# Cybersécurité des courtiers immobiliers et hypothécaires

Source : https://cybercaribou.com/blogue/cybersecurite-courtiers-immobiliers-hypothecaires · Cyber Caribou

> Fraude au virement avant la signature, pièces d'identité, exigences de l'OACIQ et de l'AMF : les mesures de cybersécurité prioritaires pour les courtiers.

Mercredi soir, à Terrebonne. Un jeune couple achète sa première maison ; la signature chez la notaire est prévue vendredi. Un courriel arrive, signé par l'adjointe de l'étude : nos coordonnées bancaires ont changé, voici les instructions pour virer votre mise de fonds avant jeudi midi. Le logo est le bon, le numéro de dossier aussi. Ils font le virement.

Vendredi, la notaire n'a rien reçu. L'enquête montrera que la boîte de courriel de leur courtier immobilier était compromise depuis trois semaines : le fraudeur connaissait le prix, la date de signature et le nom de l'étude.

Ce scénario est fictif, mais sa mécanique est bien connue. Voici ce que vos obligations exigent, et les mesures qui coupent court à ce type de fraude.

- Le règlement de déontologie de l'OACIQ impose la confidentialité des renseignements personnels et des outils de travail conservés de façon à la préserver (art. 31 à 33).
- Dans une agence, le dirigeant d'agence est d'office responsable de la protection des renseignements personnels, rappelle la ligne directrice de l'OACIQ.
- Depuis le 1er mai 2020, les courtiers hypothécaires relèvent de l'Autorité des marchés financiers, dont le guide du dirigeant responsable consacre une section à la cybersécurité.
- La parade à la fraude au virement : aucune coordonnée bancaire transmise ou acceptée par courriel seul, et une confirmation par téléphone à un numéro vérifié.

## Pourquoi les courtiers sont dans la mire des fraudeurs

Un courtier est au cœur de transactions importantes et échange par courriel avec toutes les parties : acheteur, vendeur, notaire, prêteur, inspecteur. Pour un fraudeur, sa boîte de courriel contient tout ce qu'il faut pour monter une arnaque crédible.

Trois facteurs aggravent le risque :

- **Les pièces d'identité.** Le courtier doit vérifier l'identité des parties et, s'il ne les a pas rencontrées en personne, conserver au dossier les documents ayant servi à cette vérification (art. 29 du règlement). Permis de conduire, passeport : exactement ce que recherchent les voleurs d'identité.
- **La mobilité.** On travaille du cellulaire, entre deux visites, parfois avec une adresse personnelle et des applications installées sans contrôle.
- **Les échéances.** Conditions, financement, signature : dans une transaction, un message pressant paraît normal.

## Ce que l'OACIQ et l'AMF exigent

Le courtier immobilier doit protéger la confidentialité des renseignements personnels en vertu du règlement de déontologie de l'OACIQ et de la Loi 25 ; le cabinet de courtage hypothécaire, encadré par l'AMF depuis 2020, doit mettre en place des mesures de cybersécurité adaptées à sa taille et à ses risques.

| Exigence | Source | En pratique |
|---|---|---|
| Confidentialité des informations confiées et secret des renseignements personnels | Règlement de l'OACIQ (C-73.2, r. 1), art. 31 | Accès aux dossiers limité aux personnes qui en ont besoin |
| Moyens raisonnables pour que le personnel ne révèle pas de renseignements ; outils, registres et dossiers conservés de façon à préserver la confidentialité | Même règlement, art. 33 | Authentification multifacteur, téléphones chiffrés, gestion documentaire de l'agence |
| Vérification d'identité et conservation des documents | Même règlement, art. 29 | Pièces d'identité dans un dossier protégé, pas dans la boîte de courriel |
| Responsable de la protection des renseignements personnels, registre des incidents, mesures de sécurité | Loi 25 et ligne directrice de l'OACIQ | Le dirigeant d'agence, ou une personne déléguée par écrit |
| Mesures de cybersécurité, plan de réponse aux incidents, formation | AMF, Guide pour le dirigeant responsable (2e éd., 2024) | Politique de sécurité, plan d'incident et formation au cabinet hypothécaire |

La ligne directrice de l'OACIQ précise que c'est l'agence qui « détient » légalement les renseignements personnels. Le courtier doit lui transmettre l'information recueillie et détruire sa copie, courriels et textos compris, dès qu'elle n'est plus nécessaire. Moins de copies, moins d'exposition.

Du côté hypothécaire, le guide de l'AMF indique que l'inscrit doit mettre en place des mesures de cybersécurité selon la taille du cabinet, sa clientèle et son environnement technologique. Il recommande de limiter l'accès aux données sensibles et de former le personnel, notamment par des exercices d'hameçonnage. Ces exigences dépendent de votre situation : validez-les avec votre dirigeant d'agence ou votre conseiller juridique.

## Le scénario du jour de la signature, étape par étape

La fraude au virement immobilier consiste à remplacer les coordonnées du compte en fidéicommis du notaire ou de l'agence par celles d'un compte contrôlé par le fraudeur, juste avant que l'acheteur transfère son acompte ou sa mise de fonds. Elle se déroule presque toujours ainsi :

1. **L'hameçonnage.** Le courtier reçoit un faux avis de partage de document et saisit son mot de passe. Sans authentification multifacteur, le fraudeur entre.
2. **La lecture silencieuse.** Il crée une règle qui masque certains messages, puis lit les échanges pendant des semaines.
3. **Le sosie.** Il enregistre un domaine presque identique à celui de l'étude ou de l'agence.
4. **Le message.** Au bon moment, il envoie de « nouvelles » instructions de virement, avec les vrais noms et le vrai numéro de dossier.
5. **Le virement.** L'argent part vers un compte qu'il contrôle, et en ressort rapidement.

L'OACIQ décrit la marche à suivre pour un acompte reçu par virement : le courtier obtient le numéro du compte en fidéicommis auprès du fiduciaire et le transmet à son client acheteur. C'est précisément l'information qu'un fraudeur cherche à remplacer. L'organisme rappelle que la même vigilance s'impose pour un virement que pour un chèque. Il met aussi en garde contre un autre stratagème : un faux acheteur étranger remet un chèque de dépôt contrefait, puis se désiste et réclame un remboursement. Vérifiez auprès de votre institution financière avant de rembourser ; l'encaissement d'un chèque de l'étranger peut prendre jusqu'à 45, voire 90 jours.

La parade est la même que pour la [fraude au changement de coordonnées bancaires](https://cybercaribou.com/blogue/fraude-changement-coordonnees-bancaires-fournisseur) : toute instruction de paiement se confirme par téléphone, à un numéro obtenu de façon indépendante, jamais celui du courriel. Dites-le à vos clients dès le premier rendez-vous, et par écrit : « Nous ne vous enverrons jamais de coordonnées bancaires par courriel. » Les notaires font face au même risque, comme nous l'expliquons dans notre article sur la [cybersécurité des notaires](https://cybercaribou.com/blogue/cybersecurite-cabinets-avocats-notaires).

## Les mesures prioritaires pour une agence ou un courtier

Ces mesures couvrent l'essentiel du risque et se mettent en place en quelques semaines avec votre fournisseur TI :

- [ ] Authentification multifacteur sur le courriel, le logiciel de transactions, la signature électronique, le logiciel de gestion de la clientèle et la banque.
- [ ] Une adresse de courriel gérée par l'agence pour les transactions, pas une adresse personnelle gratuite.
- [ ] SPF, DKIM et [DMARC](https://cybercaribou.com/blogue/spf-dkim-dmarc-explication) configurés sur le domaine, pour qu'on ne puisse pas l'usurper facilement.
- [ ] Alertes sur les règles de transfert automatique et les connexions inhabituelles.
- [ ] Téléphones verrouillés, chiffrés, avec effacement à distance.
- [ ] Pièces d'identité et documents financiers déposés dans le système de gestion documentaire de l'agence, pas laissés en pièces jointes.
- [ ] Copies détruites à la fin du mandat, courriels et textos compris.
- [ ] Une mention dans la signature courriel : aucune coordonnée bancaire n'est transmise par courriel.
- [ ] Une procédure de rappel écrite pour tout virement.
- [ ] Une formation annuelle et des exercices d'hameçonnage.
- [ ] Le retrait de tous les accès le jour même du départ d'un courtier ou d'un employé.

## Si un client a déjà fait le virement

Appelez immédiatement la banque qui a émis le virement : plus la demande de rappel est rapide, meilleures sont les chances de bloquer les fonds. Ensuite :

1. Portez plainte à la police et signalez la fraude au Centre antifraude du Canada.
2. Avisez la notaire, le dirigeant d'agence et votre assureur.
3. Conservez les courriels frauduleux et leurs en-têtes ; ne supprimez rien.
4. Sécurisez la boîte compromise : nouveau mot de passe, sessions fermées, règles de transfert supprimées, authentification multifacteur activée.
5. Évaluez l'incident au regard de la Loi 25. Une boîte compromise qui contenait des pièces d'identité est un incident de confidentialité : inscrivez-le au registre et, s'il présente un risque de préjudice sérieux, avisez avec diligence la Commission d'accès à l'information et les personnes concernées. Validez cette évaluation avec votre conseiller juridique.

Notre équipe peut évaluer la configuration du courriel, des téléphones et des procédures de paiement de votre agence dans le cadre d'un [audit de cybersécurité](https://cybercaribou.com/services/audit-cybersecurite). Dans le Grand Montréal, un expert peut aussi [venir vous rencontrer sur place](https://cybercaribou.com/rencontre-sur-place).

## FAQ

**Les courtiers hypothécaires sont-ils encore encadrés par l'OACIQ ?**
Non. Depuis le 1er mai 2020, l'encadrement du courtage hypothécaire relève de l'Autorité des marchés financiers, en vertu de la Loi sur la distribution de produits et services financiers. L'OACIQ continue d'encadrer le courtage immobilier. Dans les deux cas, la Loi 25 s'applique aux renseignements personnels des clients.

**Qui est responsable de la protection des renseignements personnels dans une agence immobilière ?**
Selon la ligne directrice de l'OACIQ, c'est d'office la personne ayant la plus haute autorité : le dirigeant d'agence, ou le courtier qui agit à son compte. Cette fonction peut être déléguée par écrit à une personne qui a les compétences et le pouvoir décisionnel requis. Le titre et les coordonnées du responsable doivent être publiés sur le site Web de l'agence.

**Un courtier immobilier peut-il recevoir des pièces d'identité par courriel ?**
À notre connaissance, aucune règle ne l'interdit expressément, mais le règlement de déontologie exige que les outils de travail et les dossiers soient conservés de façon à préserver la confidentialité. Une pièce jointe se copie dans plusieurs boîtes et appareils. Privilégiez le système de gestion documentaire de l'agence ou un portail sécurisé, et supprimez les pièces jointes une fois les documents classés.

**Que faire si j'ai viré ma mise de fonds à un fraudeur ?**
Appelez immédiatement votre banque pour demander le rappel ou le blocage du virement : chaque heure compte. Portez plainte à la police, signalez la fraude au Centre antifraude du Canada, puis avisez votre notaire et votre courtier. Conservez tous les courriels reçus, sans les supprimer ni y répondre.

## Sources

- [LégisQuébec : Règlement sur les conditions d'exercice d'une opération de courtage, sur la déontologie des courtiers et sur la publicité (C-73.2, r. 1)](https://www.legisquebec.gouv.qc.ca/fr/document/rc/C-73.2,%20r.%201)
- [OACIQ : Ligne directrice sur la protection des renseignements personnels](https://www.oaciq.com/fr/titulaires-de-permis/lignes-directrices/ligne-directrice-protection-des-renseignements-personnels/)
- [OACIQ : Tentatives de fraude auprès des agences et des courtiers immobiliers](https://www.oaciq.com/fr/titulaires-de-permis/tentatives-de-fraude-aupres-des-agences-et-des-courtiers-immobiliers-soyez-vigilants/)
- [OACIQ : Réception d'un acompte effectué par virement électronique](https://www.oaciq.com/fr/titulaires-de-permis/reception-acompte-effectue-virement-electronique-et-non-cheque-faire/)
- [Gouvernement du Québec : L'Autorité des marchés financiers encadre dorénavant le courtage hypothécaire (1er mai 2020)](https://www.quebec.ca/nouvelles/actualites/details/lautorite-des-marches-financiers-encadre-dorenavant-le-courtage-hypothecaire)
- [Autorité des marchés financiers : Guide pour le dirigeant responsable, courtage hypothécaire (F-117, 2e édition, 2024)](https://lautorite.qc.ca/fileadmin/lautorite/devenir-professionnel/courtage-hypothecaire/F-117_DRCH-2e_fr.pdf)
- [LégisQuébec : Loi sur la protection des renseignements personnels dans le secteur privé (P-39.1)](https://www.legisquebec.gouv.qc.ca/fr/document/lc/P-39.1)