Billetterie en ligne : pourquoi la sécurité n'est pas une option

Quand on choisit une plateforme de billetterie ou de réservation, on regarde d'abord la page de vente, les frais par transaction et la facilité de prise en main. La sécurité vient rarement en tête de liste. On suppose qu'elle est réglée, un peu comme on suppose que l'édifice qui nous accueille respecte le code du bâtiment.

Pourtant, votre billetterie contient une bonne partie de ce que votre organisation a de plus précieux : le nom, le courriel, le téléphone et souvent l'adresse de chacun de vos clients, plus l'historique de ce qu'ils ont acheté, quand et pour qui. Pour un pirate, c'est une cible très rentable. Et quand elle tombe, c'est votre nom que vos clients retiennent, pas celui de votre fournisseur.

Deux incidents qui ont marqué le milieu

xPayrience (Québec, 2026) : 414 000 Québécois exposés

Le 11 juillet 2026, xPayrience, une plateforme de billetterie des Cantons-de-l'Est spécialisée dans les événements et les activités touristiques, a subi une fuite de données. Un fichier contenant les renseignements de 413 935 clients s'est ensuite retrouvé sur le Web clandestin. On y trouvait des noms, des courriels, des numéros de téléphone et des adresses postales complètes, ainsi que des informations liées à quelque 476 000 billets et 402 000 réservations d'hébergement.

Les organisations touchées sont bien connues ici : Foresta Lumina au Parc de la Gorge de Coaticook, ComediHa!, des équipes de la LHJMQ comme les Saguenéens de Chicoutimi et les Foreurs de Val-d'Or, le Grand Prix Ski-Doo de Valcourt, des campings et des sites d'hébergement.

Une bonne nouvelle quand même : aucune donnée de carte de crédit n'a été compromise, parce que les paiements passaient par un processeur spécialisé (Stripe). Ce détail compte, et on y revient plus bas.

Ticketmaster (2024) : la plus grande fuite de l'histoire de la billetterie

En mai 2024, le groupe ShinyHunters a mis en vente les données de 560 millions de clients présumés de Ticketmaster, soit 1,3 téraoctet d'informations, pour 500 000 $ US. Live Nation, sa maison mère, a confirmé l'accès non autorisé. Les données comprenaient des noms, des adresses, des courriels, des numéros de téléphone et des informations partielles de carte de crédit.

La cause n'avait rien d'une technique sophistiquée. Les pirates ont utilisé des identifiants volés pour se connecter à une base de données hébergée chez un fournisseur infonuagique tiers (Snowflake), et ce compte n'était pas protégé par l'authentification à plusieurs facteurs.

Ticketmaster vend des billets partout au Canada. Des Canadiens se sont donc retrouvés dans ces fichiers sans avoir jamais choisi la plateforme : ils avaient simplement acheté un billet de spectacle.

Ce que ces incidents ont en commun

1. La taille ne protège pas. Un géant nord-américain et une PME québécoise ont été touchés à deux ans d'intervalle. Les pirates ne choisissent pas leurs cibles selon leur notoriété : ils cherchent celles qui sont les plus faciles à atteindre et qui détiennent le plus de données.
2. Un fournisseur touché, ce sont des centaines d'organisations touchées. Quand une billetterie tombe, tous les organismes qui s'en servent tombent avec elle. Aucun des festivals, campings et sites touristiques québécois touchés par la fuite de xPayrience n'avait commis de faute. Ils avaient simplement confié leurs données au mauvais endroit, au mauvais moment.
3. La réputation est la vôtre. Vos clients ne savent pas forcément quelle plateforme vous utilisez. Le courriel de notification, les questions au téléphone et la méfiance au prochain achat, c'est vous qui les gérez.
4. Une attaque ne vole pas que des données : elle peut arrêter vos ventes. Un rançongiciel qui chiffre les serveurs d'un fournisseur met toute sa billetterie hors service. En pleine saison, quelques jours sans vente en ligne, ce sont des revenus perdus, des files au guichet et une équipe débordée.
5. Les données dites « non sensibles » ont de la valeur. Un nom, un courriel, un téléphone et une adresse, jumelés à un historique d'achat, suffisent pour monter un hameçonnage très convaincant. Par exemple : « Bonjour Julie, votre billet pour Foresta Lumina du 14 août nécessite une vérification de paiement… » Ce genre de courriel frauduleux est beaucoup plus crédible qu'un pourriel générique.
6. Les failles viennent souvent de gestes de base. Il manquait une double authentification, un accès n'était pas surveillé, une intrusion est passée inaperçue pendant des semaines. La sécurité, c'est d'abord une discipline au quotidien.

L'importance d'une surveillance constante

Depuis que l'intelligence artificielle permet d'écrire du code en quelques heures, le nombre de nouveaux joueurs (et de solutions maison développées à l'interne pour gérer ses billets) a beaucoup augmenté. C'est une bonne nouvelle pour l'innovation. C'en est une moins bonne pour la sécurité : plus il se crée de plateformes improvisées, plus il y aura de fuites de données.

Développer un logiciel est une chose. Le surveiller en temps réel en est une autre. Au Canada, même un nom ou une adresse courriel est un renseignement personnel à protéger. Si vous pensez faire une économie en vous faisant développer une solution maison, ajoutez à votre calcul le coût de cette surveillance : pas une vérification de temps en temps, mais une veille contre les intrusions tous les jours de l'année : y compris les soirs de spectacle et les longs week-ends, précisément les moments que les attaquants choisissent.

Chez PRÉSENCE, nous avons développé cette expertise. Les tentatives d'intrusion sont surveillées en tout temps, et nous nous appuyons sur les mêmes services de détection et de protection que de grandes plateformes comme Netflix ou Amazon Prime Video. C'est un travail entièrement invisible pour vos clients, et c'est exactement le but.

Au Québec, la Loi 25 vous rend responsable

Depuis l'entrée en vigueur complète de la Loi 25, une organisation qui recueille des renseignements personnels en est responsable, même quand elle confie leur traitement à un fournisseur. En cas d'incident présentant un risque de préjudice sérieux, vous devez notamment :

• aviser la Commission d'accès à l'information ;
• aviser les personnes concernées ;
• tenir un registre des incidents.

Les sanctions administratives peuvent atteindre 10 M$ ou 2 % du chiffre d'affaires mondial, et les amendes pénales 25 M$ ou 4 %. Même sans aller jusque-là, gérer un incident coûte cher : temps de l'équipe, communications, conseils juridiques, clients perdus.

Choisir une billetterie sécuritaire, c'est donc aussi une question de conformité.

Huit questions à poser à votre fournisseur de billetterie

1. Où sont stockées les données de cartes de crédit ? La bonne réponse est « nulle part chez nous ». Les paiements devraient passer par un processeur certifié PCI DSS (Stripe, Moneris, Global Payments, etc.), et la plateforme ne devrait jamais conserver les numéros de carte. Dans le cas xPayrience, c'est précisément ce qui a évité le pire.
2. L'accès à l'administration est-il protégé par l'authentification à plusieurs facteurs ? La fuite de Ticketmaster aurait pu être évitée par cette seule mesure.
3. Où les données sont-elles hébergées, et chez qui ? Un grand fournisseur infonuagique reconnu offre une base solide, à condition qu'il soit bien configuré.
4. Qui surveille la plateforme, et quand ? Demandez comment les tentatives d'intrusion sont détectées, qui reçoit l'alerte et en combien de temps. C'est la question qui distingue un logiciel livré d'un service réellement exploité.
5. Les données sont-elles sauvegardées, à quelle fréquence, et peut-on les restaurer ? C'est votre filet de sécurité contre un rançongiciel.
6. Toutes les communications sont-elles chiffrées (HTTPS) ? C'est le minimum absolu, sur la page publique comme dans l'administration.
7. Que se passe-t-il en cas d'incident ? Y a-t-il un processus clair pour vous aviser rapidement, afin que vous puissiez respecter vos propres obligations prévues par la Loi 25 ?
8. Pouvez-vous récupérer vos données, puis les faire supprimer, si vous quittez la plateforme ? Des données qui dorment chez un ancien fournisseur restent un risque.

Un fournisseur sérieux répondra à ces questions sans détour. S'il hésite, c'est déjà une réponse.

Et de votre côté ?

La plateforme ne fait pas tout. Quelques bonnes pratiques réduisent beaucoup le risque :

• Donnez à chaque membre de l'équipe son propre compte : pas de mot de passe partagé sur un post-it au comptoir.
• Retirez les accès des employés saisonniers dès la fin de leur contrat.
• Activez la double authentification partout où c'est possible.
• Évitez d'exporter vos listes de clients dans des fichiers qui traînent sur des postes ou dans des courriels.
• Ne recueillez que les renseignements dont vous avez vraiment besoin. Une donnée que vous n'avez pas ne peut pas fuir.

La position de PRÉSENCE

Chez PRÉSENCE, la sécurité fait partie du produit de base, pas d'une option payante :

• Aucune donnée de carte stockée chez nous. Les paiements sont traités directement par des processeurs certifiés comme Stripe, Moneris ou Global Payments.
• Surveillance continue des intrusions, avec les mêmes services de détection que ceux employés par de grandes plateformes mondiales.
• Hébergement sur Amazon Web Services, l'une des infrastructures infonuagiques les plus éprouvées au monde.
• Sauvegarde quotidienne de toutes les données de la plateforme.
• Chiffrement HTTPS de bout en bout, sur vos pages de réservation comme dans votre espace d'administration.
• Outils de conformité à la Loi 25, dont la gestion du consentement de vos visiteurs.

Aucune plateforme ne peut promettre un risque nul, et celles qui le promettent devraient vous inquiéter. Ce qu'on peut vous promettre, c'est de prendre ce risque au sérieux chaque jour, parce que vos clients vous font confiance, et que vous nous faites confiance.