Épisode 0x300 - Santé Québec branche ChatGPT sur vos dossiers médicaux

Synopsis

Épisode « intime » : Patrick et Steve Waterhouse en duo, présenté comme la pratique avant le vrai trois-centième, qui se fera devant public au Hackfest. Steve arrive avec sept pages de nouvelles et un point de méthode qu’il enseigne à ses étudiants : remonter à la source primaire, parce que la nouvelle qu’on lit est souvent le quatrième filtre de l’événement.

Le gros morceau est local. Epic, le logiciel de dossier médical déployé par Santé Québec, a décidé de connecter ChatGPT et Codex aux données patients. L’activation est manuelle — mais quelqu’un va le faire. La vraie question n’est pas technique : où est le consentement du patient, et qui possède la liste des sous-traitants de Santé Québec ? Personne. Steve génère en direct une évaluation des menaces et des risques : souveraineté des données, exposition au Cloud Act, centralisation et rayon d’impact élargi, dette de sécurité liée au déploiement précipité, et une lacune linguistique documentée dès le jour un. Patrick enchaîne sur l’offre d’emploi sortie cette semaine à Santé Québec — dix ans d’expérience plus une pile de certificats que deux personnes au Québec possèdent — pour illustrer un système d’embauche qui mesure des papiers et jamais l’expérience.

Côté incidents, chapeau à la CCQ : transparence, présidente en entrevue radio sans cassette, aucune rançon payée, restauration à partir des sauvegardes. En face, Qilin a mis les données en ligne avec un compteur, cinq cent mille fichiers, neuf cent trente gigaoctets — et une exfiltration qui ne s’est clairement pas faite en une fin de semaine. Puis le tour de la souveraineté : Hydro-Québec et les composants de contrôle industriel chinois, la commission américaine sur les émanations électromagnétiques et le décret qui relance la fabrication de transformateurs en Amérique du Nord, la stratégie du quarante pour cent sous le prix du marché, et le rappel que tout ce qui est « smart » documente ce qui se passe chez vous.

Le clou de l’épisode : à quelques semaines des élections québécoises, les deux fouillent en direct les plateformes des partis. Cyber : zéro chez la CAQ hors du livre bleu, une mention de souveraineté numérique au PQ, rien au PLQ. Seul le PCQ a un document de plateforme numérique — onze pages, un statut d’expert numérique stratégique et « garantir la sécurité des données ». Ça se termine sur les cyber-conflits : mille vulnérabilités au dernier Patch Tuesday de Microsoft, quatre sabotages cinétiques du réseau électrique allemand et des drones sur deux aéroports, Berlin siphonnée via une municipalité voisine, les trackers publicitaires coupés par l’armée américaine, l’ID Windows qui a fait tomber un attaquant, COSCO qui remonte de la géolocalisation à Pékin — et la seule sortie possible : une loi qui force les entreprises à faire de la cyber.

Crew

Patrick Mathieu — Cofondateur de Hackfest.ca et fondateur de Hexius
Steve Waterhouse — Conférencier, consultant en cybersécurité, vétéran et chroniqueur

Liens et ressources

Patrick

Steve Waterhouse

Dossier CCQ

Élections provinciales 2026

Shamelessplug

Join Discord
ISC2 SECURE Canada 2026 — Toronto, 17 septembre 2026
BSidesMtl — Montréal, 19 septembre 2026
GoSec26 — Montréal, 23-24 septembre 2026
Congrès du Groupe Millénium Micro — workshop tabletop de Patrick, 24 septembre 2026
SecTor — Toronto, 6-8 octobre 2026
Sommet international Cybersécurité et Souveraineté numérique — Québec, 21 octobre 2026
Conférence PolarCon — Québec, 29 octobre 2026
HACKFEST — Québec, 29-30-31 octobre 2026 — le vrai épisode 0x300 sera enregistré devant public
SiberX Operation: Defend the North 2026 — Toronto/virtuel, 8 décembre 2026