Comment protéger votre PME contre la fraude par courriel (BEC) ? La mesure la plus efficace consiste à instaurer une vérification obligatoire par un deuxième canal — un appel téléphonique au numéro déjà connu et vérifié de la personne concernée, jamais celui inscrit dans le courriel — avant d'exécuter tout virement bancaire, en particulier lorsque la demande est urgente, confidentielle ou implique un changement de coordonnées bancaires.
La fraude BEC (Business Email Compromise, aussi appelée fraude par compromission de courriel d'affaires) est devenue l'une des catégories de cybercriminalité les plus coûteuses pour les entreprises nord-américaines, dépassant souvent en pertes financières directes les rançongiciels eux-mêmes. Contrairement à une attaque technique complexe visant à percer un pare-feu, la fraude BEC repose presque entièrement sur la manipulation psychologique d'un employé de confiance, généralement dans le service des finances ou de la comptabilité, pour qu'il autorise lui-même un virement vers un compte contrôlé par le fraudeur. Ce guide détaille les scénarios les plus fréquents observés par nos techniciens auprès de PME clientes en support informatique au Québec, les signaux d'alerte à enseigner à votre équipe, et le protocole de vérification qui permet de bloquer la grande majorité de ces tentatives avant qu'un seul dollar ne quitte votre compte d'entreprise.
Pourquoi la fraude BEC échappe souvent aux mesures antivirus classiques
Un courriel de fraude BEC ne contient généralement ni pièce jointe malveillante ni lien vers un site infecté — il s'agit simplement d'un texte convaincant demandant un virement. Aucun antivirus, aucun pare-feu et aucun filtre anti-maliciel ne peut détecter une phrase bien rédigée qui imite le ton d'un dirigeant. C'est précisément ce qui rend cette fraude si difficile à bloquer par des moyens purement techniques, et pourquoi la vérification humaine demeure la ligne de défense la plus fiable.
Qu'est-ce que la fraude BEC exactement
La fraude par courriel BEC désigne une attaque où un fraudeur se fait passer pour une personne de confiance — un dirigeant, un fournisseur récurrent, un avocat ou un notaire — dans le seul but de convaincre un employé ayant accès aux finances de l'entreprise d'exécuter un virement bancaire non autorisé. Trois techniques principales permettent cette usurpation d'identité, et il est essentiel que votre équipe comprenne la différence entre elles, car chacune exige une vigilance légèrement différente.
La première, la plus fréquente, repose sur un faux domaine similaire (« domaine cousin » ou typosquatting) : le fraudeur enregistre un nom de domaine presque identique à celui de l'entreprise ou du fournisseur ciblé, en substituant une seule lettre, en ajoutant un tiret, ou en changeant une extension — par exemple itcares-ca.com au lieu de itcares.ca, ou fournisseur-inc.com au lieu de fournisseurinc.com. À l'œil, en particulier sur un écran de téléphone, ces différences passent facilement inaperçues.
La deuxième technique, plus rare mais nettement plus dangereuse, implique un compte courriel réellement compromis. Le fraudeur a obtenu l'accès véritable à la boîte de courriel d'un dirigeant ou d'un fournisseur, souvent par un vol de mot de passe antérieur ou une session non protégée par authentification à deux facteurs. Dans ce cas, le courriel provient littéralement de la bonne adresse, sans aucune faute d'orthographe dans le domaine, ce qui rend la détection technique pratiquement impossible et renforce l'importance absolue de la vérification par un second canal.
La troisième technique, la plus simple à exécuter pour le fraudeur, consiste en une simple usurpation du nom affiché : le courriel provient d'une adresse totalement différente et suspecte, mais le nom affiché dans la boîte de réception (souvent le seul élément visible sur un appareil mobile) reprend exactement le nom du dirigeant ou du fournisseur. Un coup d'œil rapide sur un téléphone, sans vérifier l'adresse réelle en dessous du nom, suffit à tromper un employé pressé.
Le piège des appareils mobiles
Une part importante des fraudes BEC réussies survient lorsque l'employé consulte et répond à ses courriels sur son téléphone, où l'adresse complète de l'expéditeur est souvent masquée derrière le seul nom affiché. Encouragez systématiquement votre équipe à valider l'adresse exacte de l'expéditeur avant toute action liée à un virement, particulièrement lorsque la demande est consultée hors du poste de travail habituel.
Les scénarios de fraude BEC les plus fréquents en PME
Bien que chaque tentative de fraude BEC soit adaptée à l'entreprise ciblée, la grande majorité des cas observés par nos techniciens suivent l'un des quatre ou cinq scénarios suivants. Former votre équipe à reconnaître ces schémas précis, plutôt qu'un concept abstrait de « fraude par courriel », augmente considérablement les chances qu'un employé s'arrête avant d'agir.
1. La fraude du président (CEO fraud)
Ce scénario reste le plus classique : un employé du service des finances ou une adjointe administrative reçoit un courriel semblant provenir directement du président, du directeur général ou d'un autre dirigeant de haut niveau, souvent alors que celui-ci est censé être « en réunion » ou « en déplacement » et injoignable par les canaux habituels. Le message demande un virement urgent, discret, parfois lié à une prétendue acquisition confidentielle, un paiement de dernière minute à un partenaire ou une avance de fonds. Le ton insiste sur l'urgence et sur le fait que la demande doit rester entre l'expéditeur et le destinataire, sans en parler à d'autres collègues.
2. La fraude au fournisseur (fausse facture)
Dans ce scénario, le fraudeur cible directement le service des comptes payables avec une facture qui ressemble en tous points à celles habituellement reçues d'un fournisseur légitime déjà établi, mais dont les coordonnées bancaires ont été discrètement modifiées. Le courriel accompagnant la facture explique généralement ce changement par une « mise à jour de nos informations bancaires » ou un « changement d'institution financière », rendant la demande plausible aux yeux d'un employé qui ne connaît pas personnellement le contact habituel chez ce fournisseur.
3. La fraude à la paie
Ce scénario cible directement les ressources humaines ou l'équipe de paie : un faux courriel, prétendant provenir d'un employé réel de l'entreprise, demande de modifier les coordonnées de dépôt direct pour la prochaine paie. Le montant détourné par occurrence est souvent plus modeste que dans les autres scénarios, mais l'attaque peut se répéter sur plusieurs cycles de paie avant d'être détectée, en particulier dans les entreprises où la procédure de changement de dépôt direct ne prévoit aucune vérification indépendante.
4. La fraude à l'avocat ou au notaire
Fréquente lors de transactions immobilières commerciales ou de dossiers légaux impliquant des sommes importantes, cette fraude cible un acheteur, un vendeur ou une entreprise en pleine transaction. Le fraudeur, souvent après avoir surveillé les échanges réels entre les parties (parfois grâce à un compte compromis chez l'une d'elles), envoie un courriel de dernière minute prétendant provenir du cabinet d'avocats ou du notaire, avec de « nouvelles instructions bancaires » pour le virement final. Le contexte de transaction déjà en cours, combiné à des délais serrés typiques de ces dossiers, rend ce scénario particulièrement efficace.
5. La fraude au nouveau fournisseur ou au faux client pressé
Moins documenté mais en croissance, ce scénario implique un fraudeur qui se présente comme un nouveau client important ou un nouveau fournisseur, insistant pour finaliser rapidement une première transaction ou un premier paiement avant même qu'une relation d'affaires normale n'ait eu le temps de s'établir. L'urgence de « ne pas perdre l'occasion » pousse parfois un employé à contourner les vérifications habituelles réservées aux nouvelles relations commerciales.
Votre PME a-t-elle un protocole anti-fraude BEC en place ?
Nos techniciens certifiés IT Cares évaluent vos procédures financières, configurent l'authentification DMARC/SPF/DKIM de votre domaine et forment votre équipe comptable à la vérification par double canal. Audit initial dès 119,99 $.
Les signaux d'alerte spécifiques à la fraude BEC
Contrairement au phishing classique, un courriel de fraude BEC contient rarement des fautes d'orthographe grossières ou un lien évidemment suspect — le texte est souvent soigné, parfois même généré ou peaufiné à l'aide d'outils d'intelligence artificielle. La détection repose donc davantage sur le contexte et le comportement demandé que sur des indices purement visuels. Voici les signaux les plus fiables à enseigner à votre équipe.
Urgence combinée à la confidentialité
La combinaison de ces deux éléments — « c'est urgent » et « n'en parlez à personne d'autre pour l'instant » — reste le signal d'alerte le plus fiable dans la quasi-totalité des cas de fraude BEC documentés. Une demande légitime de virement urgent au sein d'une entreprise n'a normalement aucune raison d'exiger le secret vis-à-vis des collègues habituellement impliqués dans le processus d'approbation.
Contournement des procédures habituelles
Toute demande qui insiste pour éviter le processus normal d'approbation — « ne passe pas par le formulaire habituel cette fois », « je n'ai pas accès au système, fais-le directement » — devrait déclencher automatiquement une vérification renforcée, peu importe qui semble être l'expéditeur.
Changement soudain de coordonnées bancaires
Un fournisseur, un employé ou un partenaire qui communique un changement de compte bancaire par courriel uniquement, sans confirmation par un autre moyen, constitue l'un des signaux les plus constants dans les fraudes au fournisseur et à la paie.
Un ton légèrement différent du style habituel
Les employés qui échangent régulièrement avec un même dirigeant ou un même contact fournisseur développent souvent, sans même s'en rendre compte, une sensibilité au style d'écriture habituel de cette personne. Une formulation inhabituelle, une signature légèrement différente ou un niveau de langage qui ne correspond pas à l'expéditeur habituel méritent d'être pris au sérieux, même s'ils semblent anodins.
Une demande hors des heures normales
Les fraudeurs privilégient souvent la fin de journée, les vendredis après-midi ou les veilles de congé, des moments où la vigilance est naturellement plus faible et où une réponse rapide, sans consultation d'un collègue, est plus probable.
L'intelligence artificielle a changé la donne
En 2026, plusieurs fraudeurs utilisent des outils d'intelligence artificielle générative pour rédiger des courriels sans faute, parfaitement adaptés au ton professionnel attendu, et même pour imiter le style d'écriture d'un dirigeant à partir de courriels publics ou divulgués. La qualité rédactionnelle d'un courriel ne peut donc plus, à elle seule, servir d'indicateur de légitimité — la vérification par un second canal devient d'autant plus indispensable.
La vérification par double canal : la mesure la plus efficace
Parmi toutes les mesures de prévention contre la fraude BEC, une seule affiche un taux d'efficacité constamment supérieur aux autres selon les enquêteurs spécialisés en fraude financière : la vérification par un deuxième canal de communication, totalement indépendant du courriel qui a initié la demande. Le principe est simple à comprendre, mais exige une discipline organisationnelle constante pour être réellement appliqué.
Concrètement, avant d'exécuter tout virement déclenché par une demande reçue par courriel — particulièrement si elle implique une urgence, un changement de coordonnées bancaires ou un montant inhabituel — l'employé doit contacter directement la personne concernée par téléphone, en utilisant un numéro déjà connu et vérifié au préalable, jamais celui inscrit dans le courriel suspect lui-même. Cette nuance est capitale : un fraudeur habile inclut souvent un faux numéro de téléphone dans son courriel, menant directement à un complice qui confirmera faussement la demande si l'employé l'appelle sans vérifier la source du numéro.
Protocole de vérification par double canal, étape par étape
Identifier les demandes qui déclenchent la vérification obligatoire
Toute demande de virement urgent, tout changement de coordonnées bancaires d'un fournisseur ou d'un employé, et tout montant dépassant le seuil fixé par votre entreprise doivent automatiquement déclencher le protocole, sans exception basée sur l'identité apparente de l'expéditeur.
Consulter le répertoire de numéros vérifiés, jamais le courriel
Utilisez un annuaire interne maintenu à jour, distinct de toute information reçue par courriel, contenant les numéros de téléphone directs et vérifiés des dirigeants, des fournisseurs clés et des partenaires légaux de l'entreprise.
Appeler et confirmer verbalement les détails précis
Confirmez oralement le montant exact, le bénéficiaire et le motif du virement — pas seulement « est-ce que tu m'as envoyé un courriel », ce qui pourrait recevoir une confirmation distraite, mais bien les détails précis de la transaction demandée.
Documenter la vérification avant d'exécuter le virement
Notez la date, l'heure et le résultat de l'appel de vérification dans le dossier de la transaction, ce qui crée à la fois une traçabilité utile en cas d'enquête et un rappel de la discipline appliquée pour les futures transactions similaires.
En cas de doute persistant, impliquer une deuxième personne
Si la personne à joindre est réellement injoignable et que l'urgence semble anormalement pressante, n'exécutez jamais le virement seul sur la base d'un courriel non confirmé — impliquez un second responsable financier ou reportez la transaction jusqu'à confirmation, quitte à assumer un léger retard plutôt qu'un risque financier majeur.
Tableau comparatif des principaux scénarios de fraude BEC
Ce tableau résume les scénarios abordés plus haut, avec leur cible typique en entreprise, le signal d'alerte le plus révélateur et la mesure de protection à prioriser pour chacun.
| Type de fraude BEC | Cible typique | Signal d'alerte principal | Mesure de protection |
|---|---|---|---|
| Fraude du président (CEO fraud) | Contrôleur financier, adjointe administrative | Urgence + confidentialité + contournement des procédures | Vérification téléphonique au numéro connu avant tout virement |
| Fraude au fournisseur (fausse facture) | Comptes payables | Changement soudain de coordonnées bancaires | Confirmer par téléphone avec le contact fournisseur habituel |
| Fraude à la paie | Ressources humaines, service de paie | Demande de changement de dépôt direct hors procédure normale | Vérification en personne ou par téléphone avant toute modification |
| Fraude à l'avocat ou au notaire | Acheteur immobilier, service juridique | Instructions bancaires modifiées de dernière minute | Appeler le cabinet au numéro du site officiel, jamais celui du courriel |
| Fraude au nouveau fournisseur ou faux client | Ventes, comptabilité | Nouvelle relation pressée de finaliser un premier paiement | Vérifier l'entreprise au registre (REQ), délai de grâce obligatoire |
| Fraude par compromission réelle de compte | Tous les employés en copie d'un échange courriel | Ton légèrement différent, demandes hors horaire habituel | 2FA + authentification DMARC/SPF/DKIM + alerte de connexion inhabituelle |
Checklist téléchargeable : protocole anti-fraude BEC
Voici une checklist synthétique à partager avec votre service des finances et votre équipe comptable, à revoir chaque fois qu'un nouvel employé rejoint ces fonctions ou qu'un incident, évité ou survenu, est documenté dans votre entreprise.
Protocole anti-fraude BEC pour votre service des finances
- Vérification obligatoire par un second canal (appel téléphonique au numéro connu, jamais celui du courriel) avant tout virement urgent ou inhabituel
- Seuil de montant fixe (par exemple 5 000 $) déclenchant une double approbation obligatoire par deux personnes distinctes
- Procédure formelle documentée pour tout changement de coordonnées bancaires d'un fournisseur, incluant confirmation écrite et appel de vérification
- Délai de grâce minimal de 24 à 48 heures pour tout virement urgent demandé hors du processus habituel d'approbation
- Formation annuelle obligatoire du personnel comptable sur les scénarios de fraude BEC actuels et les tactiques observées récemment
- Répertoire à jour des numéros de téléphone vérifiés des dirigeants, fournisseurs clés et partenaires légaux, maintenu indépendamment des courriels reçus
- Authentification DMARC, SPF et DKIM configurée et activement surveillée sur le domaine courriel de l'entreprise
- Bannière d'alerte automatique identifiant tout courriel provenant d'un expéditeur externe imitant un domaine interne ou un contact connu
- Procédure claire et non punitive de signalement immédiat au responsable financier et au fournisseur informatique en cas de doute, même après coup
- Vérification systématique au Registraire des entreprises du Québec (REQ) pour toute nouvelle relation fournisseur impliquant des sommes importantes
Études de cas : fraudes BEC réelles en PME québécoises
Les scénarios suivants illustrent, avec des détails réalistes tirés de dossiers typiques traités par des PME québécoises, comment ces fraudes se déroulent concrètement et pourquoi le protocole de vérification par double canal fait toute la différence entre un incident évité et une perte financière réelle.
Étude de cas — Transport Nordique Sept-Îles inc., Sept-Îles
La contrôleuse financière de cette entreprise de transport a reçu un courriel semblant provenir directement du président, alors en déplacement pour une rencontre avec un partenaire minier. Le message demandait un virement de 47 500 $ vers un « nouveau fournisseur logistique », en insistant pour que la transaction reste confidentielle jusqu'à l'annonce officielle du partenariat. Fidèle au protocole mis en place quelques mois plus tôt à la suite d'une session de formation, la contrôleuse a composé le numéro de cellulaire personnel du président, déjà enregistré dans le répertoire interne de l'entreprise — et non celui inscrit dans la signature du courriel. Le président, qui n'avait jamais envoyé une telle demande, a immédiatement confirmé qu'il s'agissait d'une fraude. Le virement n'a jamais été exécuté et l'incident a été signalé le jour même au Centre antifraude du Canada.
Étude de cas — Meubles Victoriaville Design, Victoriaville
Le service des comptes payables de ce fabricant de meubles a reçu une facture d'un fournisseur de bois établi depuis plusieurs années, accompagnée d'un courriel annonçant un changement d'institution financière pour les prochains paiements. La facture reprenait exactement le format habituel du fournisseur, y compris son logo et son numéro de TPS/TVQ. Sans vérification téléphonique préalable — l'entreprise n'avait alors aucun protocole formel en place — le virement de 128 000 $ a été exécuté vers le nouveau compte indiqué. Ce n'est qu'à la réception d'un appel du véritable fournisseur, deux semaines plus tard, réclamant le paiement en retard, que la fraude a été découverte. Malgré un signalement rapide à l'institution financière, seule une partie des fonds a pu être récupérée, le reste ayant déjà été transféré à l'étranger. L'entreprise a depuis instauré un protocole de vérification par double canal pour tout changement de coordonnées bancaires fournisseur.
Étude de cas — Clinique dentaire Granby-Centre, Granby
La responsable de la paie de cette clinique a reçu, à deux reprises sur des cycles de paie consécutifs, un courriel prétendant provenir d'un hygiéniste dentaire de l'équipe, demandant une modification de ses coordonnées de dépôt direct. Les deux demandes ont été traitées sans vérification directe auprès de l'employé concerné, détournant un total de 6 400 $ sur les deux versements avant que l'employé lui-même ne signale, en discutant avec un collègue, ne jamais avoir reçu son dernier salaire. La clinique a depuis instauré une règle simple : aucune modification de dépôt direct n'est traitée sans une confirmation verbale directe avec l'employé concerné, en personne ou par appel au numéro déjà au dossier.
Combien coûte la fraude BEC — et combien coûte s'en protéger
Comprendre l'écart entre le coût d'un incident réussi et le coût des mesures de prévention aide souvent à justifier l'investissement auprès de la direction d'une PME, particulièrement dans les organisations où la cybersécurité est encore perçue comme une dépense optionnelle plutôt qu'un poste budgétaire essentiel.
Coût moyen d'une fraude BEC réussie
Les données agrégées publiées par les organismes antifraude nord-américains montrent que la perte moyenne par incident BEC réussi se chiffre couramment en dizaines de milliers de dollars pour une PME, et peut dépasser largement les 100 000 $ dans les cas impliquant des transactions immobilières ou commerciales de plus grande valeur. Au-delà de la perte financière directe, une entreprise victime doit souvent absorber des coûts indirects : temps de gestion de la direction et de la comptabilité, frais juridiques éventuels, primes d'assurance en hausse, et dans certains cas, atteinte à la relation avec le fournisseur ou le client concerné par la fraude.
Coût d'un audit de processus financier
Un audit ciblé des procédures de virement, d'approbation et de vérification d'une PME québécoise s'inscrit généralement dans une fourchette de quelques centaines à quelques milliers de dollars selon la complexité de l'organisation, un montant largement inférieur à la perte moyenne d'un seul incident BEC réussi. Chez IT Cares, une évaluation initiale de vos pratiques de sécurité est proposée à partir de 119,99 $.
Coût d'une formation anti-fraude pour l'équipe comptable
Une session de formation ciblée pour le service des finances, incluant des exemples réels de fraude BEC et la mise en place d'un protocole de vérification, représente généralement un investissement de quelques centaines de dollars pour une équipe de petite taille — une fraction du coût d'un seul virement frauduleux réussi.
Coût d'un système d'authentification de courriel (DMARC/SPF/DKIM)
La configuration initiale de l'authentification DMARC, SPF et DKIM sur le domaine courriel d'une PME, réalisée par un fournisseur informatique, constitue généralement un projet ponctuel de quelques centaines de dollars, suivi d'un suivi périodique léger pour ajuster les politiques de rejet une fois la configuration validée. Cette mesure technique, combinée à la formation humaine, forme la base d'une défense à deux niveaux contre les tentatives de fraude par courriel.
Ressources gouvernementales et organismes à connaître
Plusieurs organismes canadiens et québécois offrent des ressources gratuites de prévention et des mécanismes de signalement en cas de fraude par courriel touchant votre entreprise.
- Le Centre antifraude du Canada (antifraudcentre-centreantifraude.ca) recueille les signalements de fraude, incluant la fraude BEC, et publie des alertes régulières sur les tactiques observées à travers le pays.
- La Banque de développement du Canada (bdc.ca) propose des ressources et des outils de sensibilisation destinés spécifiquement aux propriétaires de PME sur la prévention de la fraude financière et la cybersécurité en entreprise.
- La Commission d'accès à l'information du Québec (cai.gouv.qc.ca) doit être avisée, en vertu de la Loi 25, lorsqu'un incident de fraude par courriel entraîne également la compromission de renseignements personnels de clients ou d'employés — une déclaration obligatoire distincte du signalement à des fins purement financières.
Mesures techniques complémentaires à la vérification humaine
Bien que la vérification par double canal reste la mesure la plus déterminante, elle gagne à être combinée à des mesures techniques qui réduisent le nombre de tentatives atteignant réellement la boîte de réception de vos employés.
Authentification DMARC, SPF et DKIM du domaine courriel
Ces trois protocoles techniques, configurés au niveau du domaine courriel de votre entreprise, permettent aux serveurs de messagerie receveurs de vérifier qu'un courriel prétendant provenir de votre domaine a bel et bien été envoyé par un serveur autorisé. Une politique DMARC correctement configurée réduit considérablement le risque qu'un fraudeur usurpe directement votre propre domaine pour cibler vos clients ou vos fournisseurs, tout en améliorant la capacité de vos propres filtres à détecter les courriels entrants provenant de domaines falsifiés similaires au vôtre.
Filtres anti-phishing avancés
Les solutions de filtrage avancé, intégrées à Microsoft 365 ou à des plateformes tierces spécialisées, analysent le contenu et le comportement des courriels entrants pour détecter des schémas typiques de fraude BEC — comme une demande de virement combinée à un domaine récemment enregistré — bien au-delà de la simple détection de pièces jointes malveillantes.
Alertes de connexion inhabituelle
Activer les alertes de connexion inhabituelle sur les comptes courriel professionnels (connexion depuis un pays inhabituel, appareil non reconnu, ou activité hors des heures habituelles) permet de détecter rapidement une compromission réelle de compte, avant qu'elle ne soit exploitée pour lancer une campagne de fraude BEC ciblant vos propres contacts d'affaires.
Que faire immédiatement si un virement frauduleux vient d'être exécuté
Si, malgré les mesures de prévention, un virement frauduleux a déjà été exécuté, la rapidité de réaction dans les minutes et les heures qui suivent demeure le facteur le plus déterminant pour maximiser les chances de récupération des fonds.
Contactez votre institution financière immédiatement
Appelez sans délai le service de fraude de votre banque pour demander un rappel ou un blocage du virement. Plus l'appel est fait rapidement après la transaction, meilleures sont les chances qu'une partie ou la totalité des fonds soit encore récupérable avant leur transfert final.
Signalez l'incident au Centre antifraude du Canada
Un signalement rapide contribue non seulement à votre propre dossier, mais alimente également les données utilisées pour alerter d'autres entreprises visées par le même réseau de fraude.
Documentez tout sans rien supprimer
Conservez l'intégralité du courriel frauduleux, incluant ses en-têtes techniques complets, ainsi que toute communication liée à la transaction. Ces éléments sont essentiels pour l'enquête de votre institution financière et, le cas échéant, pour une plainte policière.
Vérifiez si un compte courriel a été compromis
Faites vérifier par votre fournisseur informatique si le compte courriel d'un employé ou d'un dirigeant a réellement été compromis, et non simplement usurpé de l'extérieur, afin de sécuriser rapidement l'accès et de changer les mots de passe concernés.
Ne laissez pas un simple courriel coûter des dizaines de milliers de dollars à votre PME
IT Cares accompagne les PME québécoises dans la mise en place d'un protocole anti-fraude BEC complet : configuration DMARC/SPF/DKIM, formation de votre équipe comptable, audit de vos procédures de virement et support continu en cybersécurité d'entreprise.
Questions fréquentes — Fraude par courriel (BEC) en PME
La fraude BEC (Business Email Compromise, ou fraude par compromission de courriel d'affaires) désigne une attaque où un fraudeur usurpe l'identité d'un dirigeant, d'un fournisseur ou d'un partenaire d'affaires par courriel — via un faux domaine similaire, un compte réellement compromis ou une simple usurpation du nom affiché — pour convaincre un employé ayant accès aux finances de déclencher un virement bancaire urgent et non autorisé.
Les signaux les plus fiables sont la combinaison d'urgence et de confidentialité (« traitez ceci discrètement et rapidement »), une demande qui contourne les procédures habituelles d'approbation, un changement soudain de coordonnées bancaires, un ton légèrement différent du style habituel de l'expéditeur, et une demande envoyée hors des heures normales de bureau, souvent tard le soir ou juste avant un congé.
Un appel téléphonique au numéro déjà connu et vérifié de la personne concernée — jamais celui inscrit dans le courriel suspect — casse le mécanisme même sur lequel repose la fraude BEC, puisque le fraudeur contrôle uniquement le canal courriel et non la ligne téléphonique habituelle du dirigeant ou du fournisseur. Cette simple vérification par un second canal indépendant reste, selon les enquêteurs spécialisés en fraude financière, la mesure la plus efficace pour bloquer une tentative de virement frauduleux avant qu'elle ne soit exécutée.
Contactez immédiatement votre institution financière pour demander un rappel ou un blocage du virement — les premières minutes et les premières heures sont déterminantes. Signalez ensuite l'incident au Centre antifraude du Canada, documentez tous les courriels et communications liés à la fraude sans les supprimer, et avisez votre fournisseur de services informatiques pour vérifier si un compte courriel a été compromis.
Les montants varient énormément selon la taille de l'entreprise et le type de scénario, allant de quelques milliers de dollars pour une fraude à la paie répétée à plusieurs centaines de milliers de dollars pour un virement unique lié à une transaction immobilière ou commerciale. Les données agrégées publiées par les autorités antifraude nord-américaines situent la perte moyenne par incident BEC réussi bien au-delà du coût d'un audit de processus financier ou d'une formation préventive, ce qui rend la prévention nettement plus rentable que la récupération après coup.
L'authentification DMARC, SPF et DKIM du domaine courriel de votre entreprise réduit considérablement le risque qu'un fraudeur usurpe directement votre propre domaine pour cibler vos clients ou fournisseurs, et aide vos filtres à détecter les courriels entrants provenant de domaines falsifiés similaires au vôtre. Elle ne remplace toutefois pas la vérification humaine par un second canal, puisqu'elle ne peut pas empêcher la simple usurpation du nom affiché ni la compromission réelle d'un compte courriel légitime chez un fournisseur.
Contactez d'abord votre institution financière pour tenter de bloquer tout virement en cours, puis signalez l'incident au Centre antifraude du Canada (antifraudcentre-centreantifraude.ca). Si des renseignements personnels de clients ou d'employés ont été compromis dans l'incident, une déclaration à la Commission d'accès à l'information du Québec (cai.gouv.qc.ca) peut être obligatoire en vertu de la Loi 25. La Banque de développement du Canada (bdc.ca) propose également des ressources de prévention destinées aux PME.
Oui, et souvent davantage qu'une grande entreprise, puisque les petites structures manquent fréquemment d'un protocole formel de double vérification, d'un service financier séparé de la direction, ou d'une équipe informatique interne capable de détecter une compromission de compte. Les fraudeurs ciblent activement les PME québécoises précisément parce qu'un seul employé peut souvent approuver un virement sans validation supplémentaire, contrairement aux grandes organisations dotées de contrôles internes plus stricts.
Commentaires (3)
On a failli se faire avoir avec la fraude à l'avocat lors de l'achat de notre nouveau local commercial. Heureusement notre notaire nous avait déjà prévenus de toujours appeler avant tout changement d'instructions bancaires. Ça a évité un désastre de 190 000 $.
Notre comptable a reçu un courriel du « propriétaire » demandant un virement urgent un vendredi à 16h30. Elle a appelé directement au cellulaire habituel — le vrai proprio n'avait jamais rien envoyé. Le protocole de vérification a fait toute la différence ce jour-là.
Excellent résumé. On avait déjà le 2FA partout mais aucune procédure formelle pour les changements de coordonnées bancaires fournisseurs. C'est réglé cette semaine avec un formulaire de vérification obligatoire.
Laisser un commentaire