Ashley Madison : le site d'infidélité né à Toronto et le piratage qui l'a rattrapé

Le 24 août 2015, un lundi, la police de Toronto a tenu une conférence de presse sur une affaire que les enquêteurs avaient baptisée « projet Unicorn ». Le surintendant d'état-major par intérim Bryce Evans y a évoqué deux suicides non confirmés possiblement liés à la fuite, des tentatives d'extorsion visant les personnes exposées et une récompense de 500 000 $ offerte par l'entreprise ^[5]. Il a aussi précisé, en anglais, que la nature du site n'intéressait pas la police : « Police don't care about the nature of the website » ^[5].

Qu'est-ce qu'Ashley Madison ?

Ashley Madison est un service en ligne canadien destiné, à l'origine, aux personnes mariées ou en couple qui cherchent une relation hors de leur union. Fondé en 2001 par Darren J. Morgenstern, le site a été mis en ligne en janvier 2002 ^[1][8]. Il a ensuite appartenu à Avid Life Media, une société établie à Toronto, dirigée à partir de 2007 par Noel Biderman ^[1][2][8].

L'entreprise s'est fait connaître par une stratégie de provocation assumée. Son slogan d'origine, qui invitait ouvertement à l'aventure extraconjugale, a suscité des refus de publicité, dont un différend en 2009 sur des affiches dans le métro de Toronto ^[1]. À Singapour, l'autorité de régulation des médias a refusé le service en 2013 et 2014 au motif qu'il favorisait l'adultère et méprisait les valeurs familiales ^[1].

L'affaire touche un pays où le couple a beaucoup changé en un demi-siècle, au Québec surtout, comme le montre l'article sur le recul du mariage au Québec. Le service d'Avid Life Media, présent dans plus de 50 pays, reposait sur la confidentialité promise à ses utilisateurs, et c'est elle que la fuite de 2015 a fait tomber ^[3][4].

Repères chronologiques

1. 2002Lancement du site, fondé par Darren J. Morgenstern et exploité ensuite par Avid Life Media, à Toronto.
2. 15 juillet 2015Le groupe The Impact Team annonce le piratage et exige la fermeture du site.
3. 18 août 2015Publication en ligne des données d'environ 36 millions de comptes.
4. 24 août 2015La police de Toronto (projet Unicorn) évoque deux suicides non confirmés liés à la fuite.
5. 28 août 2015Noel Biderman quitte la direction d'Avid Life Media.
6. 22 août 2016Rapport conjoint du Commissariat canadien et du commissaire australien : mesures de sécurité insuffisantes.
7. 14 décembre 2016Règlement avec la FTC, 13 États et le district de Columbia : 1,6 million de dollars américains.
8. 24 février 2026Le site abandonne l'étiquette de rencontres pour personnes mariées et se présente comme service de « rencontres discrètes ».

Sur quoi reposait le modèle de l'entreprise ?

Le modèle d'Avid Life Media reposait sur l'adhésion payante d'utilisateurs à qui l'entreprise promettait la confidentialité. Avant la fuite, elle revendiquait plus de 37 millions d'utilisateurs, et plus de 5 millions de femmes ^[8]. En février 2019, elle avançait le chiffre de 60 millions de membres ^[1]. Ces chiffres sont ceux de l'entreprise : aucune autorité publique ne les a vérifiés.

Plusieurs pratiques commerciales ont été mises en cause après 2015. Le site facturait 19 $ CA pour la « suppression complète » d'un profil, alors que des comptes supprimés laissaient des données d'identification, si bien que des utilisateurs qui avaient payé ont tout de même été identifiés ^[1][3]. Le Commissariat à la protection de la vie privée a relevé que ces frais n'étaient pas annoncés à l'avance ^[3].

La question des profils fictifs a pesé plus lourd. La Federal Trade Commission américaine a reproché à l'entreprise d'avoir fait créer par son personnel de faux profils pour attirer des clients, sans que ceux-ci puissent les distinguer des vrais ^[6]. Dès 2012, une ancienne employée, Doriana Silva, avait poursuivi l'entreprise en affirmant avoir été chargée de rédiger de tels profils ; un tribunal ontarien a rejeté sa demande en 2015 ^[1].

Les analyses publiées après la fuite ont relancé la controverse. La journaliste Annalee Newitz, de Gizmodo, a décrit plus de 70 000 robots chargés d'envoyer de faux messages féminins ^[1]. Le 5 juillet 2016, le site a aussi supprimé une formule de « garantie » qu'il proposait jusque-là ^[1]. L'entreprise a contesté les accusations sur les robots et a affirmé en juillet 2016, en s'appuyant sur un rapport du cabinet EY, que les robots avaient été retirés à la fin de 2015 ^[1][7].

Que s'est-il passé en juillet et en août 2015 ?

Le piratage d'Ashley Madison a été annoncé le 15 juillet 2015 par un groupe se présentant comme The Impact Team, qui exigeait la fermeture du site ^[1][4]. Faute d'obtenir satisfaction, le groupe a diffusé les premiers noms le 22 juillet, puis l'ensemble des données le 18 août, avant de publier le 20 août des courriels internes de Noel Biderman ^[1][4].

Selon le rapport des commissaires canadien et australien, la fuite a touché environ 36 millions de comptes d'utilisateurs ^[3][4]. Elle contenait des renseignements de profil, des renseignements de compte, comme les adresses courriel, les questions de sécurité et les mots de passe chiffrés, et, pour une partie des utilisateurs, des données de facturation ^[3]. Le rapport précise que seuls les quatre derniers chiffres des cartes de paiement étaient conservés ^[3].

L'ampleur internationale de la fuite a frappé les autorités. Ashley Madison comptait des utilisateurs dans plus de 50 pays, et le rapport australien chiffre à environ 0,67 million les personnes concernées en Australie ^[4]. Les sources officielles consultées ne donnent pas le nombre de Canadiens ni de Québécois exposés.

La fuite a eu des effets immédiats sur la direction. Le 28 août 2015, Avid Life Media a annoncé le départ de Noel Biderman « d'un commun accord », en précisant que l'équipe de direction assurerait l'intérim ^[2]. Une semaine plus tôt, deux cabinets ontariens, Charney Lawyers et Sutts, Strosberg, avaient lancé une action collective nationale contre Avid Life Media et Avid Dating Life ^[2][15]. Le HuffPost Canada la chiffrait à 760 millions de dollars, Global News à 578 millions ; le second montant correspond vraisemblablement à une conversion en dollars américains, mais aucun des deux articles ne précise la devise ^[2][15]. L'entreprise a maintenu ses services pendant la crise et dénoncé l'attaque de criminels contre ses activités et la vie privée de ses membres ^[2].

Quelles ont été les conséquences pour les personnes exposées ?

Pour les personnes dont le nom figurait dans les fichiers, les conséquences ont été d'abord personnelles : exposition publique, chantage et, selon la police, détresse grave. Lors de sa conférence de presse, Bryce Evans a décrit tout un écosystème criminel né de la fuite, des arnaques qui promettaient d'effacer des données en ligne aux tentatives d'extorsion ^[5].

La police de Toronto a fait état de deux suicides non confirmés dans la région, et la nuance a souvent disparu dans les reprises médiatiques ^[5]. Maclean's a relevé que le mot « non confirmés » avait été régulièrement omis ^[5]. Selon Wikipédia, l'un des suicides rattachés plus tard à la fuite aurait plutôt été lié au stress professionnel ^[1].

L'adresse courriel a joué un rôle particulier dans ces dommages. Avid Life Media ne vérifiait pas les adresses fournies à l'inscription, si bien que des personnes qui n'avaient jamais utilisé le site ont pu être associées à tort à la liste ^[3][4]. Les commissaires ont rejeté l'argument selon lequel l'exactitude des données ne protégeait que les utilisateurs ^[3].

L'enquête criminelle n'a pas abouti publiquement. En 2024, les articles publiés lors de la sortie de la série documentaire de Netflix Ashley Madison: Sex, Lies & Scandal présentaient encore The Impact Team comme un groupe inconnu, sans mentionner d'arrestation ^[1][8]. Aucune source consultée pour cet article ne fait état de poursuites contre les auteurs du piratage. La série, mise en ligne le 15 mai 2024, a ramené l'affaire dans l'actualité près de neuf ans après les faits, en rappelant que le site existait toujours ^[1][8].

Qu'a conclu le Commissariat à la protection de la vie privée en 2016 ?

Le 22 août 2016, le Commissariat à la protection de la vie privée du Canada et le commissaire australien à l'information ont conclu qu'Avid Life Media avait enfreint la loi fédérale canadienne, la LPRPDE, et la loi australienne sur la protection de la vie privée ^[3][4]. Leur rapport, numéroté LPRPDE 2016-005, est le fruit d'une enquête conjointe des deux pays ^[3].

Les commissaires ont insisté sur la nature des renseignements. Une association, même fausse, avec un site de ce genre peut nuire gravement à la réputation, et des données aussi délicates attirent les criminels, ce qui augmente les risques ^[13]. Le premier reproche porte donc sur la sécurité. L'entreprise n'avait pas de cadre de sécurité de l'information documenté, et plusieurs mesures étaient insuffisantes ou absentes, notamment une authentification à un seul facteur pour l'accès à distance au réseau et une mauvaise gestion des clés et des mots de passe ^[3][4]. Vu la sensibilité des données, les commissaires ont écrit que « le niveau des mesures de sécurité aurait dû être très élevé » ^[3].

Le deuxième reproche vise la conservation des données. Avid Life Media gardait indéfiniment les profils désactivés et inactifs, ce que les commissaires ont jugé contraire aux deux lois ^[3]. L'entreprise faisait valoir que 99,9 % des utilisateurs qui désactivaient leur compte le réactivaient dans les 29 jours ; la conservation après suppression a été admise pour prévenir la fraude, mais ramenée de 12 à 6 mois ^[3].

Le rapport critique aussi les marques de confiance affichées sur le site. Selon les commissaires, elles donnaient l'impression d'un niveau de sécurité élevé, sans dégager l'entreprise de ses obligations ^[3]. Le commissaire australien a jugé fondée, mais résolue sous conditions, une dernière préoccupation sur la transparence envers les utilisateurs ^[4]. Avid Life Media a signé une entente de conformité avec le Commissariat canadien et un engagement exécutoire avec l'Australie ^[3][4]. Elle devait adopter une politique de conservation d'ici le 31 mars 2017, un cadre de sécurité complet d'ici le 31 mai 2017 et faire produire un rapport indépendant d'ici le 31 juillet 2017 ^[3].

Quelles leçons le Commissariat a-t-il tirées pour les entreprises ?

Le Commissariat a tiré de l'affaire une série de leçons générales, publiées le 23 août 2016 à l'intention de toutes les organisations qui détiennent des renseignements personnels ^[14]. La première consiste à évaluer tous les préjudices possibles d'une atteinte, au-delà des pertes financières : la réputation, les relations, la sécurité et l'emploi peuvent être touchés, et ces torts se réparent mal ^[14].

Le communiqué du même jour détaille les failles relevées. Les enquêteurs ont trouvé des clés de chiffrement stockées en clair, un « secret partagé » accessible sur un Google Drive et des mots de passe écrits en clair dans des courriels et des fichiers ^[13]. À propos de la fausse marque de confiance affichée sur le site, le commissaire Daniel Therrien a estimé que « le consentement des individus a été obtenu de façon détournée » ^[13].

Les recommandations qui en découlent sont concrètes. Le Commissariat demande de documenter les politiques de sécurité, d'évaluer périodiquement les risques et d'exiger une authentification multifactorielle pour les accès administrateurs à distance ^[14]. Il précise que des frais de suppression doivent correspondre au coût réel, être annoncés avant le consentement et ne pas dissuader une personne de retirer ce consentement ^[14].

Deux leçons visent directement le cas d'un site comme Ashley Madison. Le Commissariat rappelle que l'exactitude des données protège aussi les non-utilisateurs, dont l'adresse courriel peut les associer à tort à un service compromettant ^[14]. Il ajoute qu'une fausse marque de confiance, comme la médaille « sécurisé et digne de confiance » qu'Avid Life Media avait elle-même conçue puis retirée, peut invalider le consentement des utilisateurs ^[13][14].

Quels règlements et quels changements ont suivi ?

Aux États-Unis, l'affaire s'est réglée par deux ententes financières. Le 14 décembre 2016, la Federal Trade Commission, 13 États et le district de Columbia ont annoncé un règlement de 1,6 million de dollars américains, assorti d'une ordonnance de 20 ans ^[6]. L'entreprise doit tenir un programme écrit de sécurité de l'information, faire auditer ses pratiques tous les deux ans par un tiers et ne plus présenter de façon trompeuse sa sécurité ni sa clientèle ^[6].

Le site se présentait auparavant comme « 100% secure » et « risk free », deux formules que la FTC a jugées trompeuses ^[6]. Selon le Globe and Mail, la somme a été partagée à parts égales entre la FTC et les États participants, et l'entreprise n'a ni reconnu ni nié les allégations ^[7].

En juillet 2017, la société mère a accepté de verser 11,2 millions de dollars américains pour régler les actions collectives américaines regroupées devant la Cour fédérale du district Est du Missouri ^[1][7]. Elle a nié toute faute et expliqué vouloir éviter l'incertitude et les frais d'un long procès ^[7]. Les sources lues ne précisent pas l'issue des actions collectives déposées au Canada.

L'entreprise a aussi changé de nom et de discours. En juillet 2016, Avid Life Media est devenue Ruby Corp., avec Rob Segal comme président-directeur général, et le slogan a été remplacé avant que l'ancien revienne en mai 2017 ^[1]. Le 24 février 2026, le site a annoncé qu'il ne demanderait plus aux utilisateurs s'ils sont mariés et qu'il se présenterait comme un service de « rencontres discrètes » ^[1][9]. Son directeur de la stratégie, Paul Keable, affirmait alors que 57 % des nouveaux membres étaient célibataires, un chiffre fourni par l'entreprise ^[9].

Que disent les sondages sur l'infidélité au Québec ?

Un sondage Léger publié en octobre 2014 reste une référence fréquente au Québec : 18 % des répondants disaient avoir déjà eu une relation extraconjugale ^[10]. Mené en ligne auprès de 1 000 Québécois et commenté par Jean-Marc Léger à TVA Nouvelles, il correspond, selon Global News, à environ 1,5 million de personnes ^[10].

Le même sondage dressait des portraits types. Le profil le plus enclin à tromper était un homme aisé, diplômé universitaire, vivant à Montréal et âgé de 35 à 44 ans ; le plus fidèle, une femme de l'Est du Québec ^[10]. S'ils étaient certains de ne jamais être découverts, 11 % de plus tromperaient leur conjoint, selon Global News, qui ne précise pas s'il s'agit de points de pourcentage ^[10]. Jean-Marc Léger estimait que le caractère anonyme d'un sondage en ligne favorisait la franchise ^[10].

Ces chiffres sont à manier avec prudence. L'article de Global News ne précise ni le commanditaire, ni la marge d'erreur, ni les dates de terrain ^[10]. Aucun sondage québécois plus récent et de méthode comparable n'a été trouvé pour cet article.

Les utilisateurs d'Ashley Madison ont eux-mêmes servi de terrain d'étude, avec une participation canadienne. Une recherche menée par Dylan Selterman, de l'Université Johns Hopkins, avec des chercheurs de l'Université Western Ontario et publiée dans les Archives of Sexual Behavior en 2023, a interrogé environ 2 000 utilisateurs actifs avant et après une liaison ^[11]. Les répondants, surtout des hommes d'âge moyen, déclaraient en majorité aimer leur partenaire mais se disaient peu satisfaits sexuellement ; environ la moitié n'avaient plus de relations sexuelles avec lui ^[11].

L'étude ne dit rien de la population générale. Elle porte sur des personnes qui avaient déjà choisi de chercher une liaison sur ce site, et ses auteurs soulignent surtout la diversité des motifs : l'insatisfaction sexuelle venait en tête, devant le désir d'autonomie ou de variété, alors que le manque d'amour était peu cité ^[11]. Les répondants exprimaient peu de regrets ^[11].

L'entreprise publie aussi ses propres enquêtes, qui ne valent pas sondage représentatif. En février 2026, elle affirmait qu'un questionnaire soumis à ses membres montrait que 49 % d'entre eux cherchaient d'autres relations en période de stress ^[9]. Ce chiffre, tiré d'un échantillon de clients et diffusé lors d'une campagne de communication, ne renseigne pas sur les comportements des Canadiens en général.

Que prévoit le droit canadien en matière d'adultère ?

Au Canada, l'adultère n'est pas une infraction criminelle entre adultes, mais il demeure un des moyens d'établir l'échec du mariage dans la Loi sur le divorce ^[12]. Selon l'article 8 de cette loi fédérale, l'échec du mariage est établi par une séparation d'au moins un an, ou par le fait que l'époux visé par la demande a, depuis la célébration du mariage, « commis l'adultère » ou fait preuve de cruauté physique ou mentale ^[12].

En pratique, la séparation d'un an est le moyen le plus simple, et seul l'époux trompé peut invoquer l'adultère de l'autre, comme le détaille l'article sur l'adultère comme motif de divorce au Canada. La séparation doit avoir duré au moins un an avant le jugement, et les époux doivent vivre séparément au moment où la demande est déposée ^[12]. Le droit pénal n'a gardé qu'une trace indirecte de l'adultère, dans l'article 172 du Code criminel, qui vise la corruption des mœurs d'un enfant au foyer.

L'affaire Ashley Madison s'est donc jouée sur un autre terrain que celui de la morale conjugale. Les autorités canadiennes ne se sont pas prononcées sur l'activité du site : la police a dit ne pas s'intéresser à sa nature, et le Commissariat a jugé la façon dont l'entreprise protégeait des renseignements très sensibles ^[3][5]. La sensibilité de ces données venait justement du fait qu'elles révélaient une vie intime que les personnes avaient voulu garder secrète ^[3].

Dix ans plus tard, le rapport de 2016 reste une référence au Canada en matière de sécurité des données. Il a fixé une exigence : plus les renseignements sont intimes, plus les mesures de protection doivent être élevées ^[3]. Lors du repositionnement de février 2026, l'entreprise a d'ailleurs mis en avant une collecte de renseignements réduite au minimum ^[9].

Questions fréquentes

Ashley Madison est-elle une entreprise canadienne ?

Oui. Le site a été lancé en 2002 et exploité par Avid Life Media, une société établie à Toronto, renommée Ruby Corp. en juillet 2016 ^[1][7]. Le Globe and Mail situait encore le siège de Ruby Corp. à Toronto en 2017 ^[7].

Combien de comptes ont été exposés lors du piratage de 2015 ?

Environ 36 millions de comptes, selon le rapport conjoint des commissaires canadien et australien ^[3][4]. Les données comprenaient des profils, des adresses courriel, des mots de passe chiffrés et, pour une partie des utilisateurs, des renseignements de facturation ^[3].

Les pirates d'Ashley Madison ont-ils été arrêtés ?

Non, pas à la connaissance des sources consultées. En 2024, les articles sur la série documentaire de Netflix présentaient encore The Impact Team comme un groupe inconnu ^[8]. La police de Toronto avait pourtant ouvert une enquête, le projet Unicorn, et une récompense de 500 000 $ avait été offerte ^[5].

Qu'a reproché le Commissariat à la protection de la vie privée à Ashley Madison ?

Il a reproché à Avid Life Media des mesures de sécurité insuffisantes, la conservation indéfinie des profils inactifs, des frais de suppression non annoncés et l'absence de vérification des adresses courriel ^[3]. L'entreprise a signé une entente de conformité et s'est engagée à corriger ces pratiques en 2017 ^[3].

Les utilisateurs ont-ils été indemnisés ?

En partie, aux États-Unis. En juillet 2017, la société mère a accepté de verser 11,2 millions de dollars américains pour régler les actions collectives américaines, sans reconnaître de faute ^[7]. Les sources consultées ne précisent pas l'issue des recours intentés au Canada.

L'adultère est-il illégal au Canada ?

Non. L'adultère n'est pas un crime entre adultes, mais il reste un moyen d'établir l'échec du mariage dans une demande de divorce, selon l'article 8 de la Loi sur le divorce ^[12]. Seul l'époux trompé peut l'invoquer.

Combien de Québécois disent avoir été infidèles ?

Selon un sondage Léger publié en octobre 2014, 18 % des Québécois interrogés disaient avoir déjà eu une relation extraconjugale ^[10]. Ce sondage en ligne auprès de 1 000 personnes reste souvent cité, faute d'enquête québécoise plus récente de méthode comparable.

Ashley Madison existe-t-elle encore en 2026 ?

Oui. Le 24 février 2026, le site a annoncé qu'il cessait de demander aux utilisateurs s'ils sont mariés et se présentait désormais comme un service de rencontres discrètes ^[1][9]. L'entreprise affirmait alors que 57 % de ses nouveaux membres étaient célibataires ^[9].