Ce contenu a été traduit par intelligence artificielle. Bien que cette technologie ait été alimentée par la terminologie de la CIBC, il se peut que la traduction contienne des erreurs.

Intro : Bienvenue au balado de Gestion de trésorerie CIBC. Dans la première partie de notre discussion sur la gestion de la fraude, nous avons examiné comment les fraudeurs utilisent des tactiques d’usurpation d’identité, les prises de contrôle de comptes et les arnaques de compromission des courriels d’entreprise pour cibler des organisations. Au cours de la discussion d’aujourd’hui, nous nous appuierons sur notre conversation précédente en examinant l’hameçonnage et les attaques par prise de contrôle d’appareils, le rôle croissant de l’intelligence artificielle dans la fraude et les mesures pratiques que les organisations peuvent prendre pour renforcer leurs défenses.

Andre Blanchard : Je m’appelle Andre Blanchard. Ryan Powell, vice-président, Gestion des risques de fraude à la Banque CIBC, se joint à moi aujourd’hui. Ryan travaille en étroite collaboration avec mon équipe et d’autres équipes et clients pour aider à repérer les tendances en matière de fraude et à renforcer la sensibilisation aux menaces émergentes.

Ryan, bienvenue et merci d’être avec nous.

Ryan Powell : Merci, Andre. C’est un plaisir d’être ici.

Andre Blanchard : Lançons le bal, Ryan. Une autre menace dont nous entendons parler davantage ces derniers temps estl’hameçonnage vocal. Qu’est-ce que cela signifie réellement?

Ryan Powell : Oui, nous entendons parler de filoutage, de l’hameçonnage par message texte et de l’hameçonnage par téléphone. Ce sont toutes des variantesde la même chose. La différence réside dans le canal de communication utilisé. L’hameçonnage vocal est simplement de lhameçonnage par la voix, en utilisant des appels téléphoniques pour essayer d’obtenir des mots de passe, des NIP ou d’autres renseignements de nature délicate. Les arnaques par usurpation d’identité dont nous avons parlé plus tôt sont très courantes, mais ce n’est pas le seul type d’hameçonnage.

En y réfléchissant, il est important de comprendre que la fraude n’est pas toujours aussi simple que celle que nous décrivons ici. Les fraudeurs font évoluer leurs tactiques. Ils combinent leurs tactiques pour tirer parti de ce qu’ils savent sur la situation sociale et économique de leur cible et sur tout autre scénario qui pourrait ajouter de la légitimité.

Nous le voyons dans les arnaques de soutien technologique. À titre d’exemple, l’appelant peut prétendre que votre compte ou votre appareil a été compromis. Il peut offrir de l’aide. Au lieu de demander un NIP ou un mot de passe, il peut demander à la personne d’installer une application d’accès à distance, de visiter un site Web inconnu, de partager votre écran d’ordinateur, de transmettre vos appels téléphoniques ou de modifier autrement les paramètres de sécurité.

Une fois ce type d’accès accordé, le fraudeur pourrait être en mesure de consulter des renseignements confidentiels. Il pourrait être en mesure d’accéder à vos courriels ou à vos services bancaires, et s’il amorce des opérations de cette façon, elles sembleront provenir de votre appareil légitime.

Andre Blanchard : Les employés ont donc un rôle important à jouer dans la prévention de la fraude. Quels conseils donneriez-vous à ces employés sur les signaux d’alerte ou les signes avant-coureurs?

Ryan Powell : Les signes avant-coureurs peuvent comprendre un appel non sollicité qui crée cette urgence ou cette peur dont nous avons discuté plus tôt. Une demande d’installation de logiciel ou d’octroi d’instructions de télécommande pour garder l’appel secret, une pression pour rester en ligne pendant l’ouverture de session, en plus des demandes de mots de passe, de NIP ou d’autres secrets dont nous avons parlé plus tôt.

L’identification de l’appelant à elle seule ne doit jamais être traitée comme une preuve que l’appelant est légitime, car les fraudeurs peuvent déformer le numéro de téléphone à partir duquel ils appellent.

Andre Blanchard : Si quelqu’un reçoit ces appels téléphoniques, que lui conseilleriez-vous de faire?

Ryan Powell : Encore une fois, mettez fin à l’appel et ne suivez pas les directives de l’appelant. N’installez pas de logiciel, ne cliquez pas de lien, ne partagez pas votre écran, ne divulguez pas les identifiants et n’approuvez pas un message d’authentification. Communiquez avec l’organisation au moyen d’un numéro de téléphone de confiance qui figure déjà au dossier. Si l’appel concerne un appareil de travail ou votre compte d’entreprise, informez-en rapidement votre équipe Sécurité interne ou votre équipe des TI.

Andre Blanchard : J’espère que cela ne se produira pas. Mais que se passe-t-il si une personne a déjà installé le logiciel, cliqué sur le lien ou autorisé l’accès?

Ryan Powell : Agissez immédiatement. Encore une fois, le temps presse. Cessez d’interagir avec l’appelant et communiquez avec l’équipe de sécurité de votre organisation ou de TI et votre banque par l’intermédiaire des canaux de confiance. Suivez les instructions d’intervention en cas d’incident de votre organisation, conservez les messages et les renseignements pertinents sur l’appel et signalez toute activité suspecte ou non autorisée. Ne poursuivez pas vos opérations bancaires ou n’accédez pas aux systèmes d’entreprise sensibles à partir d’un appareil touché tant qu’ils n’ont pas été évalués et sécurisés.

Andre Blanchard : Ryan, je crois comprendre que les fraudeurs sont de plus en plus avancés et tirent parti de l’IA et de la technologie. Souvent, ils n’utilisent probablement pas ces types d’arnaques de façon isolée. À quoi cela ressemble-t-il dans le monde réel?

Ryan Powell : Dans le monde réel, les arnaques évoluent très rapidement. Ils évoluent avec la technologie, comme nous en avons discuté, et ils peuvent être hyperciblés. Cela signifie qu’une arnaque pourrait ne pas se présenter aussi clairement que nous en avons discuté aujourd’hui. Elle peut commencer dans l’une de ces catégories, comme une compromission des courriels d’entreprise ou un courriel demandant un changement d’accès ou un changement de renseignements sur un paiement.

Mais cela peut évoluer pour vous demander d’installer un logiciel et de virer des fonds. Il est donc important de rester à l’affût des signaux d’alerte généraux d’un appel ou d’un courriel non sollicité qui vous demande d’agir rapidement ou qui n’a tout simplement aucun sens.

Andre Blanchard : Nous avons beaucoup parlé de compromission des ordinateurs et des courriels, mais nos téléphones mobiles sont également à risque de la même façon?

Ryan Powell : Oui, les appareils mobiles peuvent exposer les courriels, les messages textes, les demandes d’authentification, les applications bancaires et les données d’entreprise. Les fraudeurs peuvent aussi essayer d’obtenir des capacités de partage d’écran ou d’accès à distance à votre téléphone mobile. Il peut persuader un utilisateur d’installer une application ou de prendre le contrôle du téléphone au moyen de ce que nous appelons une attaque liée à la carte SIM.

Les employés doivent donc protéger les appareils mobiles au moyen d’une authentification solide, tenir à jour les systèmes d’exploitation et les applications, et traiter les demandes imprévues ou la perte de service cellulaire comme des raisons de faire une pause et d’enquêter.

Andre Blanchard : Maintenant, en tant qu’expert, si vous aviez un seul message ou un message simple que vous donneriez aux entreprises pour leurs propres employés au sujet de l’hameçonnage vocal et des prises de contrôle d’appareils, quel serait-il?

Ryan Powell : Aucun processus de sécurité légitime ne doit dépendre d’un appelant inattendu qui exerce des pressions sur vous pour que vous installiez un logiciel d’accès à distance, divulguiez les identifiants ou approuviez une mesure que vous n’avez pas amorcée. Arrêtez toujours, vérifiez de façon indépendante, puis, en cas de problème, soumettez le cas à un autre palier d’intervention rapidement.

Andre Blanchard : Parlons maintenant de quelque chose qui est très courant dans les médias aujourd’hui. Discutons de l’IA et de la façon dont elle fait partie de presque toutes les conversations sur la technologie aujourd’hui. L’IA change-t-elle le contexte de la fraude? S’agit-il du nouveau champ de bataille de la fraude?

Ryan Powell : Certainement. L’IA accélère la vitesse, l’ampleur et la sophistication des tentatives de fraude. Les fraudeurs peuvent utiliser l’IA générative pour produire des courriels d’hameçonnage très soignés afin de rechercher leurs cibles, de personnaliser les messages, voire d’imiter les styles d’écriture. Ils peuvent créer des enregistrements ou des vidéos synthétiques ou hypertrucages qui sont très convaincants.

Ces vidéos peuvent mettre en vedette un cadre supérieur de confiance, un fournisseur, un membre de la famille, essentiellement, n’importe qui. Cela peut rendre la compromission des courriels d’entreprise, l’hameçonnage par message texte et les sites Web trompeurs d’autant plus convaincants. Cela rend les signes avant-coureurs traditionnels, comme une mauvaise grammaire, une mauvaise orthographe ou un ton inconnu, beaucoup moins fiables qu’auparavant.

Andre Blanchard : Cela signifie-t-il que nous devons être un peu plus sceptiques à l’égard de ce que nous entendons ou voyons en tant que personne familière, et que cela n’est plus suffisant pour valider une demande?

Ryan Powell : Tout à fait. Nous parlons toujours de confiance, mais il faut valider. Les voix, les images et certaines vidéos peuvent maintenant être falsifiées de façon très convaincante. La réponse pratique n’est pas de devenir un expert dans la détection de chaque hypertrucage. Il s’agit de ralentir de nouveau, de vérifier la source de façon indépendante et de suivre les processus d’approbation établis. Une demande concernant des identifiants de fonds, des changements d’accès ou des renseignements de nature délicate doit toujours être vérifiée au moyen d’un canal de confiance.

Andre Blanchard : Y a-t-il d’autres façons pour l’IA d’amplifier la fraude ou d’augmenter ses taux de réussite?

Ryan Powell : Oui, l’IA peut aider les fraudeurs à traduire des messages et à automatiser la communication avec de nombreuses cibles. Ils peuvent combiner des renseignements accessibles au public et ajuster rapidement une arnaque en fonction de la réponse du destinataire. Comme nous réfléchissons tous à la façon dont nous pouvons utiliser l’IA pour rendre nos activités plus efficaces, les fraudeurs le font également, alors elle peut être utilisée pour créer ou modifier des bons de commande, des factures et des documents de paiement connexes.

Quelle que soit la forme qu’une demande prend, la clé est de valider sa source et toute instruction modifiée. Si votre entreprise accueille de nouveaux clients ou partenaires, en particulier sans antécédents ni relation en personne, il est important d’être très vigilant. Soyez au courant des types de menaces dont nous discutons aujourd’hui et de la façon dont elles façonnent vos politiques internes visant à étendre les ventes ou les services sur des avances de crédit et les modes de paiement que vous acceptez.

Encore une fois, les fraudeurs pourraient utiliser ces outils sur des documents qu’ils vous envoient.

Andre Blanchard : Cela ressemble vraiment à un champ de bataille de l’IA. Comment les clients peuvent-ils en tirer parti de façon responsable pour lutter contre les tentatives de fraude?

Ryan Powell : Les clients peuvent rechercher des outils de sécurité et de trésorerie approuvés qui utilisent l’analyse ou l’apprentissage machine pour repérer les activités inhabituelles, établir l’ordre de priorité des alertes et détecter les anomalies dans le comportement des paiements. Ils devraient aussi utiliser ces types de cybercontrôles pour assurer la sécurité de leurs courriels et de leurs points d’extrémité, et vraiment protéger leurs réseaux.

Toutefois, la technologie doit renforcer, et non remplacer, des contrôles solides, et cela commence par la formation et la sensibilisation. Savoir que ces menaces existent est la première étape pour les contrer. Les fraudeurs ciblent souvent le point de décision humain. La défense la plus solide est donc le contrôle rigoureux des processus. Des éléments comme les approbations doubles, les limites d’opérations, la séparation des responsabilités et les rappels à des numéros de confiance pour effectuer une vérification indépendante.

L’examen humain demeure essentiel, en particulier avant qu’une opération à valeur élevée, urgente ou inhabituelle, soit effectuée, et il est important de mettre à l’essai ces contrôles. Sans effectuer d’essais, vous ne pouvez pas être certain qu’ils fonctionnent comme prévu.

Andre Blanchard : En plus de ces contrôles humains, et selon votre expérience, que devraient envisager les entreprises avant d’adopter un outil de lutte contre la fraude fondé sur l’IA?

Ryan Powell : Il faut que l’évaluation demeure pratique et conforme aux politiques de l’entreprise. Commencez par un cas d’utilisation très clair et faites appel à votre équipe de fraude, à la cybersécurité, à la protection des renseignements personnels, à Affaires juridiques, à Gestion du risque, à l’approvisionnement et aux propriétaires d’entreprise, au besoin. Il est essentiel de comprendre les données que l’outil utilise, l’endroit où ces données sont stockées, la façon dont les résultats sont expliqués et la façon dont le rendement est surveillé, et les entreprises doivent utiliser des outils d’entreprise approuvés et éviter d’entrer des renseignements confidentiels sur les opérations ou les services bancaires des employés des clients dans les services publics d’IA sans autorisation et sans mesures de protection appropriées.

Fait tout aussi important, les entreprises doivent avoir des politiques claires et communiquées pour les outils non approuvés afin de s’assurer que leurs employés n’utilisent pas d’outils qui n’ont pas ce type de mesures de protection en place.

Andre Blanchard : Excellents conseils. Ryan, qu’est-ce que vous retenez de l’IA et de la prévention de la fraude? Q’aimeriez-vous que l’auditoire se concentre sur?

Ryan Powell : L’IA est un outil de fraude puissant pour l’offensive et la défense. Cela peut rendre les arnaques plus convaincantes, mais cela peut aussi renforcer la surveillance et l’analyse. La défense la plus solide combine une technologie de gouvernance responsable et des processus rigoureux, une vérification indépendante, des employés formés et une soumission à un autre palier d’intervention en temps opportun.

Andre Blanchard : Ryan, lorsque nous prenons du recul par rapport à ces divers types de fraudes, quelles sont les habitudes plus générales que les entreprises devraient intégrer à leurs processus actuels?

Ryan Powell : Quelques habitudes de base peuvent vraiment changer les choses. Tout d’abord, utilisez toujours des points d’accès de confiance pour les services bancaires. Cela signifie que vous devez accéder à votre adresse URL habituelle des Services bancaires en ligne au moyen de ce lien enregistré dans vos favoris, plutôt que de vous fier à un résultat du moteur de recherche sur le moment. Deuxièmement, traitez les demandes non sollicitées avec prudence, surtout si elles sont urgentes, les identifiants, l’installation de logiciels, les changements apportés aux paiements ou les renseignements inhabituels sur le compte.

Troisièmement, il est essentiel d’intégrer une vérification indépendante à vos processus de paiement et bancaires. Si quelque chose change, confirmez-le au moyen d’un canal de confiance distinct. Dans les grandes organisations, plusieurs membres de l’équipe peuvent participer à la réception, à l’examen et à l’approbation d’une facture, puis au paiement.

Il est très important que tout le monde comprenne qui est responsable et effectue cette vérification. Quatrièmement, il faut concevoir les contrôles de façon à ce qu’une seule personne ne puisse pas amorcer, approuver et libérer un paiement de nature délicate sans la surveillance appropriée. La séparation des responsabilités, les doubles approbations et les limites d’opérations proportionnelles peuvent réduire l’incidence d’une seule interaction trompeuse.

Enfin, assurez-vous que les employés savent que si quelque chose cloche, ils doivent s’arrêter et soumettre le cas à un autre palier d’intervention. Un court délai de vérification est bien préférable à une décision urgente qui mène à une fraude.

Andre Blanchard : Ce sont tous des messages forts, en particulier pour les personnes et les équipes qui traitent des paiements jour après jour. La prévention de la fraude n’est donc pas seulement un problème technologique. C’est également un problème de processus et de sensibilisation.

Ryan Powell : Absolument. La technologie joue un rôle important. Toutefois, comme nous l’avons dit, cela devrait renforcer, et non remplacer, les contrôles de sensibilisation et les pratiques de vérification uniformes.

Andre Blanchard : Ryan, merci d’avoir été des nôtres et de nous avoir fait part de ces observations pratiques. À nos auditeurs, aujourd’hui, nous avons couvert l’usurpation d’identité dans les banques, la compromission des courriels d’entreprise, l’hameçonnage, les prises de contrôle de téléphones mobiles et d’ordinateurs et l’incidence croissante de l’IA sur la fraude. Voici quelques points à retenir de mon côté. Méfiez-vous des appels, des messages textes, des courriels, des vidéos ou des demandesd’authentification imprévus liés à l’accès aux services bancaires, aux paiements ou à la sécurité des appareils.

Ne vous fiez pas uniquement à l’identification de l’appelant, à une image vocale ou vidéo familière ou à un message soigné comme preuve d’identité. Utilisez uniquement votre adresse URL habituelle des Services bancaires en ligne, idéalement à partir d’une source enregistrée ou ajoutée à vos favoris. Ne fournissez jamais d’identifiants, de NIP, de numéros de jeton ou de codes d’authentification à un appelant non sollicité. N’installez pas de logiciel d’accès à distance, ne partagez pas votre écran et n’approuvez pas un message que vous n’avez pas amorcé. Vérifiez de façon indépendante les demandes d’accès aux paiements ou de sécurité à l’aide d’une méthode de prise de contact de confiance et du processus d’approbation établi. Utilisez uniquement les outils d’IA approuvés, protégez les renseignements confidentiels et conservez un examen humain pour les décisions et les opérations de nature délicate.

Passez en revue les opérations au compte et les messages d’alerte si un appareil, un compte ou une opération pourrait être compromis. Communiquez immédiatement avec votre banque et vos équipes Sécurité interne ou Technologie de l’information. Ryan, merci encore d’être ici et d’avoir cette conversation importante avec nous.

Ryan Powell : Merci, Andre. Je suis heureux d’avoir l’occasion d’en parler, et j’encourage les entreprises à rester vigilantes et à garder la sensibilisation à la fraude à l’esprit.

Andre Blanchard : Merci à tous d’avoir écouté le balado de Gestion de trésorerie CIBC. Nous espérons que vous avez trouvé cette discussion utile et pratique pour votre entreprise. Joignez-vous à nous de nouveau la prochaine fois pour en savoir plus sur la gestion de trésorerie, la technologie des paiements et le risque.

Mention juridique : Les documents divulgués dans ce balado sont à titre informatif seulement et sont assujettis à notre Code de conduite, ainsi qu’aux règles OCRI. Les renseignements et les données contenus dans le présent document ont été obtenus ou tirés de sources jugées fiables, sans vérification indépendante par Marchés des capitaux CIBC, et dans la mesure où ces renseignements et données sont fondés sur des sources à l’extérieur de Marchés des capitaux CIBC, nous ne déclarons pas et ne garantissons pas que ces renseignements ou données sont exacts, adéquats ou complets, nonobstant toute disposition contraire.

Ici, Marchés mondiaux CIBC inc. et ses sociétés affiliées ne doivent assumer aucune responsabilité de quelque nature que ce soit à l’égard du contenu de la présente communication. Cette communication est adaptée à un public en particulier et, par conséquent, ce message est destiné à ce public en particulier seulement.

La diffusion, la rediffusion ou toute autre utilisation du présent message ou des commentaires sur le marché contenus dans le présent message par un destinataire est non autorisée. Cette communication ne doit pas être considérée comme un rapport de recherche. Les services, les titres et les placements dont il est question dans le présent rapport peuvent ne pas être offerts à tous les investisseurs et ne pas convenir à tous.

Rien dans la présente communication ne constitue une recommandation, une offre ou une sollicitation d’achat ou de vente de placements précis abordés aux présentes. Les intervenants de ce balado n’ont pas l’autorisation réelle, implicite ou apparente d’agir au nom d’un émetteur mentionné dans ce balado. Les commentaires et les opinions exprimés dans le présent document sont uniquement ceux des intervenants individuels, sauf si l’auteur les indique expressément.

Les opinions de Marchés mondiaux CIBC inc. Les conférenciers peuvent fournir des points de vue ou des idées de négociation à court terme sur des émetteurs, des titres, des marchandises, des devises ou d’autres instruments financiers, mais les investisseurs ne doivent pas s’attendre à une analyse, à des points de vue ou à des discussions continues sur les instruments abordés aux présentes.

Les renseignements fournis dans le présent document ne constituent pas une base suffisante pour permettre aux investisseurs de prendre une décision de placement éclairée et peuvent changer sans préavis. Marchés des capitaux CIBC en tant que marque de commerce. Ottawa, Banque Canadienne Impériale de Commerce (« CIBC »). Ses filiales et sociétés affiliées offrent des produits et des services à nos clients partout dans le monde.

Pour en savoir plus sur ces entités juridiques, ainsi que sur les produits et services offerts par Marchés des capitaux CIBC, veuillez visiter www.cibccm.com.

Gestion des risques de fraude : L’hameçonnage, la prise de contrôle d’appareils et le rôle de l’IA