait que des pirates étaient entrés dans l’un de ses systèmes et avaient copié plusieurs mois de données. Cet aveu n’établit pas que Toronto a reçu le texte des signalements volés, n’explique pas le rôle des personnes nommées et ne démontre pas que les réparations de sécurité sont achevées. Aucune date précise de remise des données ou de reprise du service n’a été vérifiée. ²²

La police de Toronto a suspendu séparément son recours à Crime Stoppers pendant qu’elle évaluait les mesures de protection. Cette distinction est importante : Toronto Crime Stoppers et le Service de police de Toronto sont des organisations distinctes, et la plateforme touchée par la fuite fonctionne indépendamment du service de police. Le vol de données sur cette plateforme ne prouve pas que les systèmes informatiques internes de la police de Toronto ont été piratés. ^{5 3}

Les suspensions se sont étendues à l’Ontario. Halton, Peel et Hamilton ont annoncé des suspensions ou des pauses le 22 octobre. Halton a indiqué que certaines informations concernant sa région étaient incluses; Peel a déclaré qu’il ne reprendrait pas sa participation tant qu’il n’aurait pas la certitude que la plateforme était sécurisée. Hamilton cherchait à obtenir davantage d’informations sur la sécurité et les mesures de protection avant de reprendre ses activités. ^{32 44 62}

York a également suspendu immédiatement son partenariat le 22 octobre, le temps d’examiner les répercussions sur ses activités et la sécurité des personnes ayant fait des signalements. La déclaration de Kingston du 23 octobre indiquait que la ville n’utilisait pas Crime Stoppers comme canal de signalement pendant qu’elle évaluait la situation. Il ne s’agissait pas simplement d’envisager l’arrêt du service : l’évaluation et la suspension étaient menées simultanément. London a également annoncé une suspension le 23 octobre. Il s’agit de décisions locales, et non de preuves d’une suspension à l’échelle du Canada. ^{54 56 61}

Il est toujours possible de signaler directement des faits à la police, mais ce n’est pas une solution équivalente. Hamilton indique le 905-546-4925 pour les signalements non urgents. Kingston oriente les appelants vers le 613-549-4660, poste 0. York indique le 1-866-876-5423 pour les situations non urgentes et accepte également les messages et les courriels, tout en avertissant explicitement que préserver la confidentialité de l’identité d’une personne ne garantit pas l’anonymat. En cas d’urgence immédiate, composez le 911. ^{62 56 54}

Au 24 octobre, aucune annonce datée de réouverture à Toronto n’avait été vérifiée; les derniers comptes rendus datés faisaient toujours état de la suspension. Pour rétablir le service, il ne suffit pas de réactiver un formulaire de signalement. Les personnes qui ont déjà transmis des signalements ont besoin d’une évaluation sérieuse de ce que révèlent les données volées. Les personnes ayant de nouvelles informations ont besoin de mesures de protection suffisamment solides pour justifier la promesse qui les a d’abord amenées à s’adresser à Crime Stoppers. ^{3 1}