Au plus fort de la saison des déclarations de revenus de cette année, l’Agence du revenu du Canada a découvert que des pirates informatiques avaient obtenu des données confidentielles utilisées par l’une des plus grandes sociétés de préparation de déclarations de revenus au pays, H&R Block Canada. Des imposteurs ont utilisé les informations d’identification confidentielles de l’entreprise pour obtenir un accès non autorisé à des centaines de comptes personnels de l’ARC de Canadiens, modifier les informations de dépôt direct, soumettre de fausses déclarations et empocher plus de 6 millions de dollars en faux remboursements des fonds publics, selon une enquête menée par CBC. Le cinquième pouvoir et Radio-Canada l’a constaté. Dans un cas, les pirates ont déposé une déclaration avec un code postal légitime, mais une fausse adresse sur une Tomato Street inexistante. «Évidemment, la porte est ouverte et certaines personnes infiltrent le système», a déclaré en entrevue André Lareau, professeur agrégé de fiscalité à l’Université Laval, à Québec. “Mais l’ARC ne semble pas avoir trouvé la clé pour verrouiller la porte.” Selon des sources, la crise a incité l’ARC à communiquer avec le cabinet de la ministre du Revenu, Marie-Claude Bibeau. L’agence a préparé des lignes de presse pour répondre aux demandes de renseignements en cas de questions sur la violation des données H&R Block et sur les raisons pour lesquelles l’agence a payé des millions à des fraudeurs. La ministre du Revenu, Marie-Claude Bibeau, a refusé une demande d’entrevue, notamment sur les récentes violations des comptes de l’ARC des Canadiens. (Justin Tang/La Presse Canadienne) En fin de compte, le public n’a jamais été alerté du projet. Bibeau a refusé Le cinquième pouvoir/Demande d’entrevue de Radio-Canada. Dans un communiqué, H&R Block a déclaré qu’il n’y avait aucune preuve que la violation en provenait. Le cabinet fiscal a déclaré qu’une “enquête interne approfondie” avait conclu qu’aucune de ses “données, systèmes, logiciels et sécurité” n’avait été compromise. H&R Block a déclaré qu’il ne savait pas que les contribuables canadiens touchés par la violation étaient l’un de ses propres clients. Selon des sources, l’ARC n’a pas réussi à identifier les pirates informatiques, mais a exclu la possibilité d’une violation de ses propres systèmes ou d’une implication interne. En fin de compte, on ne sait pas qui a piraté ces données et d’où. Ni le ministre du Revenu ni le bureau des relations avec les médias de l’ARC n’ont répondu aux questions concernant la violation de données de H&R Block. Le cinquième pouvoir et Radio-Canada n’identifient pas les sources car elles ne sont pas autorisées à parler publiquement. Augmentation massive des violations signalées au Parlement L’enquête menée par Le cinquième pouvoir et Radio-Canada a constaté que la violation de données de H&R Block n’est qu’un exemple parmi tant d’autres qui accablent l’ARC, alors que les vérificateurs et les enquêteurs craignent que le public ne perde confiance dans l’agence chargée de protéger l’argent des contribuables et les renseignements personnels. Alors que l’agence se démène en interne pour faire face aux soi-disant acteurs menaçants, Le cinquième pouvoirL’enquête de /Radio-Canada a révélé que le public est pour la plupart tenu dans l’ignorance des sommes colossales volées et des failles flagrantes dans la capacité de l’agence à détecter les fraudes. Lareau a déclaré qu’une enquête parlementaire devrait être lancée pour déterminer « l’ampleur » du problème — et pour obliger l’ARC et le ministre à répondre. “Ils devraient tous dire exactement ce qui s’est passé (et) combien d’argent est impliqué”, a-t-il déclaré. L’ARC a également le devoir de signaler les atteintes « importantes » aux comptes des contribuables au commissaire à la protection de la vie privée, qui relève directement du Parlement. André Lareau, professeur agrégé de fiscalité à l’Université Laval, à Québec, se dit préoccupé par le volume de faux remboursements versés aux fraudeurs. « L’ARC ne semble pas avoir trouvé la clé pour verrouiller la porte », dit-il. (Mathieu Potvin/Radio-Canada) Dans un rapport présenté au Parlement en juin, le commissaire à la protection de la vie privée a signalé 71 atteintes à la vie privée à l’ARC au cours de l’exercice se terminant le 31 mars 2024. Au cours des trois années précédentes, 42 atteintes à la vie privée avaient été signalées. Ces chiffres ont depuis explosé. Dans les réponses aux questions de Le cinquième pouvoir/Radio-Canada, l’ARC a admis avoir été victime de plus de 31 468 atteintes « importantes » à la vie privée entre mars 2020 et décembre 2023, touchant 62 000 contribuables canadiens. Le Parlement n’est pas informé Le commissaire à la protection de la vie privée, Philippe Dufresne, a également refusé une entrevue. Dans un courriel, son bureau a défendu la décision de laisser l’augmentation massive des atteintes à la vie privée en dehors de son rapport de juin 2024 aux députés. Le bureau du commissaire a justifié cette décision en affirmant que l’ARC avait envoyé les informations après la période de déclaration de mars 2024 et qu’il inclurait les nouveaux chiffres dans le rapport annuel de l’année prochaine. Pour sa part, l’ARC a déclaré qu’elle n’avait déclaré que rétroactivement les 31 468 atteintes à la vie privée. Les fraudeurs ont obtenu des informations d’identification de tiers pour produire des déclarations au nom d’un contribuable. Ensuite, ils ont falsifié la déclaration et modifié le compte de dépôt direct. Avant que l’ARC ne puisse découvrir l’arnaque, l’argent a été versé. (Yosri Mimouna/Radio-Canada) En réponse aux questions de Le cinquième pouvoir/Radio-Canada, l’agence a déclaré avoir remarqué une « augmentation marquée des violations de données externes et des cybermenaces » où des « tiers non autorisés » ont accédé aux comptes de taxes des Canadiens, modifié les informations de dépôt direct, produit des « feuillets de renseignements fiscaux frauduleux » et produit des déclarations frauduleuses. L’ARC a déclaré que les contribuables individuels sont informés lorsqu’une violation se produit, qu’ils bénéficient d’une « protection du crédit au besoin » et qu’elle prend la protection des renseignements fiscaux des Canadiens « très au sérieux ». L’ARC n’a pas voulu expliquer comment et quand elle a appris pour la première fois que le