Fraude au paiement et hypertrucage

Capsules

1. 1

   Trois montages, un même scénario

   2 min
   Capsule vidéo en tournage

   Trois montages, un même scénario

   La fraude au paiement ne force aucune porte : elle vous convainc de faire vous-même le geste. Fraude du président, changement de coordonnées bancaires, facture falsifiée : même scénario, même piège.

   Lire la capsule (transcription)

   Josée travaille à la comptabilité d’une entreprise de construction de Saint-Jérôme. Un vendredi après-midi, elle reçoit un courriel du président : « Un virement confidentiel à faire aujourd’hui. Ne le dis à personne. Je compte sur toi. » Flattée, un peu tendue, elle ouvre déjà le logiciel de la banque. Elle est en train de vivre une fraude du président.

   Voici l’idée centrale. Une fraude au paiement ne force pas la porte de vos systèmes : elle vous convainc de faire vous-même le geste. Elle prend trois formes courantes. Elles ont un point commun : de l’argent, de l’urgence, et une procédure qu’on vous demande de contourner.

   La première forme, c’est la fraude du président. Un message, qui semble venir de la direction, demande un virement urgent et confidentiel. Il joue sur l’autorité : on n’ose pas contrarier le patron. Il joue aussi sur la flatterie : « Je compte sur toi. » Et le secret sert à vous isoler, pour que personne ne vous pose de question.

   La deuxième forme, c’est le changement de coordonnées bancaires. Votre fournisseur de béton, par exemple, écrit : « Notre banque a changé, voici le nouveau compte. » À la prochaine facture, l’argent part chez le fraudeur. Le vrai fournisseur ne comprend pas pourquoi il n’est pas payé. La troisième forme, c’est la facture falsifiée. Même logo, même numéro de dossier, même montant. Un seul détail change : le compte où payer.

   Ces fraudes sont répandues. Le Centre antifraude du Canada rapporte au moins 704 millions de dollars de pertes par fraude au Canada en 2025. Et selon le Bureau de la concurrence, moins d’une fraude sur dix est signalée. Beaucoup de victimes se taisent par honte. Voilà pourquoi ces fraudes continuent de fonctionner.

   À retenir : quand une demande touche à l’argent, je suis la procédure, même si elle semble venir de la direction.

   • Fraude du président : un faux message de la direction demande un virement urgent et confidentiel.
   • Changement de coordonnées bancaires : un « fournisseur » donne un nouveau compte pour la prochaine facture.
   • Facture falsifiée : tout a l’air vrai, sauf le compte où payer.
   • Ce qu’ils ont en commun : de l’argent, de l’urgence, la procédure contournée.
2. 2

   La voix et le visage ne prouvent plus rien

   2 min
   Capsule vidéo en tournage

   La voix et le visage ne prouvent plus rien

   Avec l’IA, une voix ou un visage peut être fabriqué. Ne comptez pas sur votre oreille : l’identité se prouve par un canal indépendant, pas par la ressemblance.

   Lire la capsule (transcription)

   Un lundi matin, Alexandre, dans un cabinet comptable de Laval, reçoit un appel. C’est la voix de son associée, qu’il connaît depuis dix ans : « Alex, j’ai besoin d’un paiement tout de suite, je suis chez un client, je t’expliquerai. » Même ton, mêmes expressions. Il ne sait pas encore que ce n’est pas elle.

   Voici l’idée centrale. L’intelligence artificielle peut créer une fausse voix, ou un faux visage, qui imite une personne réelle. On appelle cela un hypertrucage. Dans son évaluation de la menace des rançongiciels, le Centre canadien pour la cybersécurité note que l’IA rend les attaques moins chères, plus rapides et plus difficiles à détecter. Conséquence directe : entendre une voix connue, ou voir un visage connu, ne prouve plus qui vous parle.

   Où cela peut-il arriver ? Au téléphone, bien sûr, ou dans un message vocal. Mais aussi en visioconférence : un collègue apparaît à l’écran, il demande un paiement, tout semble normal. Ce n’est plus seulement le courriel qui est piégé. C’est le canal en entier qui devient suspect.

   Alors, comment s’en protéger ? Surtout pas en essayant de détecter le faux à l’oreille ou à l’œil. Vous n’avez pas à devenir expert de la fausse voix. Vous avez à changer de règle : l’identité ne se prouve pas par la ressemblance, elle se prouve par un autre canal, que le fraudeur ne contrôle pas. Nous verrons lequel dans la prochaine capsule.

   Il reste le piège émotionnel : la familiarité. « Ce serait gênant de demander une preuve à quelqu’un que je connais depuis dix ans. » C’est précisément sur cette gêne que compte le fraudeur. Une personne honnête comprend la demande de vérification, et même l’approuve. Si la direction dit d’avance que cette demande est attendue, plus personne ne se sent mal de la faire.

   À retenir : une voix ou un visage ne prouve plus rien. On vérifie par un autre canal, sans gêne.

   • L’hypertrucage, c’est une fausse voix ou un faux visage créés par IA, qui imitent une vraie personne.
   • Il peut arriver par un appel téléphonique, un message vocal ou une visioconférence.
   • Inutile d’essayer de détecter le faux à l’oreille : on change la règle de vérification.
   • Demander une vérification n’est pas une insulte, c’est la procédure.
3. 3

   Les vérifications qui arrêtent la fraude

   2 min
   Capsule vidéo en tournage

   Les vérifications qui arrêtent la fraude

   Quatre règles appliquées sans exception rendent le faux inutile : rappel à un numéro connu, double approbation, mot de code, et aucune exception pour l’urgence ni pour le patron.

   Lire la capsule (transcription)

   Marie-Ève est adjointe à la direction d’une résidence pour aînés de Trois-Rivières. Un fournisseur de produits d’entretien lui écrit : « Notre compte bancaire a changé. » Elle a un dossier à jour et un numéro dans ses papiers. Quel est le bon chemin ?

   Quatre règles simples, appliquées sans exception, bloquent la plupart de ces fraudes. Elles ne vous demandent pas de détecter le faux. Elles rendent le faux inutile. Et pour les appliquer, nul besoin de comprendre la technologie.

   Première règle : la vérification hors bande. Cela veut dire passer par un autre canal que celui de la demande. Marie-Ève rappelle le fournisseur au numéro de son dossier, pas à celui du courriel. Elle parle à quelqu’un qu’elle connaît. Cette règle vaut pour tout changement de coordonnées bancaires, sans exception. L’appel prend quelques minutes. Une fraude peut coûter bien plus cher.

   Deuxième règle : la double approbation. Aucun paiement important, aucun changement de compte ne passe sans deux personnes. Le fraudeur doit alors en convaincre deux, et non une. Troisième règle : le mot de code. Les personnes qui peuvent se demander des paiements urgents conviennent d’un mot à l’avance. On le demande au téléphone ou en visio. On ne l’écrit jamais dans un courriel, et on le change de temps en temps.

   Quatrième règle : aucune exception pour l’urgence ni pour la hiérarchie. Si le patron dit : « Fais-le tout de suite », la bonne réponse est : « Bien sûr, je te rappelle à ton numéro habituel et on fait la double approbation. » Cette réponse protège le patron autant que vous. Et si vous dirigez, dites d’avance à votre équipe que vous attendez cette réponse, et remerciez ceux qui la donnent.

   À retenir : je rappelle à un numéro connu, je fais approuver par une deuxième personne, et je dis non à l’urgence.

   • Hors bande : rappeler au numéro du dossier, jamais à celui du message.
   • Double approbation : deux personnes pour tout paiement important ou tout changement de coordonnées.
   • Mot de code convenu d’avance, demandé par téléphone ou en visio, jamais par courriel.
   • Aucune exception pour l’urgence ni la hiérarchie : on peut dire non au patron.
4. 4

   Si le paiement est parti

   2 min
   Capsule vidéo en tournage

   Si le paiement est parti

   Chaque heure compte, et la honte coûte plus cher que l’erreur. On appelle la banque, on avertit son gestionnaire, on signale à la police et au Centre antifraude du Canada.

   Lire la capsule (transcription)

   Hugo travaille dans un centre de services de Longueuil. Un jeudi à 14 h, il comprend que le virement de la veille est allé à un compte frauduleux. Son estomac se noue. Une petite voix lui souffle : « Peut-être que ça va s’arranger, ne disons rien. » C’est la pire idée.

   Voici l’idée centrale. Dans ce cas, chaque heure compte, et la honte coûte plus cher que l’erreur. Cinq gestes, dans l’ordre.

   Premier geste : appelez la banque tout de suite. Le jour même, le plus vite possible. Demandez ce qu’elle peut tenter pour rappeler le virement. Il n’y a pas de délai magique à connaître : plus on appelle tôt, plus on a de chances d’agir. Deuxième geste : prévenez votre gestionnaire immédiatement. Il doit décider avec vous de la suite. Dites-lui l’heure du virement, le montant et le compte où l’argent est allé. Si l’organisation a une assurance cyber, il saura qui prévenir.

   Troisième geste : signalez à la police locale et demandez un numéro de rapport. Le CCC recommande de le faire idéalement dans les 24 heures. Quatrième geste : signalez au Centre antifraude du Canada, en ligne ou au 1 888 495-8501. Cinquième geste, si votre réseau ou votre compte courriel a aussi été touché : déconnectez le réseau touché d’Internet, activez le plan d’intervention et signalez le cyberincident au CCC. Prévenez aussi la banque et les émetteurs de cartes.

   Gardez les preuves : courriels, factures, relevés, notes de ce qui a été dit au téléphone. Ne supprimez rien. Si des renseignements personnels de clients ou d’employés sont en cause, le dire aussi à votre gestionnaire. Il pourrait s’agir d’un incident de confidentialité.

   Hugo n’a pas à porter cela seul. Dans un bon milieu, on le remercie d’avoir parlé vite, puis on cherche comment fermer la faille. À retenir : si le paiement est parti, j’appelle la banque et mon gestionnaire tout de suite, puis je signale.

   • Appeler la banque tout de suite, le jour même, et prévenir son gestionnaire.
   • Signaler à la police locale (numéro de rapport), idéalement dans les 24 heures.
   • Centre antifraude du Canada : en ligne ou au 1 888 495-8501.
   • Conserver les preuves et le dire sans honte : un incident signalé vaut mieux qu’un incident caché.

Le virement de 16 h

Fraude au paiement : l’aide-mémoire

L’urgence ne remplace jamais la procédure, même pour le patron.

En cas de doute : Appelez la personne concernée à un numéro que vous connaissez déjà, puis demandez une deuxième approbation. En cas de paiement parti : banque et gestionnaire tout de suite.

Astuces de terrain

Ressources

• Centre antifraude du Canada : signaler une fraude (1 888 495-8501)
• Centre canadien pour la cybersécurité : avez-vous été victime de cybercriminalité? (ITSAP.00.037)
• Centre canadien pour la cybersécurité : signaler un cyberincident

Quiz