Un nouveau rapport obtenu par Radio-Canada révèle que des pirates informatiques qui seraient liés à la Chine ont visé les départements de physique et d'ingénierie d’universités américaines et canadiennes.

Le rapport, préparé par la firme de cybersécurité Proofpoint, affirme que ces pirates, alignés sur les intérêts de Pékin, auraient plus spécifiquement ciblé des serveurs de courriel de départements de physique et d'ingénierie entretenant des liens avec le secteur de la sécurité nationale, ainsi que des unités spécialisées dans l'étude de l'astrophysique et de la physique des particules.

Les chercheurs ne précisent pas quelles institutions canadiennes ont été visées ni quelles données ont potentiellement été piratées.

Ce groupe de pirates informatiques, dénommé UNK_MassTraction par les chercheurs de Proofpoint, a exploité des vulnérabilités connues dans le logiciel de messagerie web Roundcube des universités visées. Selon les chercheurs, l'objectif aurait été de voler des identifiants de connexion et d’infecter les serveurs des départements visés afin d’exfiltrer de l’information sensible.

Bien que Proofpoint ne soit pas en mesure d’identifier ses auteurs, plusieurs éléments de la campagne, comme les techniques et les outils utilisés, ainsi que le choix des cibles, présentent des caractéristiques propres aux activités menées au bénéfice de la Chine.

Est-ce qu’on le sait hors de tout doute? Non. Mais tout semble pointer vers une attaque qui profite au gouvernement chinois, soutient Alexis Dorais-Joncas, directeur du cyberespionnage chez Proofpoint.

Nos ressources dans la mire des espions

Pour Benjamin Fung, professeur d’informatique à l’Université McGill, le Canada est une cible de choix pour les opérations chinoises de collecte d’informations sensibles compte tenu de son abondance de ressources.

Des ressources pas seulement naturelles, mais humaines, précise-t-il, en ajoutant que, malgré sa petite population, le Canada dispose de bons chercheurs, notamment dans le domaine de l’IA. De nombreuses avancées dans le domaine de l'apprentissage automatique sont le fruit des travaux de chercheurs canadiens, explique le professeur.

La directrice des affaires mondiales au Centre montréalais pour la sécurité globale (MIGS), Marie Lamensch, abonde dans le même sens. On a un très bon réseau universitaire, surtout à Montréal, [qui travaille] sur les semi-conducteurs, les technologies quantiques… tout ce qui est [lié à] l’aérospatiale, comme les Bombardier, par exemple. Ou encore les biotechnologies, les technologies à double usage, civil et militaire… on a une bonne expertise dans ce domaine-là, poursuit-elle.

Pas un cas isolé

Plusieurs campagnes de cyberespionnage vraisemblablement liées à la Chine ont d’ailleurs visé le Canada ces derniers mois.

À la mi-juin, les chercheurs du Google Threat Intelligence Group révélaient l’existence d’une campagne de longue haleine du groupe UNC6508 (nouvelle fenêtre), qu’on croit également lié à la Chine. Ce groupe avait lui aussi ciblé le domaine de la recherche universitaire nord-américaine afin de recueillir des renseignements sensibles d’intérêt pour Pékin.

Lors de cette campagne, qui a également visé les secteurs de la recherche médicale et militaire, les pirates informatiques avaient exploité des failles connues dans des serveurs abritant le logiciel de création et de gestion de sondages et de bases de données REDCap (nouvelle fenêtre), utilisé dans plus d’une centaine d’institutions à travers le Canada.

En déployant un maliciel sur certains serveurs non sécurisés, UNC6508 avait réussi à recueillir des informations d'identification leur permettant ultimement d’accéder aux réseaux internes des entités visées.

Alexis Dorais-Joncas, directeur du cyberespionnage chez Proofpoint

Photo : Courtoisie Proofpoint

À force de collecter des identifiants, ils ont réussi à en trouver certains ayant des droits administrateurs sur le serveur. Et avec ces droits-là, ils ont pu rentrer dans le réseau derrière les serveurs REDCap, donc dans les réseaux des institutions, des universités qui possédaient ces serveurs-là, précise Alexis Dorais-Joncas.

Les pirates informatiques ont réussi à demeurer indétectés dans les réseaux pendant plus d’un an, renvoyant silencieusement des courriels contenant des termes spécifiques liés aux politiques géostratégiques, à la stratégie militaire, aux innovations technologiques et à la recherche médicale vers une boîte courriel appartenant à UNC6508.

Google, le Service canadien du renseignement de sécurité (SCRS) et le Centre canadien pour la cybersécurité (CCCS) ont décliné nos demandes d’entrevue.

L'objectif final, dans la grande majorité des cas des attaques étatiques, c'est la collecte d'informations, explique Alexis Dorais-Joncas. Il peut s’agir, par exemple, de recueillir des informations pour obtenir un avantage stratégique lors de négociations.

Toutefois, dans le cas de la campagne d’espionnage révélée par Google, l'objectif n’a rien à voir avec la géopolitique, commente le chercheur en cybersécurité.

Ça semble être vraiment pour avoir de l'information brute sur des domaines bien précis, là, en défense, en technologie, puis [dans le domaine] médical, ajoute-t-il.

Depuis longtemps, la Chine cherche à accélérer son développement en termes économiques et technologiques, explique Marie Lamensch. Le vol de ces données-là, ou de ces innovations-là, c'est une manière plus rapide d'y arriver que par eux-mêmes, avance-t-elle.

Le cyberespionnage chinois, un enjeu de longue date pour le Canada

Année après année, le gouvernement canadien désigne la Chine comme une importante menace dans le cyberespace, particulièrement en ce qui a trait au cyberespionnage.

En 2023 (nouvelle fenêtre), le Centre canadien pour la cybersécurité qualifiait Pékin de la cybermenace la plus importante du point de vue du volume, de la capacité et de l’intention, tandis qu’en 2025 (nouvelle fenêtre), elle désignait son vaste programme de cyberactivité comme « la plus active et la plus sophistiquée » contre le Canada.

Dans un document d’information (nouvelle fenêtre) de 2023, le Comité spécial de la Chambre des communes sur les relations entre le Canada et la République populaire de Chine (RPC) avance que les activités d’espionnage n’ont jamais été aussi intenses depuis la guerre froide au Canada, un pays visé à cause de son économie avancée et ses liens étroits avec des alliés dans les domaines de l’économie, de la sécurité et de la défense.

Pourtant, malgré l’importance de la menace de l’espionnage chinois au Canada, peu d’accusations sont portées devant les tribunaux. La seule personne à avoir été inculpée d'espionnage au pays est Yuesheng Wang (nouvelle fenêtre), un ex-chercheur arrêté en 2022 et soupçonné d'avoir divulgué des informations sensibles d'Hydro-Québec à des entités chinoises.

Pour Marie Lamensch, si le cyberespionnage chinois demeure largement impuni au Canada, c’est qu’il est difficile d’attribuer ces campagnes à des acteurs précis.

On sait que ça vient de la Chine, mais qui sont les acteurs? Il y a un problème d'attribution à la source, parce que tu ne vas pas nécessairement pouvoir faire un lien direct entre les opérations clandestines et les acteurs qui les mènent, explique Marie Lamensch.

De plus, selon elle, il existe un écart entre la loi et ce qu’il est réellement possible de faire pour sévir contre ce genre d’opérations clandestines au Canada. Ces [acteurs]-là sont souvent localisés en Chine. Donc, qu'est-ce qu’on peut faire? Ce n'est pas comme si on pouvait aller en Chine et arrêter ces personnes-là.

Pour Benjamin Fung, l’absence d’imputabilité est une des raisons pour lesquelles Pékin s’intéresse au Canada.

Même si certains politiciens en parlent ouvertement, il semble n’y avoir aucune conséquence. Donc, cela ne coûte rien à la Chine, déplore le professeur d’informatique.

La Chine rejette les accusations

Les relations entre la Chine et le Canada se réchauffent après des années de tensions.

Photo : getty images/istockphoto / ronniechua

La Chine nie catégoriquement les accusations d’espionnage portées par le gouvernement canadien à son endroit.

Dans un communiqué (nouvelle fenêtre) datant du 1er mai 2026, l’ambassade de Chine au Canada affirme que Pékin n’a aucun intérêt pour les affaires intérieures du Canada et déclare qu’elle s’est toujours opposé[e] avec fermeté à toutes les formes de cyberattaques.

Pour le gouvernement chinois, c’est plutôt le Canada qui s'engage de manière flagrante dans les affaires intérieures de la Chine sur des questions touchant à ses intérêts fondamentaux, telles que Taïwan, le Xinjiang, le Xizang et Hong Kong.

Le Canada a exprimé à plusieurs reprises des critiques vis-à-vis des violations des droits de la personne par la Chine. Ottawa a d’ailleurs adopté en mars 2021 le Règlement sur les mesures économiques spéciales visant la République populaire de Chine, une série de sanctions mises en place en réponse aux violations flagrantes et systématiques des droits de la personne commises par le gouvernement du président Xi Jinping contre les Ouïghours, les Tibétains et les adeptes du Falun Gong.

Toutefois, le rapprochement récent entre Pékin et Ottawa après des années de tensions exacerbées entre les deux pays suscite des inquiétudes chez des groupes de défense des droits de la personne. En janvier, l’organisation Human Rights Watchdemandait (nouvelle fenêtre) au gouvernement canadien de confronter la répression accrue du Parti communiste chinois dans la foulée de la visite du premier ministre Mark Carney en Chine, une première pour un chef du gouvernement canadien en plus de huit ans.

Ce que je trouve intéressant, c'est comment ça va se développer dans les prochains mois, exprime Marie Lamensch. Qu'est-ce qui va changer maintenant qu'on rouvre [ces liens]? Qu’on recommence à travailler avec la Chine? Selon elle, le réchauffement des relations entre les deux pays laisse entrevoir une diminution des condamnations du Canada envers les opérations clandestines liées à la Chine dans le cyberespace.

Exploiter des failles connues, un scénario classique

L’exploitation de vulnérabilités déjà connues dans des logiciels utilisés dans le domaine de la recherche représente un problème endémique, selon Alexis Dorais-Joncas. Ces vulnérabilités, qu’on appelle n-day dans le jargon de la cybersécurité, sont des failles connues pour lesquelles un correctif est disponible mais qui n’a pas encore été appliqué.

En particulier, les logiciels exposés à Internet, tels que REDCap et Roundcube, représentent d’importants points d'entrée pour les pirates informatiques lorsqu’ils ne sont pas mis à jour.

Quand la base des mesures de cybersécurité n’est pas respectée, on rend la vie très facile aux attaquants. Ils peuvent réutiliser des failles qui existent depuis des années, et ça continue à fonctionner, déplore Alexis Dorais-Joncas.

C’est dommage qu’on en soit là en 2026. Nos technologies de défense sont super évoluées, mais rien ne peut forcer une organisation à garder ses logiciels à jour, conclut-il.