Fraude au changement de coordonnées bancaires d'un fournisseur

Le courriel vient bien de votre fournisseur de béton. Même adresse, même signature, même fil de discussion que le mois dernier. Seule nouveauté : « Veuillez noter nos nouvelles coordonnées bancaires pour le paiement de la facture ci-jointe. »

Trois semaines plus tard, le vrai fournisseur appelle au sujet d'un retard de paiement. Les 63 000 $ sont partis ailleurs.

C'est la fraude au changement de coordonnées bancaires, une des variantes les plus coûteuses du courriel d'affaires compromis. Si elle est en train de vous arriver, commencez par la première section.

Le virement est déjà parti : six gestes, dans l'ordre

1. Appelez votre institution financière, au service des fraudes, et demandez un blocage ou un rappel des fonds. Ne vous contentez pas d'un courriel. En 2025, le Centre antifraude du Canada a annoncé la récupération de 2,3 M$ après une fraude visant un cabinet d'avocats de la région de Vancouver, parce qu'une banque à l'étranger avait signalé rapidement le virement suspect. La vitesse fait la différence.
2. Signalez la fraude à votre service de police local et au Centre antifraude du Canada, sur la plateforme Signaler la cybercriminalité et la fraude ou au 1-888-495-8501.
3. Prévenez le vrai fournisseur, à son numéro connu. Sa boîte est peut-être compromise, et ses autres clients sont peut-être visés en ce moment.
4. Conservez tout : le courriel avec ses en-têtes, la facture modifiée, la lettre ou le spécimen de chèque reçu, la liste des appels. Ne supprimez rien.
5. Vérifiez vos propres boîtes. Le fraudeur est peut-être passé par chez vous : connexions inhabituelles, règles de transfert, messages envoyés que personne n'a écrits.
6. Avisez votre assureur et votre courtier. La fraude par ingénierie sociale relève souvent d'une garantie distincte, parfois limitée.

Comment le stratagème fonctionne

Le fraudeur n'a pas besoin de pirater votre banque. Il lui suffit de s'asseoir au milieu d'une conversation normale.

La boîte du fournisseur est compromise. C'est le scénario le plus redoutable. Le fraudeur a volé le mot de passe d'un employé du fournisseur, souvent par hameçonnage. Il lit les échanges pendant des semaines, repère les factures importantes et attend le bon moment. Il répond dans le vrai fil, avec la vraie adresse. Souvent, il ajoute une règle qui cache vos réponses au fournisseur.

Le domaine sosie. Le fraudeur enregistre une adresse presque identique : betonrivesud.example devient betonrive-sud.example. Sur un cellulaire, la différence passe inaperçue.

Votre propre boîte est compromise. Le fraudeur intercepte la facture reçue par votre comptabilité, modifie le PDF et le remet dans la boîte.

Les accessoires suivent : une lettre « de la banque », un spécimen de chèque, un logo propre. Tout ça se falsifie en quelques minutes. Le moment choisi n'est pas un hasard non plus : fin de mois, vacances de la construction, période de pointe. Les entrepreneurs, qui paient de nombreux sous-traitants, sont particulièrement exposés ; nous en parlons dans notre article sur la cybersécurité des entreprises de construction.

Les signaux d'alarme

Aucun de ces signaux n'est obligatoire. La fraude la mieux préparée n'en montre parfois aucun : d'où l'importance d'une procédure qui ne dépend pas du flair.

La procédure qui arrête la fraude

Selon des données de l'industrie citées par Insurance Business Canada (octobre 2025), une fraude au virement coûte en moyenne 118 000 $ à une PME canadienne. La parade coûte presque rien. Elle tient en une procédure écrite :

• Aucun changement de coordonnées n'est appliqué sur la seule foi d'un courriel, d'une lettre ou d'un appel reçu.
• Le changement est confirmé par un appel au numéro déjà inscrit au dossier fournisseur, jamais à celui du message ou de la nouvelle facture.
• Une deuxième personne approuve la modification dans le logiciel comptable.
• Un délai de quelques jours ouvrables précède le premier paiement vers le nouveau compte.
• Les virements au-delà d'un seuil exigent une double autorisation, comme le recommande le Centre antifraude du Canada.
• Après le premier paiement, quelqu'un confirme la réception auprès du fournisseur.
• Un rapport des modifications du fichier fournisseurs est revu chaque mois.
• La procédure est signée par la direction, qui s'engage à ne jamais demander d'exception.

Le rappel est la mesure clé. Elle fonctionne parce qu'elle ne demande pas à l'employé de détecter un faux parfait : elle rend le faux inutile.

Quand c'est votre entreprise qui sert d'appât

Si votre boîte est compromise, ce sont vos clients qui recevront de faux avis de changement de coordonnées signés par vous.

Les signes : un client appelle au sujet de votre « nouveau compte », des réponses que vous n'avez jamais envoyées, une règle de transfert inconnue.

Les gestes : réinitialisez le compte, déconnectez toutes les sessions, activez la MFA, puis prévenez vos clients par téléphone ou par un canal connu. Rappelez-leur votre règle : « Nous ne changerons jamais nos coordonnées bancaires par courriel. » Mieux encore, imprimez-la sur vos factures dès aujourd'hui.

Si la boîte contenait des renseignements personnels, l'incident peut relever de la Loi 25 : inscription au registre (art. 3.8) et, en cas de risque de préjudice sérieux, avis à la CAI et aux personnes concernées avec diligence (art. 3.5). L'article Cyberattaque : qui aviser, et dans quel ordre fait le tour des parties à prévenir. Validez avec votre conseiller juridique.

Les contrôles techniques en renfort

La procédure fait le gros du travail. La technologie réduit les occasions :

• MFA sur toutes les boîtes de courriel et sur les accès bancaires, une recommandation du Centre antifraude du Canada.
• SPF, DKIM et DMARC sur votre domaine, pour qu'un fraudeur ne puisse pas écrire à vos clients avec votre adresse exacte.
• Alertes sur les règles de transfert et les connexions inhabituelles.
• Bandeau « expéditeur externe » bien visible sur les courriels venus de l'extérieur.

Ces réglages font partie de notre audit Microsoft 365 et Google Workspace. Et pour les autres visages de la même fraude, faux président et paie détournée, lisez notre guide sur la fraude du président.

Commencez lundi : écrivez la règle du rappel, faites-la signer par la direction et envoyez-la à vos fournisseurs.