Ce contenu a été traduit par intelligence artificielle. Bien que cette technologie ait été alimentée par la terminologie de la CIBC, il se peut que la traduction contienne des erreurs.

Intro: Bienvenue à Cash Management Chat, une série de podcasts axée sur le monde dynamique de la trésorerie et de la gestion des liquidités. Écoutez des conseils d’experts et des recommandations pratiques pour naviguer dans le paysage financier actuel, apportés par l’équipe Gestion de trésorerie corporative de CIBC Marchés des Capitaux.

Andre Blanchard : Bonjour et bienvenue à cet épisode du balado de Gestion de trésorerie CIBC, dans lequel nous explorons les problèmes, les tendances et les renseignements qui comptent le plus pour les entreprises qui gèrent les paiements, les liquidités et le risque. Je m’appelle Andre Blanchard, et aujourd’hui, nous discutons d’un problème qui continue de toucher les organisations de toutes tailles : la fraude.

Nous examinerons l’usurpation d’identité à la banque, la compromission des courriels d’entreprise, l’hameçonnage, les prises de contrôle de téléphones mobiles et d’ordinateurs, et la façon dont l’IA change les tentatives de fraude et la prévention de la fraude. Ryan Powell, vice-président, Gestion des risques de fraude à la Banque CIBC, se joint à moi aujourd’hui. Ryan travaille en étroite collaboration avec mon équipe et d’autres équipes et clients pour aider à repérer les tendances en matière de fraude et à renforcer la sensibilisation aux menaces émergentes.

Ryan, bienvenue et merci d’être avec nous.

Ryan Powell : Merci, Andre. C’est un plaisir d’être ici. La fraude est un sujet important, et je suis heureux que nous ayons l’occasion d’en parler.

Andre Blanchard : Commençons donc, Ryan. La fraude continue d’évoluer, et de nombreux stratagèmes deviennent plus sophistiqués au fil du temps. Avant de donner des exemples précis, comment les entreprises ou les clients devraient-ils considérer le contexte de la fraude?

Ryan Powell : Oui, j’aimerais le présenter en deux types de fraude traditionnels:non autorisé et autorisé. Les situations non autorisées sont des situations comme des prises de contrôle de comptes ou des cartes de crédit volées. Par ‘autorisé’, nous pouvons penser aux différents types d’arnaques où le client effectue lui-même un paiement frauduleux. Lors d’une prise de contrôle de comptes, un auteur de menaces utilise la tromperie pour accéder à un compte, puis effectue ces opérations non autorisées. Toutefois, dans une telle arnaque, l’auteur de la menace trompe ou force un client à payer quelqu’un d’autre que celui qu’il croit payer, comme dans le cadre d’une compromission des courriels d’entreprise, ou trompe le client pour qu’il paie pour quelque chose qu’il ne recevra pas, comme dans le cas d’une arnaque liée aux placements ou à l’extorsion. Les fraudeurs sont très efficaces pour créer un sentiment d’urgence et de légitimité. Ils vont utiliser des appels téléphoniques, des courriels, des sites Web et diverses tactiques d’usurpation d’identité pour faire croire aux entreprises qu’elles font affaire avec une source de confiance.

Andre Blanchard : Ryan, ce n’est pas nouveau pour nous. Pouvez-vous donner des exemples concrets?

Ryan Powell : Vous avez raison. Ils ne sont pas nouveaux, mais ils évoluent avec la technologie. Un excellent exemple est la soi-disant arnaque nigériane. De nombreuses personnes lui ont fait face pour la première fois par courriel dans les années 1990, mais les versions de cette tromperie, que nous appelons une arnaqueà l’avance de frais, existent en fait depuis plus de 100 ans et ont commencé par des lettres envoyées par la poste.

Aujourd’hui, grâce à des applications, à des sites Web, à des services de courriel et à des services de messagerie toujours connectés, ils permettent la même tromperie de base pour joindre plus de gens beaucoup plus rapidement. Dans de nombreux cas, l’arnaque fonctionne non pas parce que les systèmes échouent, mais parce que les demandes semblent crédibles au moment où elles sont reçues. C’est pourquoi la sensibilisation est si importante. Les entreprises doivent savoir à quoi ressemblent ces stratagèmes, comment ils se produisent et quelles mesures prendre si quelque chose semble anormal.

Andre Blanchard : La sensibilisation est essentielle, et c’est exactement ce sur quoi nous nous concentrerons aujourd’hui. Commençons par les prises de contrôle de comptes et la façon dont les fraudeurs tentent d’obtenir des comptes de clients ou, comme j’aime le dire, d’obtenir les clés du château.

Ryan Powell : D’accord. Il s’agit de la prise de contrôle de compte non autorisée dont nous avons parlé il y a un instant. Cela commence souvent par une usurpation d’identité. Ces tentatives peuvent être envoyées par l’intermédiaire d’un site Web, d’un courriel ou d’un appel téléphonique. Essentiellement, le fraudeur communique avec une entreprise et fait semblant d’être quelqu’un qu’il n’est pas. Il peut s’agir d’un employé de la banque, d’un agent d’application de la loi ou d’un tiers.

Lors de ces appels, l’objectif du fraudeur est habituellement d’obtenir des renseignements de nature délicate, comme des renseignements confidentiels d’ouverture de session. Il peut s’agir de noms d’utilisateur, de numéros de carte, de mots de passe, de jetons ou de la redirection du client vers un site frauduleux contrôlé par le fraudeur. Grâce à cela, vous pourriez donner des renseignements compromettantt l’accès aux services bancaires.

Heureusement, les entreprises ont ajouté des niveaux de protection, et pas seulement des mots de passe. Nous avons souvent des processus d’authentification multifactorielle comme les jetons, et les fraudeurs ont dû adapter leurs tactiques pour inciter les clients à révéler ces méthodes plus sécurisées ou à approuver les clés secrètes de leurs comptes. Ces arnaques sont conçues pour sembler convaincantes. Le fraudeur peut prétendre qu’il y a un problème urgent avec le compte du client, que son accès en ligne a été annulé ou que de nouveaux identifiants doivent être émis immédiatement.

Andre Blanchard : Exactement. Je pense que ce type d’urgence peut souvent surprendre les gens. Comment une arnaque comme celle-ci se produit-elle habituellement?

Ryan Powell : Il existe quelques tendances courantes. D’abord, quelqu’un peut utiliser un moteur de recherche pour trouver son site bancaire, au lieu d’un favori de confiance enregistré dans votre navigateur. Les fraudeurs utilisent ce que nous appelons l’empoisonnement des moteurs de recherche pour faire passer un site malveillant plus haut dans les résultats de recherche ou pour placer des publicités trompeuses qui ressemblent beaucoup à une page bancaire et à une adresse URL légitimes, mais qui dirigent plutôt vers un site de fraude.

Une fois que le client s’est retrouvé sur ce site Web malveillant, le fraudeur pourrait déjà être en mesure de faire un suivi, peut-être au moyen d’un appel téléphonique, et de poursuivre l’arnaque. Nous sommes tous habitués aux courriels d’hameçonnage et à l’hameçonnage par message texte, mais ils peuvent aussi diriger quelqu’un vers une page d’ouverture de session. Les logiciels malveillants et les outils d’accès à distance, comme AnyDesk, pourraient être présentés comme un moyen de régler le problème avec le compte ou l’appareil. Plus récemment, une tactique courante est un appel téléphonique direct. Le fraudeur peut prétendre être de la banque. Il peut demander au client de sélectionner un lien, de visiter un site Web autre que son URL bancaire habituelle, d’installer l’une de ces applications de contrôle à distance du bureau ou de partager ses identifiants.

Il peut même dire au client que son ID des Services bancaires en ligne a été annulé et qu’une nouvelle pièce d’identité, un nouveau NIP ou un nouveau code d’accès a été créé pour lui. L’objectif est de profiter de cette urgence, de cette confusion. Faire en sorte que le client sente qu’il doit agir immédiatement.

Andre Blanchard : Essentiellement, le fraudeur tente de prendre le contrôle de l’interaction et d’empêcher le client de réfléchir, peut-être clairement, et de faire une pause pour vérifier.

Ryan Powell : Exactement. C’est un élément important de la tactique. Il est important de comprendre qu’il s’agit d’auteurs de menaces bien organisés et bien financés, d’experts du crime organisé, experts en psychologie et de la façon de nous séparer de notre argent et de nos secrets. L’usurpation d’identité dans les banques, l’application de la loi et l’usurpation d’identité sont souvent des formes directes et non techniques de piratage psychologique.

Le fraudeur appelle. Ils sont très convaincants et utilisent ces tactiques pour persuader une personne par téléphone de céder cet accès sensible ou pour prouver une action. Ils veulent vraiment tirer parti de cette pression, réduire les occasions de vérification indépendante et amener la personne à suivre les instructions en temps réel.

Andre Blanchard : D’accord. Quels sont certains des signes avant-coureurs qu’une entreprise pourrait faire face à une tentative d’usurpation d’identité?

Ryan Powell : Tout appel, message texte ou courriel inattendu vous demandant d’ouvrir une session dans les Services bancaires en ligne pour partager vos identifiants de nature délicate, comme un mot de passe, ou de prendre une mesure urgente à l’égard d’un problème ou d’une opération que vous n’avez pas amorcé ou signalé. Un autre signe d’avertissement vous demande d’accéder à un lien qui est différent de votre adresse URL habituelle des Services bancaires en ligne+.

Comme nous l’avons déjà dit, les demandes d’installation de logiciels ou d’application de bureau à distance doivent aussi être traitées avec une extrême prudence. Bien entendu, si quelqu’un prétend être de la banque et demande des renseignements confidentiels sur l’ouverture de session, cela devrait immédiatement soulever desinquiétudes.

Andre Blanchard : Je pense que c’est un point essentiel. Mais que doivent se rappeler les clients de la façon dont la banque communiquera avec eux?

Ryan Powell : Eh bien, nous communiquons avec nos clients. Nous communiquons avec eux et les soutenons pour toutes les questions de service et leurs préoccupations. De plus, les clients doivent se rappeler qu’ils doivent être très prudents à l’égard de toute communication non sollicitée liée à l’accès aux Services bancaires en ligneou à l’administration de leurs comptes. Si quelque chose semble inhabituel, arrêtez et vérifiez auprès d’un canal de confiance.

L’approche la plus sécuritaire consiste à utiliser votre URL bancaire habituelle. Idéalement, vous devez l’enregistrer comme site à ajouter à vos favoris et, lorsque vous communiquez avec la banque, vous devez le faire directement au moyen d’un numéro de téléphone de confiance qui figure déjà au dossier.

Andre Blanchard : Que se passe-t-il si quelqu’un pense avoir reçu un appel lié à l’usurpation d’identité à la banque? Que devrait-il faire immédiatement?

Ryan Powell : C’est une excellente question. Nous devons garder à l’esprit quatre étapes immédiates. Tout d’abord, mettez fin à l’appel. Il est toujours préférable de rappeler à un numéro de confiance et d’être prudent plutôt que de s’excuser. Deuxièmement, ne donnez aucun identifiant à l’appelant. Ne divulguez pas vos mots de passe. Ne les entrez pas sur un site Web autre que votre adresse URL habituelle des Services bancaires enligne.

Troisièmement, n’accédez à aucun lien fourni par l’appelant et n’installez aucun logiciel d’accès à distance. Enfin, communiquez immédiatement avec votre banque au moyen d’une méthode de prise de contact de confiance. Plus vous agissez rapidement, plus vous avez de chances de réduire le risque et de protéger votre entreprise. Il ne faut pas oublier que la banque ne vous demandera jamais de faire quelque chose en secret.

Nous ne vous demanderons jamais de contribuer à une enquête hautement secrète, de partager un mot de passe délicat, de virer des fonds ou de donner l’accès dans le contexte d’une enquête.

Andre Blanchard : Ce sont d’excellents points à retenir. Merci beaucoup. Passons maintenant au deuxième type de fraude, la compromission des courriels d’entreprise. En quoi est-ce différent d’une prise de contrôle de compte?

Ryan Powell : C’est également une excellente question. Au lieu de se faire passer pour une banque ou une autre autorité de confiance pour accéder à votre compte, l’auteur de menaces tente de se faire passer pour quelqu’un au sein de votre entreprise ou de fournir une autre forme de tromperie pour vous persuader d’effectuer un paiement ou de modifier les instructions de paiement.

Contrairement à une prise de contrôle de compte, dans ce cas, le client effectue le paiement lui-même, et une compromission des courriels d’entreprise est l’un des exemples les plus courants. Ici, les malfaiteurs tentent d’inciter une entreprise à transférer des fonds dans un compte frauduleux au moyen d’un courriel qui semble provenir d’une source digne de confiance.

Souvent, le message semble très légitime. Il peut sembler provenir d’un fournisseur connu, d’un partenaire, d’un cadre supérieur ou d’une autre personne-ressource avec qui vous envoyez régulièrement un courriel. Dans certains cas, il peut ressembler beaucoup au style utilisé dans les courriels précédents. Cela peut même s’appuyer sur des fils de courriels et des échanges que vous avez effectués par le passé, ce qui peut rendre la détection très difficile.

Andre Blanchard : D’accord. Il s’agit donc moins de prendre en charge un justificatif d’identité de Services bancaires en ligne que de manipuler le processus de paiement lui-même.

Ryan Powell : C’est exact. Dans le cas d’une arnaque de compromission des courriels d’entreprise, le fraudeur tente habituellement de réacheminer un paiement légitime. Il veut que l’entreprise croie qu’ils paient la bonne partie, alors qu’en réalité, les fonds sont plutôt envoyés au compte du fraudeur.

Andre Blanchard : Expliquez-nous donc comment cela se déroule généralement.

Ryan Powell : D’accord. Une entreprise peut donc recevoir un courriel. Il semble qu’il provienne d’une personne-ressource connue comme un fournisseur. Le courriel peut comprendre une facture ou des instructions de paiement mises à jour. Ces instructions expliquent souvent un changement dans les coordonnées bancaires et demandent que ce paiement soit transféré à un nouvel emplacement.

Parfois, ce nouveau compte est détenu auprès d’une autre banque ou dans une autre région. Il pourrait s’agir d’une méthode différente de ce qu’ils ont fait par le passé. Ce sont tous des signes avant-coureurs importants. Si l’entreprise suit ces instructions mises à jour sans les vérifier de façon indépendante, le paiement peut être versé au malfaiteur au lieu du destinataire prévu.

Andre Blanchard : La diligence raisonnable du côté de notre client est donc essentielle pour assurer la protection ici. C’est ce qui rend l’arnaque si dangereuse. Elle peut être cachée dans ce qui semble être un processus habituel lié aux comptes fournisseurs.

Ryan Powell : Exactement. Ces arnaques reposent sur des activités professionnelles normales. Une facture arrive. Les renseignements sur le paiement semblent avoir changé. Quelqu’un doit traiter le paiement rapidement. S’il n’y a pas de vérification solide en place, il devient beaucoup plus facile pour le fraudeur de réussir. Comme nous en parlerons plus tard, l’IA peut rendre ces messages et ces documents justificatifs encore plus convaincants.

Andre Blanchard : Quel serait votre conseil pour les entreprises lorsqu’elles reçoivent des instructions de paiement mises à jour?

Ryan Powell : L’étape la plus importante consiste simplement à ralentir, à arrêter et à vérifier de nouveau le changement à l’aide d’un numéro de téléphone de confiance. Souvent, ces courriels comprennent un numéro de téléphone. Mais il s’agit du numéro de téléphone des fraudeurs. Il est donc important de revenir au numéro officiel ou de confiance que vous utilisez pour interagir avec ce fournisseur. Si les instructions de paiement changent, effectuez un appel distinct à l’expéditeur à l’aide de ce numéro connu. Il ne s’agit pas seulement du fait qu’un paiement est exigible, mais aussi des renseignements précis sur le paiement. Cette vérification indépendante est l’une des défenses les plus solides contre la compromission des courriels d’entreprise. De plus, les entreprises ne doivent pas accepter les appels téléphoniques, les messages textes ou les courriels entrants de vérification du changement.

Cette vérification doit être effectuée par l’intermédiaire d’un canal indépendant de confiance. Nous reconnaissons que cela peut prendre du temps. Il s’agit d’un effort de l’entreprise pour effectuer ce travail supplémentaire, surtout si le bénéficiaire se trouve dans un autre fuseau horaire ou a des heures d’ouverture différentes. Mais c’est du temps bien dépensé pour s’assurer que l’argent est versé à la bonne personne et non à un fraudeur.

Andre Blanchard : Il semble que cet exercice en vaille la peine, et c’est une très bonne distinction. Il ne suffit donc pas d’obtenir une réponse ou un appel de confirmation si le fraudeur contrôle réellement ces canaux de communication?

Ryan Powell : Exactement. Les fraudeurs peuvent essayer de contrôler la conversation complète. Il pourrait avoir accès à la véritable adresse courriel. Une vérification indépendante est donc essentielle.

Andre Blanchard : Que se passe-t-il si cela ne se produit pas comme un client le soupçonne? Que se passe-t-il si une opération frauduleuse a déjà été envoyée?

Ryan Powell : Le temps presse. Si une entreprise croit avoir envoyé une opération frauduleuse, elle doit communiquer immédiatement avec sa banque. Le temps est la clé absolue. Plus la banque est informée rapidement, plus des mesures peuvent être prises rapidement et plus nous avons de chances d’intervenir ou de récupérer ces fonds. Il est également important de consigner à l’interne ce qui s’est passé, de conserver le courriel ou toute autre communication concernée et d’examiner si une compromission plus générale pourrait avoir eu lieu.

Andre Blanchard : Ryan, merci encore d’être ici et d’avoir cette conversation importante avec nous.

Ryan Powell : Merci, Andre. Je suis heureux d’avoir l’occasion d’en parler, et j’encourage les entreprises à rester vigilantes et à garder la sensibilisation à la fraude à l’esprit.

Outro : Restez à l’affût de la deuxième partie de cette discussion, où nous explorerons la façon dont le contexte de fraude continue d’évoluer, qu’il s’agisse de l’hameçonnage, des prises de contrôle d’appareils mobiles ou des arnaques générées par l’IA et des hypertrucages. Nous vous ferons également part de mesures pratiques que les entreprises peuvent mettre en oeuvre pour détecter les signaux d’alerte, renforcer les contrôles internes et réduire le risque de fraude.

Mention juridique : Les documents divulgués dans ce balado sont à titre informatif seulement et sont assujettis à notre Code de conduite, ainsi qu’aux règles OCRI. Les renseignements et les données contenus dans le présent document ont été obtenus ou tirés de sources jugées fiables, sans vérification indépendante par Marchés des capitaux CIBC, et dans la mesure où ces renseignements et données sont fondés sur des sources à l’extérieur de Marchés des capitaux CIBC, nous ne déclarons pas et ne garantissons pas que ces renseignements ou données sont exacts, adéquats ou complets, nonobstant toute disposition contraire.

Marchés mondiaux CIBC inc. et ses sociétés affiliées ne doivent assumer aucune responsabilité de quelque nature que ce soit à l’égard du contenu de la présente communication. Cette communication est adaptée à un public en particulier et, par conséquent, ce message est destiné à ce public en particulier seulement.

La diffusion, la rediffusion ou toute autre utilisation du présent message ou des commentaires sur le marché contenus dans le présent message par un destinataire est non autorisée. Cette communication ne doit pas être considérée comme un rapport de recherche. Les services, les titres et les placements dont il est question dans le présent rapport peuvent ne pas être offerts à tous les investisseurs et ne pas convenir à tous.

Rien dans la présente communication ne constitue une recommandation, une offre ou une sollicitation d’achat ou de vente de placements précis abordés aux présentes. Les intervenants de ce balado n’ont pas l’autorisation réelle, implicite ou apparente d’agir au nom d’un émetteur mentionné dans ce balado. Les commentaires et les opinions exprimés dans le présent document sont uniquement ceux des intervenants individuels, sauf si l’auteur les indique expressément.

Les opinions de Marchés mondiaux CIBC inc. Les conférenciers peuvent fournir des points de vue ou des idées sur les opérations à court terme sur les émetteurs, les titres, les marchandises, les devises ou d’autres instruments financiers, mais les investisseurs ne doivent pas s’attendre à une analyse, à des points de vue ou à des discussions continues sur les instruments abordés aux présentes.

Les renseignements fournis ici ne visent pas à constituer une base adéquate pour que les investisseurs puissent prendre une décision de placement éclairée, et peuvent changer sans préavis. Marchés des capitaux CIBC est une marque de commerce sous laquelle la Banque Canadienne Impériale de Commerce (« CIBC ») est une marque de commerce. Ses filiales et sociétés affiliées offrent des produits et des services à nos clients partout dans le monde.

Pour en savoir plus sur ces entités juridiques, ainsi que sur les produits et services offerts par Marchés des capitaux CIBC,veuillez visiter www.cibccm.com.

Gestion des risques de fraude : Menaces émergentes dans un contexte de risque en évolution