Mon NAS est sur le dark web.
Que faire?

Évaluer ce qui a été exposé

Avant de courir dans toutes les directions, il faut savoir ce qui a réellement été compromis. Les bris de données ne sont pas tous équivalents — un bris qui expose ton adresse courriel est très différent d'un bris qui expose ton NAS, ton NIP, ou tes questions de sécurité.

Les étapes à suivre dans les 48 heures

1. Gèle ton dossier de crédit chez Equifax et TransUnion

   C'est l'action la plus importante si des données financières ou d'identification ont été exposées. Un gel empêche tout créancier de consulter ton dossier — ce qui bloque les demandes de crédit frauduleuses. Au Québec, c'est gratuit. Le gel en ligne chez Equifax prend environ 10 minutes; chez TransUnion aussi. Consulte notre guide détaillé sur le gel de crédit au Québec pour les étapes exactes.
2. Signale l'incident au Centre antifraude du Canada

   Le Centre antifraude (CAFC) recueille les signalements de fraude et d'usurpation d'identité au Canada. Ton signalement alimente les avertissements publics et aide les enquêtes. C'est gratuit, ça prend 10–15 minutes, et tu recevras un numéro de référence utile pour d'autres démarches. Ligne : 1-888-495-8501 (lundi au vendredi, 9h–16h45 HNE), ou en ligne via le site du CAFC.
3. Si le NAS est compromis : contacte Service Canada immédiatement

   Appelle Service Canada (1-800-206-7218) pour signaler la compromission de ton NAS. On te guidera sur les options — dans les cas graves, un nouveau NAS peut être émis (c'est possible, mais le processus est long et exigeant en documentation). Service Canada peut aussi ajouter une note d'alerte à ton dossier.
4. Vérifie ton compte CRA (Agence du revenu du Canada)

   Connecte-toi à Mon dossier sur le site de l'ARC. Cherche : des déclarations produites en ton nom que tu ne reconnais pas, des remboursements d'impôts qui ont été redirigés vers un compte inconnu, ou des changements à tes informations de contact. Les fraudeurs utilisent les NAS volés pour produire de fausses déclarations et empocher les remboursements. Si tu constates quelque chose d'anormal, appelle l'ARC directement : 1-800-959-8281.
5. Si c'est un organisme québécois : dépose une plainte à la CAI

   En vertu de la Loi 25, les organisations québécoises doivent notifier la Commission d'accès à l'information (CAI) et les personnes concernées lors d'un incident susceptible de causer un préjudice sérieux. Si tu n'as pas reçu d'avis mais que tu as des raisons de croire que tes données ont été compromises par une organisation québécoise, tu peux déposer une plainte à la CAI. Le processus est en ligne : cai.gouv.qc.ca.
6. Change les mots de passe des comptes à risque — dans le bon ordre

   Priorité : (1) ton adresse courriel principale — c'est la clé de tout; (2) ta banque et tes institutions financières; (3) ton compte CRA et Revenu Québec; (4) tes comptes de commerce en ligne (Amazon, eBay). Utilise des mots de passe uniques pour chaque compte. Si tu ne l'as pas déjà, installe un gestionnaire de mots de passe — consulte notre guide des gestionnaires de mots de passe.
7. Active l'authentification à deux facteurs (2FA) sur tes comptes critiques

   Courriel, banque, CRA, Revenu Québec — active le 2FA sur tous ces comptes. Même si quelqu'un possède ton mot de passe, le 2FA l'empêchera de se connecter. Préfère une application d'authentification (Google Authenticator, Aegis, Authy) à la réception de codes par SMS — les SMS peuvent être interceptés par SIM-swapping.

Si ton numéro d'assurance maladie (NAM) a été exposé

Contacte la RAMQ (1-800-561-9749) pour signaler la compromission potentielle de ton NAM. La RAMQ peut inscrire une note d'alerte à ton dossier et surveiller les demandes inhabituelles de services de santé en ton nom.

L'usurpation du NAM est moins fréquente que celle du NAS, mais elle peut permettre à quelqu'un de recevoir des soins ou des médicaments en ton nom — ce qui peut affecter ton dossier médical et ta couverture d'assurance.

Surveillance à long terme : que faire dans les semaines suivantes?

Un bris de données ne crée pas toujours une fraude immédiate. Parfois, les données volées sont vendues et utilisées des mois plus tard. Voici ce qu'il faut faire pour les 3–6 prochains mois :

• Surveille tes relevés bancaires et de carte de crédit — cherche des petits débits inhabituels (les fraudeurs testent souvent les cartes avec des montants de 1–2 $ avant de passer à des transactions plus importantes).
• Demande une copie de ton rapport de crédit — au Québec, tu as le droit à une copie gratuite par année chez Equifax (equifax.ca) et TransUnion (transunion.ca). Cherche des lignes de crédit ou des demandes de crédit que tu ne reconnais pas.
• Surveille ton adresse courriel dans les bases de données de bris — HaveIBeenPwned (haveibeenpwned.com) est un outil gratuit et fiable qui t'informe si ton adresse courriel est apparue dans une base de données compromise.
• Méfie-toi du phishing ciblé — après un bris, les fraudeurs utilisent tes données exposées pour créer des courriels ou des appels téléphoniques personnalisés. Un courriel qui connaît ton adresse, ton employeur, ou ton institution bancaire n'est pas forcément légitime.

Outils de surveillance gratuits (vs payants)

Tu n'as pas besoin de payer pour une bonne surveillance de base :

Vos droits sous la Loi 25 (organismes québécois)

Si un organisme québécois (entreprise, OBNL, gouvernement provincial) a subi le bris qui a exposé tes données, la Loi 25 te donne des droits précis :

• Droit de notification — l'organisation doit te notifier dans les délais raisonnables si le bris présente un risque de préjudice sérieux.
• Droit d'accès — tu peux demander quelles données ont été compromises exactement.
• Droit de plainte — si tu penses que l'organisation n'a pas respecté ses obligations, tu peux déposer une plainte formelle à la CAI.

Pour en savoir plus sur tes droits en vertu de la Loi 25, consulte notre guide sur les droits des particuliers sous la Loi 25.

Ressources québécoises — contacts utiles

Prévention : réduire ton empreinte numérique

La meilleure façon d'atténuer l'impact des futurs bris est de réduire la quantité de données que les organisations détiennent sur toi. Consulte notre outil de vérification d'empreinte numérique pour identifier quelles organisations détiennent tes données et comment exercer tes droits de retrait et de suppression sous la Loi 25.

Autre zone à risque souvent négligée : les outils d'intelligence artificielle. Si tu as déjà entré ton NAS, des données médicales ou des informations de clients dans ChatGPT ou Google Gemini, ces données sont probablement conservées sur des serveurs américains. Voir notre guide sur la vie privée et l'IA au Québec — avec les étapes pour désactiver l'entraînement et les alternatives qui ne collectent pas tes données.