Des milliers d’employés des services de santé de Terre-Neuve-et-Labrador ont reçu un courriel intitulé « Fête de juin » leur promettant un jour de congé payé supplémentaire en reconnaissance de leur travail acharné pendant le déploiement du nouveau système numérique CorCare. Le 17 juin, ils ont découvert qu’il s’agissait en réalité d’un test de sensibilisation aux cyberattaques, déclenchant une vague d’indignation et de démissions parmi des professionnels déjà épuisés.
L’email, envoyé depuis un domaine externe et non officiel (remailmail.com), remerciait les employés pour leur professionnalisme et leur engagement, tout en leur offrant un jour de congé supplémentaire en cliquant sur un lien. Mais une fois le lien activé, un message indiquait qu’il s’agissait d’un test de sécurité. Plusieurs travailleurs, déjà surmenés et privés de congés pendant le déploiement de CorCare, ont qualifié cette opération de « cruelle » et « irrespectueuse ». Selon la Guardian, au moins un employé a démissionné après cet incident, qu’il a décrit comme « la goutte qui a fait déborder le vase » pour des professionnels déjà au bout du rouleau.
Un test de sécurité mal conçu, une promesse exploitée
Le courriel, envoyé par les services de santé de Terre-Neuve-et-Labrador (NL Health Services), visait à tester la vigilance des employés face aux tentatives de phishing. Pourtant, l’utilisation d’une promesse de jour de congé payé supplémentaire comme appât a été jugée « inappropriée » par les dirigeants eux-mêmes. Ron Johnson, directeur général par intérim de NL Health Services, a reconnu que « l’approche choisie dans cet exercice n’était pas appropriée » et a présenté des excuses aux employés, aux médecins et aux représentants syndicaux.
« Nous reconnaissons que l’approche prise dans cet exercice était inappropriée, et nous présentons nos sincères excuses aux employés, aux médecins et aux représentants syndicaux. »
Johnson a ajouté que l’organisation « réexamine comment de futures sensibilisations sont développées et communiquées » pour s’assurer qu’elles reflètent les valeurs d’un milieu de travail respectueux et soutenant. Pourtant, pour plusieurs syndicats, cette opération révèle une méconnaissance flagrante des réalités vécues par les travailleurs de la santé. « Utiliser la promesse d’un jour de congé comme appât pour un test de phishing était d’un mauvais goût flagrant », a déclaré Yvette Coffey, présidente du Syndicat des infirmières et infirmiers de Terre-Neuve-et-Labrador, à la CBC.
« Oui, nous avons entendu les préoccupations de nos membres, et franchement, je comprends pourquoi ils sont en colère. Les infirmières et autres professionnels de la santé ont travaillé sous une pression énorme ces dernières années, y compris des pénuries de personnel, l’épuisement professionnel, des restructurations organisationnelles et les défis liés au déploiement de CorCare. Utiliser la promesse d’un jour de congé payé comme leurre pour un exercice de phishing était d’un très mauvais goût. »
Les syndicats, dont le Syndicat canadien de la fonction publique (CUPE) et le Syndicat des professionnels de la santé affiliés (NAPE), ont dénoncé une opération qui exploite la fatigue et le désespoir des travailleurs. Sherry Hillier, présidente de CUPE Terre-Neuve-et-Labrador, a qualifié cette initiative de « dégoûtante » et a souligné que les employés « sont épuisés, brûlés et désespérés d’avoir des jours de congé ». « Comment quelqu’un peut-il, de bonne foi, concevoir un test de cybersécurité pour ses propres employés en connaissant leur situation ? » a-t-elle demandé dans un communiqué publié par CUPE.
Un contexte de crise : épuisement et pénurie de personnel
Le déploiement du système CorCare, lancé en 2021, a été particulièrement éprouvant pour les employés des services de santé. Plusieurs ont dû travailler des heures supplémentaires obligatoires, souvent au détriment de leurs congés et de leur vie personnelle. Les syndicats rapportent que des demandes de congés ont été systématiquement refusées pendant cette période, aggravant le sentiment d’injustice et de négligence.
Cette situation s’inscrit dans un contexte plus large de crise dans le secteur de la santé canadien, marqué par des pénuries de personnel, des salaires insuffisants et une charge de travail accrue. Selon les syndicats, les travailleurs ont déjà été soumis à des pressions extrêmes, et cette opération de phishing a été perçue comme une insulte supplémentaire.
Les cyberattaques ciblant les hôpitaux et les réseaux de santé sont en hausse, comme en témoigne l’attaque subie par Terre-Neuve-et-Labrador en 2021, qui avait paralysé les systèmes informatiques pendant des mois. Pourtant, les experts en cybersécurité soulignent que les tests de phishing doivent être conçus avec tact et respect, surtout dans un secteur aussi essentiel que la santé. « La sensibilisation à la cybersécurité est importante, mais elle doit être menée avec jugement et respect », a souligné Yvette Coffey. « Il existe de nombreuses façons de tester la vigilance face au phishing sans exploiter le stress réel, la fatigue et la frustration des professionnels de la santé. »
Les conséquences : démissions et perte de confiance
L’incident a déjà eu des conséquences concrètes : au moins un employé a démissionné, et plusieurs autres ont exprimé leur intention de quitter le secteur, selon Jerry Earle, président de l’Association des employés publics et privés de Terre-Neuve-et-Labrador. « Nos membres méritent mieux que d’être raillés avec la promesse d’un jour de congé après l’énorme travail et les sacrifices qu’ils ont consentis pour faire fonctionner CorCare », a-t-il déclaré.
« Nos membres méritent mieux que d’être taquinés avec la promesse d’un jour de congé après l’incroyable travail et les sacrifices qu’ils ont consentis pour faire fonctionner CorCare. »
Cette affaire met en lumière un problème plus large : la confiance entre les employeurs et les employés des services de santé est déjà fragilisée. Les syndicats exigent que des mesures soient prises pour garantir que de telles opérations ne se reproduisent pas, et que les dirigeants reconnaissent pleinement l’impact de leurs décisions sur le moral des travailleurs.
Que se passe-t-il maintenant ?
NL Health Services a promis d’enquêter sur les circonstances ayant permis l’envoi de cet email et de revoir ses protocoles de sensibilisation aux cyberattaques. Cependant, pour les syndicats et les employés, cette promesse d’enquête ne suffit pas. Ils exigent des actions concrètes, comme des excuses publiques plus fermes et des compensations pour les travailleurs affectés.
À plus long terme, cette affaire pourrait avoir des répercussions sur la capacité de NL Health Services à attirer et retenir des employés dans un secteur déjà en crise. Les professionnels de la santé, déjà surchargés et sous-payés, pourraient être encore plus réticents à rejoindre ou à rester dans une organisation perçue comme irrespectueuse et insensible à leurs besoins.
Cette situation rappelle aussi l’importance de la communication et de la sensibilité dans les milieux de travail, surtout dans des secteurs aussi critiques que la santé. Les tests de sécurité doivent être conçus avec soin pour ne pas aggraver les tensions existantes, surtout lorsque les employés sont déjà au bord de l’épuisement.
Pour les travailleurs de la santé de Terre-Neuve-et-Labrador, cette affaire est un symbole de leur lutte pour être reconnus et respectés. Leur colère n’est pas seulement dirigée contre un email mal conçu, mais contre des années de négligence et de surcharge de travail. La question maintenant est de savoir si cette erreur sera corrigée, ou si elle marquera le début d’une nouvelle crise de confiance.
Find more reporting in our Affaires section.