Portpass a vérifié un faux dossier de vaccination, puis est tombé en panne avant un match des Flames

Une application calgarienne permettant de stocker et de partager des dossiers de vaccination contre la COVID-19 et des résultats de tests avec des établissements et des employeurs.

Qu'une application privée, et non un système gouvernemental, pourrait devenir le passeport vaccinal de facto de l'Alberta — grâce à « l'IA et la blockchain » rendant ses dossiers fiables et infalsifiables.

Le fondateur et PDG calgarien Zakir Hussein a conçu Portpass comme une application privée de preuve de vaccination alors que la province ne disposait encore d'aucun passe numérique, et la Calgary Sports and Entertainment Corporation l'a recommandée pour les matchs des Flames et des Stampeders.

Le développeur web local Conrad Yeung a téléversé la photo d'un candidat à la mairie pris au hasard comme permis de conduire, puis un faux dossier de vaccination portant le nom d'un acteur — Portpass l'a vérifié comme légitime. Yeung n'a trouvé aucune validation de certificat de sécurité, un backend accessible publiquement, des données hébergées dans un centre de données Amazon en Ohio malgré l'affirmation du site que les données restaient au Canada, et aucune trace de l'IA et de la blockchain annoncées. Le partenaire nommé de l'application, le Canadian Digital Health Network, renvoyait à Portpass lui-même et servait des pages 404. Lorsque CBC a appelé Hussein, celui-ci a raccroché en pleine entrevue et n'a pas donné suite aux relances.

La fonction centrale de vérification ne vérifiait pas : des pièces d'identité falsifiées et des dossiers fabriqués sont passés pour légitimes.

Ses allégations de sécurité — résidence canadienne des données, contrôles par IA et blockchain — étaient contredites par ce qui était réellement hébergé et livré.

La crédibilité de l'application reposait sur un partenaire réseau de santé nommé dont le propre site renvoyait à Portpass et servait des liens morts.

Le PDG a abandonné une entrevue enregistrée lorsqu'il a été confronté aux conclusions, et l'entreprise est restée silencieuse tandis que l'application échouait publiquement.

Elle a misé sa distribution sur l'aval d'un exploitant de salle sans la fiabilité nécessaire pour survivre à une seule charge de jour de match.

Revendiquer des technologies que l'on n'a pas livrées — IA, blockchain, résidence locale des données — s'effondre dès qu'un utilisateur curieux regarde sous le capot ; le logo d'un partenaire de distribution ne vaut pas une diligence raisonnable.

Quelques heures après l'appel de CBC, les utilisateurs ont vu un écran gris affichant « undefined undefined » à la place d'un nom. Moins de deux heures avant le match de pré-saison des Flames du 26 septembre 2021, l'entreprise a tweeté qu'elle rencontrait des « difficultés techniques » et a demandé aux détenteurs de billets d'apporter des dossiers imprimés ; des partisans ont rapporté être restés bloqués devant le Saddledome. Yeung a déclaré avoir ensuite reçu un appel de quelqu'un se présentant comme un policier au sujet de ses « tweets spam », citant un numéro de badge que la police de Calgary a dit inexistant. Portpass n'a pas répondu aux demandes de commentaires ultérieures.