Cybersécurité en construction : fraude, chantiers et soumissions

Un entrepreneur général de Terrebonne, 40 employés, trois chantiers en cours. Un vendredi, la comptable reçoit un courriel de leur sous-traitant en coffrage : la banque a changé, voici le nouveau spécimen de chèque, merci d'utiliser ce compte pour la demande de paiement de ce mois-ci. Le courriel arrive dans le bon fil de discussion, avec le bon numéro de facture et le bon montant. Le virement part. Trois semaines plus tard, le vrai sous-traitant appelle : il n'a jamais été payé.

Ce scénario n'a rien d'exceptionnel. Selon le Centre antifraude du Canada, les secteurs de la construction, des entreprises générales et de l'immobilier sont particulièrement ciblés par le détournement de paiement. Le Centre rapporte des pertes de plus de 68 M$ liées au harponnage en 2025, et de près de 31 M$ au cours des trois premiers mois de 2026. Au printemps 2026, une entreprise québécoise a pu récupérer environ 3,5 M$ après deux virements frauduleux : les institutions financières ont relevé des anomalies et l'incident a été signalé rapidement.

La construction n'est pas visée par hasard. Voici pourquoi, et surtout comment fermer la porte.

Pourquoi la construction attire les fraudeurs

Plusieurs traits du secteur rendent la fraude rentable et facile à déguiser :

• Des paiements fréquents et élevés. Demandes de paiement progressives, retenues contractuelles, factures de matériaux : l'argent circule constamment.
• Une longue chaîne de fournisseurs. Chaque sous-traitant est une boîte de courriel de plus qui peut être piratée, et c'est souvent par lui que la fraude arrive.
• Un calendrier prévisible. Le Centre antifraude du Canada observe que les fraudeurs étudient le style des échanges, les échéanciers de paiement et les personnes-clés avant de se faire passer pour un fournisseur.
• Beaucoup d'information publique. Les avis d'appels d'offres et les renseignements sur les contrats des organismes publics sont publiés au SEAO, le Système électronique d'appel d'offres. Ajoutez les panneaux de chantier, la section « Nos réalisations » de votre site et LinkedIn : on sait vite qui travaille avec qui.
• Des approbations faites entre deux réunions. Le chargé de projet valide une facture sur son téléphone, en plein soleil, sans prendre le temps de vérifier l'adresse de l'expéditeur.

Le phénomène dépasse le Québec. Au Royaume-Uni, la National Crime Agency classe la construction parmi les deux secteurs les plus touchés par la fraude à la facture, en raison des chaînes d'approvisionnement complexes, des paiements élevés et de la dépendance au courriel.

Anatomie d'un détournement de paiement

1. La prise de contrôle. Un employé du sous-traitant, ou le vôtre, entre son mot de passe sur une fausse page de connexion, souvent après un courriel du genre « Nouveaux documents d'appel d'offres à consulter ».
2. L'observation. Le fraudeur crée une règle qui transfère discrètement les courriels vers une adresse qu'il contrôle. Il lit, il attend la bonne facture.
3. Le déguisement. Il répond dans le vrai fil de discussion, ou depuis un domaine sosie qui ne diffère que d'une lettre.
4. La demande. Nouveau compte bancaire, sentiment d'urgence, parfois une lettre « de la banque ».
5. La découverte. Des semaines plus tard, le vrai fournisseur réclame son paiement.

La procédure de paiement qui bloque la fraude

La technologie aide, mais c'est la procédure qui sauve l'argent. Elle tient sur une page :

• Tout changement de coordonnées bancaires est confirmé par téléphone, au numéro déjà au dossier, jamais à celui qui figure dans le courriel.
• La personne qui confirme n'est pas celle qui a reçu la demande.
• Les virements au-delà d'un seuil fixé par la direction exigent deux approbations.
• Un nouveau compte bancaire n'est jamais payé le jour même de la demande.
• Les factures qui arrivent pendant les vacances de la construction ou en fin d'année font l'objet d'une vigilance accrue.
• En cas de doute après un virement : appel immédiat à la banque, puis signalement à la police et au Centre antifraude du Canada.

Notre article sur la fraude au changement de coordonnées bancaires propose un modèle de procédure complet.

Le courriel, votre premier chantier technique

Puisque la fraude passe par le courriel, c'est là qu'il faut investir en premier :

• L'authentification multifacteur sur tous les comptes, y compris les boîtes génériques et celles des contremaîtres. Le Centre antifraude du Canada la recommande explicitement. Notre guide pour choisir sa méthode d'authentification multifacteur vous aide à trancher.
• Le transfert automatique vers l'extérieur bloqué, et une alerte dès qu'une nouvelle règle de boîte de réception apparaît.
• SPF, DKIM et DMARC configurés pour qu'on ne puisse pas envoyer de courriels en votre nom. Notre vérificateur DMARC, SPF et DKIM vous indique où vous en êtes en quelques secondes.
• Une bannière « Expéditeur externe » sur les courriels venus de l'extérieur, qui aide à repérer les domaines sosies.

Chantiers, appareils mobiles et comptes partagés

Le bureau de chantier, c'est souvent une roulotte, un routeur cellulaire et quelques tablettes qui passent de main en main. Les règles de base :

• Des appareils gérés. Verrouillage de l'écran, chiffrement et effacement à distance. Une tablette oubliée sur le tableau de bord d'une camionnette contient des plans, des photos et des sessions ouvertes.
• Des comptes nominatifs. Un compte « chantier » partagé par six personnes rend impossible de savoir qui a fait quoi, et de couper l'accès quand quelqu'un part.
• Des accès temporaires pour les sous-traitants. Dans votre logiciel de gestion de projet et vos dossiers infonuagiques, retirez les accès à la fin du contrat.
• Des mots de passe changés sur les routeurs, les caméras de surveillance et les autres appareils installés sur le chantier.

Appels d'offres et documents de soumission

Vos prix de soumission sont confidentiels jusqu'à l'ouverture, et vos plans peuvent contenir des renseignements sur les systèmes de sécurité de vos clients. Limitez qui peut consulter les dossiers de soumission, privilégiez les liens de partage nominatifs qui expirent et méfiez-vous des fausses invitations à soumissionner : si un courriel vous demande de vous connecter pour « consulter les documents », allez plutôt directement sur le SEAO ou sur le portail du donneur d'ouvrage.

Enfin, pensez au pire moment possible : un rançongiciel la veille du dépôt d'une soumission importante. Des sauvegardes hors ligne testées, qui incluent les dossiers d'estimation, font la différence entre un retard et une soumission perdue.

Par où commencer

Commencez par la procédure de paiement écrite et l'authentification multifacteur : deux mesures peu coûteuses qui ferment la porte à la fraude la plus fréquente. Notre équipe peut ensuite réaliser un audit de cybersécurité qui couvre vos comptes de courriel, vos appareils de chantier et vos procédures financières. Si vos bureaux sont dans le Grand Montréal, nous pouvons aussi venir vous rencontrer sur place.