Action collective contre Telus
Une cyberattaque massive atteint Telus… Une action collective lance une contre-attaque sur le terrain judiciaire. Qui sont les avocats?
Un client de Telus a déposé une demande d'autorisation d’une action collective contre Telus, accusé d'avoir failli à ses obligations lors d'une brèche informatique de grande envergure.
Le 12 mars 2026, plusieurs médias canadiens révélaient qu'une cyberattaque avait donné lieu à un accès non autorisé à un nombre limité des systèmes de Telus, qui allait contacter les clients concernés.
La Cour supérieure devra se pencher sur les allégations indiquant que le fournisseur de télécommunications a fait défaut en matière de protection des données personnelles.
Le demandeur, identifié par le seul prénom Ryan, est représenté par Me Joey Zukran du cabinet LPC Avocats et par Me Michael Vathilakis du cabinet Renno Vathilakis.
Le demandeur est abonné aux services mobiles de Telus, ainsi qu'à Telus Santé, pour lesquels il débourse environ 1 500 dollars par année.
Dans le cadre de cette relation commerciale, le demandeur a confié à l'entreprise un ensemble de renseignements personnels : nom complet, date de naissance, adresse postale, numéro de téléphone, adresse courriel, données de paiement, ainsi que des informations médicales pour le service Telus Santé.
Le demandeur affirme avoir de sérieuses raisons de croire que les données volées incluent ses enregistrements vocaux, les enregistrements de ses appels téléphoniques, le détail de ses appels téléphoniques, ainsi que ses informations bancaires et de crédit.
La relation contractuelle entre Telus et ses clients implique un devoir de confidentialité et de protection renforcé, considère le demandeur, qui estime que la négligence de l’entreprise l’a gravement lésé.
Dissimulation et négligence?
Un groupe de pirates informatiques appelés ShinyHunters aurait accédé jusqu'à un péta-octet - soit environ un million de giga-octets - de données appartenant à Telus et à ses clients. L'entreprise aurait eu connaissance de cet incident en janvier 2026, sans informer les personnes concernées avant le mois de mars.
L'incident aurait été favorisé par la compromission de la plateforme Salesloft Drift, survenue en août 2025. À la suite de cet incident, Telus aurait négligé de modifier ses identifiants de connexion. Cette omission aurait permis aux pirates d'utiliser des identifiants récupérés lors du premier incident pour pénétrer les systèmes de l’entreprise de télécommunications.
Le demandeur reproche à Telus d'avoir tardé durant plusieurs mois avant de contacter les membres du groupe, au mépris du risque de fraude et de vol d’identité. Il considère que l’entreprise aurait dû activer des services de surveillance du crédit auprès de TransUnion Canada ou d'Equifax Canada pour les personnes touchées.
Le demandeur s’attendait aussi à recevoir une proposition d’indemnisation ou de couverture d’assurance. Il croit que Telus a cherché à minimiser l'impact de la brèche de sécurité, afin de préserver ses ventes et sa réputation.
La demande d’action collective souligne que Telus commercialise des services de protection contre les cybermenaces, en citant des risques qu'elle a elle-même omis de prévenir, selon le demandeur.
Le demandeur réclame d’être désigné représentant des membres du groupe composé de « toutes les personnes au Canada dont les renseignements personnels ou financiers détenus par Telus (ou par l’un de ses clients, agents, filiales ou sociétés affiliées) ont été compromis dans le cadre de l’« incident de cybersécurité » divulgué le ou vers le 11 mars 2026, ou qui ont reçu une notification de Telus concernant un tel incident de cybersécurité. »
Le nombre de membres du groupe est estimé à plusieurs millions de personnes au Canada.
Le demandeur souhaite que le tribunal condamne Telus à fournir aux membres du groupe des services de surveillance du crédit et de la fraude. Il entend aussi que la défenderesse soit condamnée à verser des dommages compensatoires, des dommages moraux et des dommages pour troubles et inconvénients, ainsi que des dommages punitifs. Tous les montants restent à déterminer.
Partager cet article:
Gmail
Outlook
