Le scénario n’est pas nouveau : un dirigeant demande un paiement urgent, confidentiel, à un nouveau fournisseur. Ce qui est nouveau, c’est qu’il ne l’écrit plus seulement. Il appelle, et c’est sa voix.
Quelques secondes d’audio suffisent aujourd’hui pour produire une imitation convaincante. Ces secondes sont faciles à trouver : une entrevue, une vidéo d’entreprise, une conférence, un message d’accueil téléphonique, un balado. Plus votre organisation communique, plus la matière première est disponible.
Pourquoi ça fonctionne si bien
La fraude ne cible pas l’intelligence, elle cible les conditions. Trois ingrédients suffisent.
- L’autorité : la demande vient d’en haut, et refuser coûte plus cher que d’obéir.
- L’urgence : il n’y a pas le temps de vérifier, une transaction est en jeu.
- Le secret : « n’en parle pas à l’équipe pour l’instant », ce qui désactive précisément le mécanisme qui aurait tout arrêté.
Ajoutez une voix familière, et les repères habituels ne servent plus à rien. Le message n’a plus de faute, l’appel n’a plus d’accent étrange, et la demande arrive un vendredi à 16 h.
La parade tient en une procédure
- Un mot convenu d’avance. Un mot simple, connu de la direction et des personnes qui touchent aux paiements, à demander en cas d’appel urgent inhabituel. Gratuit, instantané, et impossible à cloner.
- Le rappel au numéro connu. Jamais celui affiché, jamais celui donné pendant l’appel : celui que vous avez déjà dans vos dossiers.
- Le double regard sur les paiements. Au-delà d’un seuil défini, deux personnes approuvent, toujours, sans exception pour la direction. Ce sont les exceptions qui coûtent cher.
- La règle du compte modifié. Tout changement de coordonnées bancaires d’un fournisseur se vérifie par téléphone, auprès d’une personne connue, avec traçabilité écrite.
- Le droit de dire non. La direction doit affirmer publiquement qu’aucune de ses demandes ne contourne jamais la procédure. C’est ce qui protège l’adjointe qui refuse.
Une procédure qui tolère une exception pour le patron n’est pas une procédure. C’est une porte.
Et si ça arrive quand même
Les premières heures comptent plus que tout. Appeler immédiatement l’institution financière pour tenter le rappel des fonds, consigner l’incident, prévenir le fournisseur TI, signaler au Centre antifraude du Canada au 1 888 495-8501, et, si des renseignements personnels sont en cause, évaluer l’obligation de notification prévue par la Loi 25.
Dans nos mandats, ce scénario est systématiquement mis en pratique avec les équipes concernées. Ce n’est pas une présentation : c’est un appel simulé, et la première fois, il fonctionne presque toujours.