Risques liés aux processus comptables.

Sans contrôles réguliers sur les paiements sortants (virements, chèques, etc.), des erreurs, des détournements de fonds ou des paiements non autorisés peuvent passer inaperçus. Un audit périodique permet de repérer rapidement les anomalies et de s’assurer que chaque dollar correspond à une dépense légitime et approuvée.

De quoi se méfier :

• Accès excessif ou non contrôlé aux systèmes de paiements

• Paiements inhabituels ou non justifiés

• Doublons ou factures suspectes (modifiées, imprécises, etc.)

Comment se protéger :

• Séparation des rôles et responsabilités

  • Une seule et même personne ne devrait pas être en mesure de préparer, approuver et exécuter un paiement

  • La séparation des tâches réduit les risques de fraude interne

• Contrôler les accès aux systèmes financiers

  • Désactiver rapidement les accès d’un employé qui quitte l’entreprise

  • Accorder l’accès aux systèmes comptables qu’aux employés qui en ont besoin

• Mettre en place des alertes/seuils de validations

  • Exiger une approbation supplémentaire pour les montant élevés

• Effectuer des audits réguliers

  • Vérifier les paiements sortants chaque mois ou chaque trimestre, par exemple

Haut de la page

Rançongiciels (ransomware).

Un rançongiciel est un logiciel malveillant qui bloque l’accès aux fichiers, aux données et aux systèmes d’une entreprise en les chiffrant. Les cybercriminels exigent ensuite une rançon pour les débloquer. Cliquer sur un lien infecté ou ouvrir une pièce jointe douteuse peut suffire à paralyser les opérations, interrompre les services et entraîner des pertes financières et réputationnelles importantes.

De quoi se méfier :

• Pièces jointes inattendues ou provenant d’expéditeurs inconnus

• Liens qui dirigent vers des sites douteux

• Messages qui créent un sentiment d’urgence (« Action immédiate requise »)

Comment se protéger :

• Formation des employés face aux courriels suspects

• Maintenir les systèmes informatiques à jour et se prémunir d’un antivirus

• Sauvegarder régulièrement les données (faire des backups)

• Limiter les privilèges d’accès des employés et désactiver rapidement les accès de ceux qui quittent l’entreprise

Attention : Payer la rançon ne garantit ni la récupération de vos données, ni que celles-ci n’aient pas déjà été divulguées ou revendues, notamment sur le Web clandestin.

Haut de la page

Phishing et smishing.

Le phishing (par courriel) et smishing (par messages textes) sont des techniques de fraude visant à tromper une personne pour la faire cliquer sur un lien, ouvrir une pièce jointe ou partager une information sensible. Ces attaques imitent souvent un collègue, un fournisseur (voir fraude au faux fournisseur) ou une institution connue et peuvent mener à des pertes financières, à l’installation de logiciels malveillants et à une compromission des systèmes/données de l’entreprise.

De quoi se méfier :

• Messages qui créent un sentiment d'urgence

• Messages qui vous demandent de cliquer sur un lien

• Messages qui vous incitent à fournir des données sensibles ou personnelles

Comment se protéger :

• Formation des employés face aux courriels et messages textes suspects

• Vérifier l’expéditeur avant d’agir en communiquant avec ce dernier via un contact connu et validé (provenant du site Web officiel, par exemple)

• Ne jamais cliquer sur un lien douteux

Haut de la page

Fraude au faux fournisseur.

Qu’est-ce que la fraude au faux fournisseur? Des fraudeurs peuvent se faire passer pour un fournisseur légitime afin de détourner des paiements ou d’accéder à des systèmes.

Voici les stratagèmes les plus fréquents :

• Message d’un fournisseur indiquant un changement de compte bancaire;

• Facturation de services ou de biens jamais fournis;

• Infiltration du compte courriel d’un fournisseur pour envoyer des demandes ayant l’apparence de messages légitimes.

Ce type de fraude est particulièrement insidieux, car il tire parti de relations de confiance bien établies pour tromper votre vigilance.

Comment reconnaître la fraude au faux fournisseur?

Portez attention aux signaux suivants :

• Changement soudain dans les instructions de paiement d’un fournisseur;

• Demandes de paiements anticipés ou en double;

• Changements suspects dans les habitudes du fournisseur.

Notre conseil : Prenez toujours le temps de vérifier qui vous contacte réellement. Vérifiez l’information auprès d’un collègue en utilisant un mode de communication fiable, et non les coordonnées fournies dans le message suspect. Vous éviterez ainsi de répondre à un interlocuteur qui prétend être un fournisseur.

Pour prévenir la fraude en milieu de travail, renforcez vos mesures de protection internes :

• Formez vos employés afin qu’ils puissent reconnaître les signes de fraude au président et de fraude au faux fournisseur;

• Soumettez les demandes impliquant de l’argent ou des données sensibles à une vérification rigoureuse;

• Confirmez toujours les changements en composant un numéro de téléphone fiable, jamais en utilisant les coordonnées fournies dans le message suspect.

Si vous croyez avoir été victime d’une arnaque :

• Cessez tout échange avec le fraudeur;

• Signalez la situation à votre supérieur immédiat;

• Si vous avez fourni vos renseignements bancaires, communiquez immédiatement avec votre institution financière;

• Changez vos mots de passe pour tous les comptes dont les renseignements ont pu être compromis;

• Signalez l’incident à votre service de police local et au Centre antifraude du Canada.

Haut de la page

Risques liés à la sélection et à la validation des fournisseurs.

Les risques liés à l’octroi de contrats peuvent prendre plusieurs formes : fournisseurs fictifs, prix anormalement élevés, favoritisme découlant de relations personnelles ou encore absence de mise en concurrence. Sans mécanismes de vérifications solides, une entreprise peut attribuer un contrat à un fournisseur inadéquat ou non légitime, ouvrant la porte à des pertes financières, des services de moindre qualité et à des dérives internes.

De quoi se méfier :

• Fournisseurs pour lesquels les coordonnées (adresses, courriels, téléphones) sont incohérentes

• Nouveaux fournisseurs pour lesquels la réputation semble manipulée/fausse (incohérences dans les avis publics)

• Prix anormalement élevés comparativement au marché

• Factures qui ne correspondent pas aux biens et services fournis

• Un employé qui recommande systématiquement le même fournisseur/existence de liens personnels ou familiaux non déclarés avec un fournisseur

• Pression interne pour contourner les procédures habituelles

Comment se protéger :

• Séparation des rôles et responsabilités

  • Une seule et même personne ne devrait pas être en mesure de choisir un fournisseur, approuver la facture et effectuer le paiement

  • La séparation des tâches réduit les risques de fraude interne

• Vérifier l’existence du fournisseur

  • Confirmer l’adresse, le numéro d’entreprise, les références et la présence en ligne

  • Vérifier que l’entreprise à une activité réelle et vérifiable

• Exiger plusieurs soumissions

  • Comparer les prix, délais et conditions

  • Documenter les raisons du choix final

• Mettre en place une procédure claire sur les conflits d’intérêts

  • Obliger les employés à déclarer tout lien personnel ou financier avec un fournisseur

• Effectuer des audits réguliers

• Standardiser le processus d’octroi de contrats

Haut de la page

Prise de contrôle d’une adresse courriel.

La prise de contrôle d’un compte courriel est l’un des points d’entrée les plus couramment utilisés par les criminels. Votre adresse courriel agit souvent comme la « clé » qui donne accès à plusieurs de vos autres comptes, à vos services bancaires et plus. Protéger votre courriel est donc l’une des façons les plus efficaces de sécuriser votre entreprise.

L’importance d’utiliser un domaine de courriel professionnel dédié.

Utiliser une adresse personnelle ou fournie par un fournisseur Internet vous rend plus vulnérable. Un domaine de courriel professionnel offre une meilleure protection contre les accès non autorisés, des paramètres de sécurité plus robustes et un meilleur contrôle sur vos comptes.

Pour renforcer davantage la sécurité de vos courriels, activez toujours l’authentification multi-facteur (2FA ou MFA). Avec la MFA, la connexion exige une étape supplémentaire, généralement un code à usage unique envoyée à votre téléphone. Ainsi, même si quelqu’un obtient votre mot de passe, il ne pourra pas accéder à votre courriel sans ce code.

Quels sont les signes que votre courriel pourrait être compromis?

• Des courriels marqués comme lus alors que vous ne les avez pas ouverts

• Des courriels manquants

• Des clients ou partenaires qui reçoivent des courriels que vous n’avez pas envoyés

• Des courriels de réinitialisation de mot de passe que vous n'avez pas demandés

• Des alertes de connexion ou des appareils inconnus associés à votre compte

Quoi faire si vous pensez être compromis

• Changez immédiatement votre mot de passe

• Activez la MFA

• Informez vos clients et partenaires (y compris vos institutions financières)

• Contactez votre fournisseur de services courriel

Nos conseils

• Changez vos mots de passe régulièrement et choisissez des mots de passe robustes

• Mettre en place des procédures de changements de mots de passe obligatoire pour tous les employés de votre entreprise, et ce de manière périodique (par exemple, à chaque 3 mois)

• Activez la MFA

Haut de la page

Fraude au président.

Qu’est-ce que la fraude au président? Cette pratique frauduleuse consiste à usurper l’identité d’un dirigeant, d’un employé ou d’un partenaire pour obtenir un paiement urgent ou de l’information sensible.

Dans une fraude au président, le fraudeur se fait passer pour un membre du personnel ou de la direction afin de :

• solliciter un virement de fonds urgent en insistant sur la confidentialité;

• obtenir des renseignements sensibles.

La fraude au président mise sur la volonté des employés de se rendre utiles et de prendre part aux décisions importantes.

Comment reconnaître la fraude au président? Portez attention aux signaux suivants :

• Pression inhabituelle exercée par une personne se présentant comme un cadre supérieur;

• Demandes visant à contourner les procédures habituelles, comme une demande de paiement, d’identifiants ou d’approbation;

• Insistance sur la confidentialité ou le secret.

Notre conseil : Prenez toujours le temps de vérifier qui vous contacte réellement. Vérifiez l’information auprès d’un collègue en utilisant un mode de communication fiable, et non les coordonnées fournies dans le message suspect. Vous éviterez ainsi de répondre à un interlocuteur qui prétend être un cadre supérieur.

Pour prévenir la fraude en milieu de travail, renforcez vos mesures de protection internes :

• Formez vos employés afin qu’ils puissent reconnaître les signes de fraude au président et de fraude au faux fournisseur;

• Soumettez les demandes impliquant de l’argent ou des données sensibles à une vérification rigoureuse.

Si vous croyez avoir été victime d’une arnaque :

• Cessez tout échange avec le fraudeur;

• Signalez la situation à votre supérieur immédiat;

• Si vous avez fourni vos renseignements bancaires, communiquez immédiatement avec votre institution financière;

• Changez vos mots de passe pour tous les comptes dont les renseignements ont pu être compromis;

• Signalez l’incident à votre service de police local et au Centre antifraude du Canada.

Haut de la page Retour à la section Menaces à la sécurité