Arnaques du Black Friday et du Cyberlundi 2026 : guide de survie pour le Québec, le Canada et la France

Le Black Friday tombe le vendredi 27 novembre 2026 et le Cyberlundi (Cyber Monday) le lundi 30 novembre. Les fraudeurs s'y préparent des semaines à l'avance : fausses boutiques, textos de livraison, publicités clonées, codes QR piégés, faux messages de confirmation de commande. Votre meilleure défense est simple : ne jamais acheter à partir d'un lien reçu, payer avec un moyen qui permet de contester la transaction, et savoir où signaler si vous vous faites avoir.

Pourquoi cette semaine est la meilleure de l'année pour les fraudeurs

Pendant les rabais, tout le monde s'attend à recevoir des messages sur des commandes, des livraisons, des remboursements et des comptes, et tout le monde est pressé de profiter d'une offre limitée. Un faux message ignoré en mars se fait toucher en novembre. Les fraudeurs copient aussi de vraies marques, parce que créer une fausse page de boutique coûte très peu et rapporte un numéro de carte ou un paiement qui ne livre jamais rien.

Nous avons déjà un guide en anglais sur la sécurité des comptes pendant les fêtes (liste de contrôle contre la prise de contrôle de compte). Le présent article porte sur les arnaques elles-mêmes : à quoi elles ressemblent, comment les reconnaître et que faire quand l'une d'elles vous atteint.

Les six arnaques à attendre

1. La fausse boutique

Une boutique à l'allure professionnelle apparaît dans votre fil de réseau social ou dans les résultats de recherche. Elle vend un produit populaire à un prix qu'aucun détaillant sérieux ne pourrait offrir. Vous payez, et soit rien n'arrive, soit un objet bon marché arrive. D'autres sites n'existent que pour récolter vos données de carte.

Voici des vérifications de deux minutes : lisez l'adresse web exacte, pas seulement le nom de la boutique; méfiez-vous des noms de domaine qui ajoutent des mots comme « outlet », « officiel » ou « soldes » à une marque connue; cherchez le nom de la boutique accompagné de « arnaque » ou « avis » sur un site de confiance; repérez un vrai nom d'entreprise, une adresse et une politique de retour; et sachez qu'un domaine créé récemment est un signal d'alerte (un outil public de recherche WHOIS donne la date d'enregistrement). Un logo copié ou un cadenas ne prouvent rien : le cadenas indique seulement que la connexion est chiffrée.

2. Le texto de livraison

« Votre colis est retenu, payez de petits frais de relivraison. » Le lien mène à une page qui demande votre carte. En novembre, presque tout le monde attend un colis, donc le message tombe au bon moment. Un vrai transporteur ne demande pas de paiement par carte à partir d'un texto inattendu. Notre guide détaillé (en anglais) : fake delivery text scam, what to do. En France, les textos suspects se transmettent au 33700.

3. Les publicités clonées et les hypertrucages (deepfakes)

Une publicité vidéo où une vedette ou un animateur connu « recommande » une aubaine peut être générée ou truquée par intelligence artificielle. Une voix et un visage convaincants ne prouvent rien. Le test est le même que pour les boutiques : quittez la publicité, cherchez le site officiel de la marque, et regardez si l'offre y existe. Si vous ne la trouvez que dans la publicité, considérez qu'elle n'est pas réelle. Notre article sur le clonage de voix par IA explique les arnaques voisines.

4. Les codes QR

Un code QR sur un dépliant, un parcomètre ou dans un courriel peut cacher une adresse malveillante. La plupart des caméras de téléphone affichent l'adresse avant l'ouverture : lisez-la. Si elle ne correspond pas à la marque ou si c'est un lien raccourci, n'y allez pas. Un autocollant posé sur un vrai code QR est une astuce connue, donc méfiez-vous des codes placés sur des surfaces publiques.

5. La fausse confirmation de commande ou le faux remboursement

Vous recevez un courriel, un texto ou un appel au sujet d'une commande que vous n'avez pas passée : « Un paiement de 499 $ a été traité, appelez ce numéro pour l'annuler. » Le but est de vous faire appeler, installer un logiciel de prise de contrôle à distance ou donner votre carte pour « annuler ». N'appelez pas les numéros et n'ouvrez pas les liens du message. Ouvrez l'application du détaillant ou tapez son adresse et consultez votre historique de commandes. S'il n'y a aucune commande, supprimez le message. Une vraie banque ou une vraie boutique ne vous demandera jamais de virer de l'argent vers un « compte sécurisé » ni de donner le contrôle de votre ordinateur. Notre guide que faire après une arnaque au faux support technique détaille la suite.

6. L'appât pour voler un compte

Les faux messages du type « votre compte est verrouillé » ou « confirmez votre mode de paiement », prétendument envoyés par des boutiques, des applications de livraison ou des services de paiement, visent à voler vos identifiants. Utilisez l'application ou un signet, activez la vérification en deux étapes et choisissez un mot de passe unique par boutique. Pour reconnaître les courriels piégés, lisez comment reconnaître un courriel d'hameçonnage.

Deux fuites récentes qui facilitent l'usurpation

Les fraudeurs adorent les fuites de données réelles, parce qu'un interlocuteur qui connaît votre nom et votre numéro de contrat paraît légitime. Deux histoires de fin octobre 2026 montrent le mécanisme. Nous les rapportons telles que la presse les a publiées, et les détails peuvent évoluer.

Engie, France : un outil de partenaires, pas les systèmes d'Engie

Le fournisseur d'énergie français Engie a informé ses clients que des accès inhabituels avaient été détectés dans un outil utilisé par ses partenaires commerciaux pour la prospection et la vente d'offres d'énergie. Engie affirme que ses systèmes informatiques internes n'ont pas été compromis et que les coordonnées bancaires ne sont pas touchées. D'après les lettres d'information relayées par la presse, les données comprenaient les noms et prénoms, les adresses postales et courriel, les numéros de téléphone, les identifiants client, les numéros de contrat et les références du point de livraison ou de comptage. Engie n'a pas indiqué le nombre de clients concernés. La presse et l'entreprise ont mis en garde contre de faux « conseillers » qui pourraient utiliser ces données réelles pour proposer un faux remboursement ou un changement d'offre. Si un appelant inattendu se dit de votre fournisseur d'énergie, raccrochez et rappelez le numéro imprimé sur votre facture.

Crime Stoppers, Canada : des pistes exposées par une plateforme tierce

Selon une enquête de CBC News, plus de 1,5 million de pistes soumises à des programmes Crime Stoppers canadiens en 25 ans ont été compromises lorsque Navigate360, l'entreprise américaine qui gère la plateforme, a été piratée. Navigate360 a indiqué qu'un tiers non autorisé avait obtenu des copies de données entre le 21 novembre 2025 et le 5 mars 2026. Le Commissariat à la protection de la vie privée du Canada a annoncé une enquête sur Navigate360 le 27 octobre 2026. CBC rapporte que plus de 850 000 de ces pistes contenaient des renseignements personnels. Il s'agit de pistes, et les reportages publics ne permettent pas de dire lesquelles appartiennent à des informateurs, à des victimes ou à des personnes nommées dans des allégations. Ce qu'il faut en retenir : quand des renseignements circulent, un appel qui les utilise peut sembler crédible. Un interlocuteur qui connaît des détails sur vous n'est pas une preuve d'identité.

Magasiner en sécurité : une routine courte

1. Partez de la boutique, pas de la publicité. Tapez l'adresse ou utilisez votre signet. Cherchez « marque + rabais » seulement pour comparer, puis allez directement sur le site.
2. Comparez le prix. Si trois détaillants connus vendent un produit 400 $ et qu'un inconnu le vend 90 $, l'inconnu est le risque.
3. Payez avec une protection. Les cartes de crédit et certains portefeuilles numériques permettent de contester un débit. Consultez les conditions actuelles de votre émetteur. Évitez le virement bancaire, les cartes-cadeaux, les cryptomonnaies et les options « entre amis ».
4. Utilisez une carte virtuelle ou à usage unique si votre institution financière en offre une.
5. Conservez des captures d'écran de la fiche produit, du prix, de la confirmation et des coordonnées du vendeur jusqu'à la livraison.
6. Verrouillez vos comptes : mots de passe uniques, vérification en deux étapes, applications à jour sur le téléphone et l'ordinateur.
7. Évitez le Wi-Fi public pour tout ce qui touche une carte, ou utilisez vos données mobiles.

France : la règle du prix de référence sur 30 jours

La DGCCRF, sur le site economie.gouv.fr, explique que lorsqu'un commerçant annonce une réduction de prix, le prix de référence doit en principe être le prix le plus bas qu'il a pratiqué dans les 30 jours précédant la réduction, en ligne comme en magasin, y compris pendant le Black Friday. Ce n'est ni le prix conseillé par le fabricant ni celui d'un concurrent. Une mention « -60 % » à côté d'un prix barré affiché depuis le matin mérite d'être remise en question. Pour signaler un problème avec un professionnel, la DGCCRF recommande le service SignalConso. Les règles diffèrent selon les pays : ne supposez pas que la même règle s'applique au Québec ou ailleurs.

Que faire dans la première heure si vous vous êtes fait avoir

La vitesse compte surtout pour l'argent et les accès. Suivez cette liste dans l'ordre.

1. Coupez le contact. Ne répondez pas, ne rappelez pas et n'envoyez pas plus d'argent, même si on vous menace ou vous promet un remboursement.
2. Appelez votre banque ou l'émetteur de votre carte au numéro inscrit au dos de la carte. Dites que vous avez été victime d'une fraude, demandez de bloquer la carte et de contester le paiement. Faites vite : les délais de contestation peuvent être limités.
3. Changez vos mots de passe sur tout compte dont vous avez saisi le mot de passe sur la fausse page, en commençant par le courriel, puis la banque, puis la boutique. Activez la vérification en deux étapes.
4. Si vous avez donné un accès à distance, coupez Internet, désinstallez l'outil, lancez une analyse de sécurité complète et faites vérifier l'ordinateur par un technicien. Notre service de dépannage à distance peut le faire avec vous.
5. Gardez les preuves : captures des messages, adresse web, reçus, numéros de téléphone, date et heure.
6. Signalez (section suivante). Un signalement ne garantit pas le remboursement, mais il alimente les données qui permettent d'avertir les autres et appuie le travail des policiers.
7. Surveillez vos relevés pendant les semaines suivantes et envisagez une alerte à votre dossier de crédit si vous avez transmis des pièces d'identité.

Où signaler, selon le pays

Pays	Canal officiel	Notes
Canada (Québec inclus)	Centre antifraude du Canada : reportcyberandfraud.canada.ca	Vous pouvez signaler comme victime ou témoin, même anonymement. Si vous avez payé, la page du Centre indique de communiquer avec la police locale dès que possible, puis de signaler en ligne.
États-Unis	FTC : ReportFraud.ftc.gov	La FTC reçoit les signalements de fraude. Prévenez d'abord votre banque ou émetteur de carte.
Royaume-Uni	Report Fraud : reportfraud.police.uk	Il a remplacé Action Fraud en décembre 2025 (lancement public en janvier 2026). L'ancienne adresse redirige vers le nouveau service.
France	cybermalveillance.gouv.fr pour l'assistance; SignalConso (DGCCRF) pour les litiges avec un professionnel; Signal Spam pour les pourriels; transmettre les textos suspects au 33700	La DGCCRF documente le 33700 pour les SMS suspects et Signal Spam pour les courriels indésirables. En cas de fraude au paiement, prévenez aussi votre banque et envisagez un dépôt de plainte.

Nous n'indiquons pas de numéros de téléphone d'organismes, car ils peuvent changer : utilisez les sites officiels ci-dessus. Pour une autre arnaque propre au Canada, voyez notre guide en anglais sur les faux textos de l'ARC, et pour le Québec le guide sur le faux courriel de virement Interac.

Liste des signaux d'alarme

• Urgence : « plus que 3 en stock », comptes à rebours qui se réinitialisent, « payez maintenant ou perdez votre commande ».
• Paiement par carte-cadeau, virement bancaire, cryptomonnaie ou option « entre amis ».
• Adresse web qui ajoute des mots à une marque connue ou se termine par une extension inhabituelle.
• Avis qui semblent copiés ou tous publiés le même jour.
• Aucun nom d'entreprise, adresse ou politique de retour, seulement un formulaire de contact.
• Messages au sujet de commandes que vous n'avez pas passées.
• Demande d'installer une application, de donner un accès à distance ou de lire un code QR pour « vérifier ».
• Offre trouvée seulement dans une publicité ou un message, pas sur le site officiel de la marque.

Quand appeler un professionnel

Si vous avez saisi un mot de passe ou un numéro de carte sur une page suspecte, installé une application parce qu'un message vous le demandait ou donné un accès à distance, faites vérifier l'appareil et les comptes par un technicien. Nous pouvons le faire à distance et vous expliquer ce que nous trouvons. Les accès au courriel et à la banque sont la priorité.

FAQ

Quand ont lieu le Black Friday et le Cyberlundi en 2026?

Le Black Friday est le vendredi 27 novembre 2026 et le Cyberlundi est le lundi 30 novembre 2026.

Comment savoir si une boutique en ligne est fausse?

Vérifiez l'adresse web exacte, cherchez le nom de la boutique avec « arnaque » ou « avis » sur un site de confiance, repérez un vrai nom d'entreprise, une adresse et une politique de retour, et comparez le prix avec celui de détaillants connus. Un prix très inférieur aux autres est le plus gros signal d'alarme.

Est-il plus sûr de payer par carte de crédit?

Les cartes permettent généralement de contester un débit, mais les conditions varient selon l'émetteur et le pays : consultez les conditions actuelles de votre carte. Évitez les cartes-cadeaux, les virements et les cryptomonnaies pour magasiner.

J'ai payé une fausse boutique. Que faire en premier?

Appelez votre banque ou l'émetteur de la carte au numéro inscrit au dos, demandez de bloquer la carte et de contester le paiement, changez vos mots de passe, gardez les preuves et signalez la fraude par le canal officiel de votre pays.

Où signaler une fraude au Canada?

Utilisez le système de signalement en ligne du Centre antifraude du Canada, à reportcyberandfraud.canada.ca. Si vous avez payé, communiquez avec la police locale dès que possible, puis signalez au Centre.

Qu'est-ce que la règle des 30 jours en France?

Selon la DGCCRF, une annonce de réduction de prix doit en principe se fonder sur le prix le plus bas pratiqué par le commerçant dans les 30 jours précédents, en ligne comme en magasin.

Un appelant qui connaît mes données est-il forcément légitime?

Non. Les données issues de fuites peuvent donner aux fraudeurs de vrais noms, numéros de contrat et adresses. Raccrochez et rappelez le numéro de votre facture ou de l'application officielle.