Vol massif de données de Desjardins Cinq arrestations, dont le suspect principal

Après les arrestations de la police de Laval mercredi, la Sûreté du Québec (SQ) a passé les menottes au suspect numéro un dans l’affaire du vol de données chez Desjardins, Sébastien Boulanger-Dorval. Des accusations visent aussi sept autres personnes dans le cadre du projet Portier sur la fuite de données ayant potentiellement touché 9,7 millions de clients. Deux d’entre elles sont considérées comme « en cavale ».

Sébastien Boulanger-Dorval, 42 ans, est accusé notamment d’avoir « frauduleusement obtenu des services d’ordinateur », d’avoir eu en sa possession des « renseignements sur une autre personne » dans l’intention de commettre un crime, d’avoir retransmis ces données, ainsi que de fraude, entre octobre 2016 et mai 2019.

La SQ a aussi mis la main au collet de Jean-Loup Leullier-Masse, 32 ans, François Baillargeon-Bouchard, 35 ans, Charles Bernier, 31 ans, et Laurence Bernier, 29 ans. Ils doivent comparaître pour répondre des mêmes chefs d’accusation que Boulanger-Dorval, sauf le premier.

Trois suspects recherchés, dont deux « en cavale à l’étranger »

Mathieu Joncas, 38 ans, n’a pas encore été localisé et est recherché par la police.

La SQ a aussi lancé des mandats d’arrêt à l’encontre de Juan Pablo Serrano, 38 ans, et de Maxime Paquette, 38 ans. « En cavale à l’étranger, ces derniers font désormais partie des criminels les plus recherchés au Québec », a déclaré la SQ.

Selon les mandats d’arrêt contre eux, Paquette habite à Playa del Carmen, au Mexique, tandis que le lieu de résidence de Serrano est « inconnu ». Les deux hommes sont accusés de fraude de plus de 5000 $ et d’avoir eu en leur possession des renseignements confidentiels sur autrui dans le but de commettre un crime, de 2017 à 2020.

Dans un deuxième mandat, Paquette est aussi accusé d’avoir eu en sa possession de tels renseignements plus tard, en juin 2021.

Le projet Portier a nécessité « plus de 25 perquisitions », « plus de 160 rencontres de témoins » et la saisie de « 120 items informatiques ».

« Vous savez, 9,7 millions de personnes potentiellement fraudées, c’est une enquête de très grande envergure, de très grande complexité pour la SQ », a souligné le porte-parole Benoît Richard, en conférence de presse.

La police a notamment dû traverser un laborieux protocole pour avoir accès à la preuve recueillie dans les locaux mêmes de Desjardins en février 2021, sans compromettre la confidentialité des données des clients ni violer le privilège avocat-client, par exemple.

La SQ a tenu à rappeler que les renseignements dérobés circulent toujours.

La police appelle donc la population à « rester vigilante ».

Trafic de renseignements

Selon ce que les documents policiers déposés en cour nous ont permis d’apprendre jusqu’à maintenant, Sébastien Boulanger-Dorval a reconnu avoir subtilisé des données sur des clients de Desjardins pendant des mois, lors de l’enquête interne du Mouvement en 2019. Il aurait ensuite vendu les informations volées sur des millions de personnes à Jean-Loup Leullier-Masse, un prêteur privé de Montmagny alors associé en affaires avec Charles Bernier.

Leullier-Masse aurait ensuite revendu une partie des informations à Mathieu Joncas, un courtier hypothécaire déjà condamné en 2022 par le chien de garde de la profession à des amendes totalisant 36 000 $ et 420 jours de suspension. L’homme d’affaires, qui est aussi prêteur privé, a admis avoir acquis des renseignements sur « 150 000 à 200 000 » clients de Desjardins devant le comité de discipline de l’Organisme d’autoréglementation du courtage immobilier du Québec (OACIQ).

Son associé, le courtier en assurances François Baillargeon-Bouchard, a écopé d’amendes totales de 40 000 $ pour le rachat de données sur 40 000 clients et entrave à une enquête de l’Autorité des marchés financiers.

Quant à Juan Pablo Serrano, fraudeur récidiviste, la SQ le soupçonne d’avoir réalisé des fraudes à l’aide de renseignements volés à Desjardins, avec la complicité de Maxime Paquette, son colocataire à l’époque, selon des documents policiers déposés en cour pour obtenir des mandats de perquisition ces dernières années.

En septembre 2019, la police a saisi chez eux un ordinateur contenant pas moins de 3,85 millions de lignes de données sur des clients de Desjardins.

En point de presse, la SQ a précisé que le vol de données avait permis des fraudes de « plusieurs millions ».

Arrestations lavalloises

Mercredi, le Service de police police de Laval a d’ailleurs annoncé l’arrestation de trois personnes en lien avec des fraudes totalisant 8,9 millions, réalisées par AccèsD grâce à des informations issues du vol de données, dans le cadre de son projet Glaive. Il est à l’origine de l’enquête principale Portier de la SQ, qui s’occupe du vol de données en lui-même. Une quatrième personne était toujours recherchée au moment de la conférence de presse sur cette opération.

Ce sont les premiers développements majeurs après l’annonce d’un vol massif de données chez Desjardins, le 20 juin 2019.

Le Mouvement avait d’abord annoncé s’être fait dérober des données sur 2,9 millions de clients. Il a ensuite revu ce chiffre à la hausse plusieurs fois. En décembre 2020, les commissions de protection des renseignements personnels ont conclu que le vol avait potentiellement touché 9,7 millions d’individus et d’entreprises.

Desjardins salue le travail des policiers, a dit le porte-parole Jean-Benoît Turcotti. « Nous tenons à assurer aux autorités qu’elles bénéficient de notre entière collaboration dans la suite des procédures. »