Cyberattaque à la CCQ: ce que travailleurs et employeurs doivent savoir

La Commission de la construction du Québec a confirmé, dans une mise à jour publiée le samedi 29 août 2026 à 13 h, que l'interruption de ses services est liée à une cyberattaque. L'incident de sécurité informatique a été détecté le lundi 24 août en début de matinée, puis la CCQ a fermé ses systèmes afin de limiter les impacts et permettre un rétablissement sécuritaire.

Pour les travailleurs, les employeurs et les personnes qui attendent un droit de travail, la situation soulève des questions très concrètes: est-ce que les services en ligne fonctionnent? Est-ce que les certificats expirés restent valides? Qu'arrive-t-il aux bassins de main-d'oeuvre? Est-ce que les réclamations MÉDIC passent encore? Est-ce qu'il faut s'inscrire à Equifax maintenant? Est-ce que les employeurs seront pénalisés pour les mouvements de main-d'oeuvre ou les rapports mensuels?

Voici une explication simple et structurée de ce que l'on sait, de ce qui continue, de ce qui est suspendu et des réflexes à adopter. Les informations ci-dessous doivent être relues avec la page officielle de la CCQ, car la situation évolue rapidement.

Ce qui est confirmé au 29 août 2026

La CCQ indique que l'avancement de l'enquête permet de confirmer qu'il s'agit d'une cyberattaque. Elle précise que ses services en ligne et téléphoniques demeurent fermés pour le moment, pendant que ses équipes travaillent au rétablissement sécuritaire des systèmes.

La CCQ dit aussi travailler sur un plan de retour progressif des services. Cela signifie qu'il ne faut pas nécessairement s'attendre à un retour complet d'un seul coup. Certains services pourraient revenir avant d'autres, selon les vérifications de sécurité en cours.

La page officielle d'interruption temporaire des services de la CCQ demeure la source à suivre. C'est elle qui contient la liste des services d'urgence, la foire aux questions et les informations opérationnelles les plus importantes pour les travailleurs et les employeurs.

Ce qu'il ne faut pas conclure trop vite

Une cyberattaque confirmée ne veut pas automatiquement dire que tous les renseignements personnels ont été volés. La CCQ indique que l'enquête sur la nature des données touchées est toujours en cours. Si elle détermine que des renseignements personnels sensibles d'une personne ont été pris, elle doit communiquer directement avec cette personne.

La nuance est importante. Il faut prendre la situation au sérieux, mais éviter de transformer l'incertitude en certitude. À ce stade, le fait confirmé est l'incident de cybersécurité et la fermeture des systèmes. L'ampleur exacte de l'atteinte aux données demeure en analyse selon la CCQ.

La CCQ affirme également n'avoir, à ce jour, aucune indication que l'incident soit lié au Chantier numériccq. Elle précise aussi que l'incident de 2023 concernait un fournisseur externe de la CCQ pour l'administration de certaines réclamations d'assurance de MÉDIC Construction, et non les systèmes de la CCQ.

Pourquoi cette panne touche directement l'industrie

La CCQ n'est pas un simple portail administratif. Ses services touchent l'accès à l'industrie, les droits de travail, les mouvements de main-d'oeuvre, les rapports mensuels, les lettres d'état de situation, les assurances, les réclamations, les examens, les bassins et plusieurs obligations des employeurs.

Quand ces services ralentissent ou deviennent indisponibles, l'effet se rend rapidement sur les chantiers. Un employeur peut devoir embaucher, déclarer une mise à pied, confirmer une lettre d'état de situation ou régulariser un dossier. Un travailleur peut attendre un certificat, vérifier sa couverture MÉDIC, déposer une réclamation ou surveiller ses renseignements personnels.

C'est pour cette raison que la crise doit être lue en deux volets: le volet opérationnel, qui concerne les services et les démarches, et le volet protection des renseignements personnels, qui concerne le risque d'identité, de fraude et de crédit.

Droits de travail qui expirent le 31 août ou le 1er septembre

Un point important concerne les certificats de compétence, avec ou sans garantie d'emploi, ainsi que les exemptions à l'obligation de détenir un certificat de compétence qui viennent à échéance les 31 août et 1er septembre 2026. La CCQ indique que leur validité est prolongée pour une période additionnelle de 30 jours.

La vulgarisation est simple: si votre droit de travail arrive à échéance précisément le 31 août ou le 1er septembre 2026, la CCQ indique que vous êtes autorisé à continuer à travailler pendant 30 jours. Aucune démarche n'est requise immédiatement de votre part. Lorsque les services seront rétablis, il faudra toutefois communiquer avec la CCQ pour régulariser la situation.

Ce point est particulièrement important pour les travailleurs et les employeurs qui gèrent des entrées sur chantier. Il ne remplace pas les règles habituelles d'accès à l'industrie, mais il crée une mesure temporaire pour éviter qu'une panne de système bloque inutilement des personnes déjà visées par ces échéances. Sur les enjeux d'accès sans carte ou avec statut à clarifier, le guide ConstruMD sur les vérifications avant d'embaucher sans carte CCQ reste utile pour comprendre pourquoi la conformité doit toujours être validée.

Bassins de main-d'oeuvre: ce qui change pendant l'interruption

La CCQ indique que, pour les bassins qui étaient ouverts avant le lundi 24 août, les demandes de droit de travail effectuées avant cette date seront traitées dans les prochains jours. Pour les bassins qui étaient ouverts lors de la fermeture des services, la CCQ dit qu'elle s'assurera de reprendre toutes les journées qui étaient prévues.

En revanche, les services en ligne étant indisponibles, la CCQ indique qu'il n'est pas possible de procéder à l'ouverture de nouveaux bassins pour le moment. L'organisation prévoit communiquer de nouvelles informations lorsque les conditions permettront la reprise.

Pour les candidats et employeurs qui suivent les ouvertures de bassins, cette précision est centrale. Elle distingue les demandes déjà faites avant le 24 août des nouveaux bassins qui ne peuvent pas être ouverts tant que les services sont indisponibles. L'article ConstruMD sur les bassins CCQ, les ouvertures et la garantie de 150 heures peut aider à replacer ces mesures temporaires dans le fonctionnement normal des bassins.

Employeurs: mouvements de main-d'oeuvre et rapports mensuels

La CCQ indique que l'obligation de déclarer les mouvements de main-d'oeuvre, comme les embauches, mises à pied et autres mouvements, est suspendue jusqu'à la reprise des services, sans conséquence administrative.

Pour les employeurs, cela ne veut pas dire qu'il faut cesser de tenir ses dossiers internes. Au contraire, il devient encore plus important de conserver les dates, les noms, les mouvements réels, les communications et les preuves. Lorsque les services reviendront, il faudra pouvoir remettre les informations à jour correctement.

Pour les rapports mensuels, la CCQ indique que les services permettant de modifier ou d'amender un rapport mensuel sont actuellement indisponibles. Aucune action n'est requise pour le moment et les modalités seront communiquées lorsque les services seront rétablis. Elle ajoute qu'elle prendra les mesures nécessaires afin d'éviter tout préjudice à sa clientèle pendant cette période exceptionnelle.

Cette distinction compte. La suspension d'une obligation administrative pendant une interruption ne supprime pas la responsabilité de garder une trace claire de ce qui se passe dans l'entreprise. Pour les employeurs, les données de paie, d'heures et de mouvements doivent rester propres même si la transmission officielle attend. L'article ConstruMD sur la paie CCQ et les retenues rappelle pourquoi les informations liées au salaire et aux heures doivent être comprises avec précision.

MÉDIC Construction: ce qui fonctionne encore

La CCQ indique que l'application MÉDIC et le site MÉDIC en ligne ne sont pas accessibles pour le moment. Toutefois, les réclamations soumises par les dentistes et les pharmaciens continuent d'être reçues et traitées.

Si une réclamation ne peut pas être transmise pendant l'interruption, la CCQ recommande de conserver les reçus et documents justificatifs afin de pouvoir les soumettre lorsque les services seront de nouveau accessibles. Elle précise aussi que le service d'urgence médicale à l'étranger et le programme Construire en santé demeurent accessibles pendant cette période.

Pour les travailleurs qui doivent comprendre leur couverture et leurs remboursements, l'article ConstruMD sur l'assurance dentaire MÉDIC Construction reste pertinent, surtout si des reçus doivent être conservés avant une soumission plus tard.

Retraite, relevés et examens

La CCQ indique que le paiement de la rente mensuelle de retraite est maintenu. Les personnes retraitées qui reçoivent déjà une rente devraient continuer de la recevoir, y compris les nouveaux versements de rente prévus au 1er septembre.

La CCQ indique aussi que les relevés de retraite seront envoyés par la poste. Pour les examens de qualification, la foire aux questions précise que les examens du 31 août sont maintenus, sauf avis contraire communiqué directement aux personnes concernées. Les examens prévus le 1er septembre ne sont pas maintenus, et les personnes concernées auraient été avisées.

Comme ces informations peuvent évoluer, les personnes visées par un examen doivent surveiller les communications directes de la CCQ. Il ne faut pas se fier uniquement à une capture d'écran ou à une information transmise par un collègue.

Protection Equifax: qui est couvert et quoi attendre

La CCQ offrira, par mesure préventive, un service de surveillance du crédit et de protection contre le vol d'identité d'Equifax à l'ensemble de ses clients, clientes et employés, même sans démonstration que des renseignements personnels ont été pris.

La foire aux questions précise que cette protection sera offerte gratuitement pour une période de 24 mois à partir de l'inscription. Elle vise les personnes physiques dont les renseignements personnels pourraient être détenus par la CCQ, notamment les travailleurs, les employeurs, les personnes d'entreprises ainsi que les employés actuels et anciens employés de la CCQ.

Point pratique important: la CCQ demande d'attendre la communication qui sera envoyée par courriel ou par la poste avant de communiquer avec Equifax. Sans ces informations, le dossier ne pourra pas être traité correctement selon la CCQ. Si une personne bénéficie déjà d'un service Equifax, la couverture offerte par la CCQ s'ajoutera à celle déjà en place.

Que faire maintenant comme travailleur?

La première chose à faire est de suivre les mises à jour officielles de la CCQ. La deuxième est de conserver les preuves: reçus MÉDIC, documents de travail, avis reçus, courriels, captures des communications officielles et dates importantes.

La troisième est de surveiller ses comptes bancaires, cartes de crédit et dossiers en ligne. La CCQ recommande de surveiller les comptes et de signaler toute opération non autorisée à son institution financière. Elle recommande aussi de changer régulièrement ses mots de passe, d'éviter de réutiliser le même mot de passe sur plusieurs plateformes et d'activer l'authentification à deux facteurs lorsque disponible.

La Commission d'accès à l'information du Québec donne aussi des réflexes utiles en cas de fuite de renseignements personnels ou de vol d'identité, notamment documenter les preuves, se méfier des appels ou messages suspects et envisager le gel du dossier de crédit auprès d'Equifax et TransUnion lorsque la situation le justifie.

Que faire maintenant comme employeur?

L'employeur devrait d'abord séparer les urgences réelles des suivis ordinaires. La CCQ indique que seules les demandes urgentes seront répondues et traitées en priorité. Les demandes qui peuvent attendre devraient être conservées et préparées pour la reprise des services.

Ensuite, il faut maintenir un registre interne propre: embauches, mises à pied, mouvements de main-d'oeuvre, heures, paies, rapports à modifier, demandes en attente, preuves d'envoi, dates de communication et impacts sur les chantiers. Le but est d'être capable de régulariser rapidement les dossiers lorsque les systèmes reviendront.

Enfin, il faut informer les équipes sans alimenter la confusion. Les travailleurs doivent savoir où trouver l'information officielle, quoi conserver et quoi ne pas faire. Une communication interne claire évite les rumeurs sur les paies, les droits de travail, les bassins ou les données personnelles.

À retenir

La cyberattaque de la CCQ crée une situation exceptionnelle, mais plusieurs mesures temporaires sont déjà précisées. Les services en ligne et téléphoniques demeurent fermés pour le moment. Le retour à la normale n'a pas de date précise, mais la CCQ évalue un retour progressif de certains services.

Les droits de travail qui arrivent à échéance les 31 août et 1er septembre 2026 sont prolongés de 30 jours. Les demandes liées aux bassins déjà ouvertes avant le 24 août sont traitées selon les indications de la CCQ, mais aucune ouverture de nouveaux bassins n'est possible tant que les services en ligne sont indisponibles. Les mouvements de main-d'oeuvre des employeurs sont suspendus jusqu'à la reprise, sans conséquence administrative.

Pour les renseignements personnels, la bonne posture est la vigilance sans panique. L'enquête se poursuit, mais la CCQ offrira une protection Equifax gratuite de 24 mois aux clientèles visées. Les travailleurs et employeurs doivent attendre les instructions officielles, surveiller leurs comptes, conserver leurs preuves et éviter les démarches improvisées.