Skip to main content

Cybersécurité Petite Enfance

Cybersécurité Petite Enfance
Menu

Le traiteur qui change de compte bancaire : la fraude qui vide un CPE sans aucun piratage

Faille de sécurité Par Eric Rousseau · 31 octobre 2026 · Mis à jour le 1 novembre 2026 · 10 min de lecture
Petite maison de bois posée sur une calculatrice noire
En bref

Téléphonez au fournisseur au numéro que vous connaissiez déjà, jamais à celui du courriel ; sinon l’argent viré est presque toujours perdu.

« Notre fournisseur nous écrit que ses coordonnées bancaires ont changé. On fait quoi ? » On ne change rien tant qu’une personne du service de garde n’a pas parlé de vive voix à quelqu’un du fournisseur, en composant le numéro qu’elle avait déjà dans ses dossiers, pas celui au bas du courriel. Cette règle de cinq minutes arrête la fraude qui a fait le plus de dommages par victime aux organisations canadiennes en 2025, et elle ne demande ni logiciel, ni technicien, ni budget. Le traiteur, le fournisseur de couches, l’entreprise d’entretien, le déneigeur : chacun peut un jour « changer de compte » dans votre boîte courriel sans le savoir. Personne n’a besoin de pirater votre CPE pour vider son compte. Il suffit que quelqu’un ait piraté le leur.

Tasse de café, crayon, gomme et trombones sur un bureau blanc

La meilleure défense contre cette fraude tient sur un bureau : un téléphone, une liste de numéros déjà connus et deux signatures.

Deux variantes, un seul mécanisme

La Gendarmerie royale du Canada classe ces attaques sous le nom de « fraude du président ». Elles reposent sur le harponnage : un courriel très ciblé, préparé après s’être renseigné sur votre organisation, qui exploite une relation de confiance existante. Deux versions touchent directement un service de garde.

La fausse directrice. L’adjointe reçoit un courriel qui semble venir de la direction, souvent un vendredi après-midi : « Je suis en réunion, peux-tu faire un virement urgent à ce fournisseur, je t’explique plus tard. » L’adresse est parfois celle de la DG, compromise ; parfois une adresse qui diffère d’une lettre, abc_123 devenu abc-123 dans l’exemple de la GRC. Les signaux : pression pour agir vite, demande de confidentialité, non-respect des procédures, contact direct avec une personne avec qui vous ne traitez pas d’ordinaire.

Le fournisseur qui change de compte. C’est la « fraude no 2 » décrite par la GRC : à partir du compte courriel compromis d’un vrai fournisseur, le criminel vous informe d’un changement de modalités de paiement et vous demande de verser les prochains paiements dans un « nouveau » compte. Tout est authentique sauf le numéro de compte : le nom, la signature, le fil de discussion. La Fédération québécoise des municipalités, qui voit ces cas chez ses membres, prévient que le courriel provient souvent d’une adresse légitime qui a été compromise et que, « la plupart du temps, il est malheureusement impossible de récupérer l’argent une fois le transfert effectué ».

Les chiffres de 2025, et ce qu’ils cachent

Le Centre antifraude du Canada a reçu en 2025 plus de 112 000 signalements totalisant plus de 704 millions de dollars de pertes, selon son palmarès des dix fraudes les plus courantes du 4 mars 2026. Classé par préjudice financier, le harponnage arrive au deuxième rang, derrière les fraudes à l’investissement : 813 signalements, 571 victimes, 67,9 millions de dollars, soit près de 119 000 $ par victime, de loin le montant le plus élevé par personne du palmarès. Le Centre antifraude estime que seulement 5 % à 10 % des victimes font un signalement, ce que le Bureau de la concurrence a rappelé le 6 mars 2026. Les vrais totaux sont donc dix à vingt fois plus élevés.

Côté entreprises, l’enquête de Statistique Canada diffusée le 21 octobre 2026 indique qu’environ une entreprise canadienne sur six (16 %) a été touchée par un incident de cybersécurité en 2025, que les petites entreprises le sont presque autant (15 %), et que les arnaques et les fraudes sont la méthode d’attaque la plus citée, par 55 % des entreprises touchées, loin devant les rançongiciels (8 %). Précision honnête : nous n’avons trouvé aucun cas public et chiffré de CPE, de garderie ou d’organisme communautaire québécois victime de cette fraude. Ça ne veut pas dire qu’il n’y en a pas ; le taux de signalement de 5 % à 10 % dit plutôt qu’on ne les raconte pas.

Hydro-Québec, juillet 2024 : 463 968,19 $ au mauvais compte

Si vous pensez que seules les petites organisations se font prendre, lisez le cas rapporté par l’équipe d’enquête de La Presse le 31 juillet 2024. Le 8 juillet 2024, un fournisseur d’Hydro-Québec a été victime d’une fraude qui a mené à la subtilisation d’informations confidentielles. À partir de ces informations, le fraudeur a modifié les coordonnées bancaires qu’Hydro-Québec utilisait pour payer ce fournisseur. Résultat, selon la porte-parole de la société d’État : « Un montant de 463 968,19 $ a donc été versé dans un compte qui n’était pas celui du fournisseur. » Hydro-Québec a porté plainte à la Sûreté du Québec et a précisé que ses propres systèmes n’avaient jamais été compromis. C’est exactement le point : la brèche était chez le fournisseur, l’argent est sorti chez le client. Un ex-policier cité par le journal résume : « Normalement, il est supposé y avoir plusieurs vérifications avant de changer des numéros de compte dans des systèmes de paiement. » Ces vérifications ne coûtent rien.

Pourquoi la boîte courriel de la direction est la cible numéro un

Dans les deux variantes, tout commence par un compte courriel compromis : celui de la DG, de l’adjointe ou du fournisseur. La FQM le dit pour les municipalités : la fraude tire parfois son origine d’un employé qui a cliqué sur un lien frauduleux, et l’usage d’appareils personnels moins protégés augmente le risque. Une fois dans la boîte, le fraudeur lit vos échanges pendant des semaines, repère le traiteur, la date de la prochaine facture et le ton de la DG, puis frappe au bon moment. Les mesures que la FQM met en tête de liste s’appliquent telles quelles à un CPE : activer l’authentification à double facteur sur toutes les boîtes courriel, interdire les connexions provenant de l’extérieur du réseau, et activer les journaux qui permettent, après coup, de savoir par où le fraudeur est entré.

Ce que ça change pour votre service de garde

  1. Adoptez la règle des deux canaux (30 minutes à rédiger, adoption par le CA, coût nul). Tout changement de coordonnées bancaires ou de méthode de paiement d’un fournisseur est confirmé par téléphone, au numéro déjà inscrit dans vos dossiers ou affiché sur son site officiel, jamais à celui du courriel ou de la signature. On note le nom de la personne jointe, la date et l’heure. La règle vaut pour un petit montant comme pour un gros.
  2. Exigez deux signatures pour tout virement non récurrent et pour tout premier paiement à un nouveau compte (configuration à votre institution financière, 1 heure). La GRC recommande un système de double signature et de double authentification pour les virements. Si la DG est seule signataire, une personne du CA ou l’adjointe devient la deuxième.
  3. Créez une fiche par fournisseur (tableur, 2 heures la première fois) : personne-ressource, numéro de téléphone vérifié, adresse courriel exacte, coordonnées bancaires avec la date et la façon dont elles ont été confirmées.
  4. Activez l’authentification à double facteur sur toutes les boîtes courriel, direction en premier (15 minutes par compte, inclus dans Microsoft 365 et Google Workspace), puis bloquez les connexions depuis l’extérieur du Canada si personne ne voyage.
  5. Donnez à l’adjointe le droit de dire non à la DG. Écrivez-le : aucune demande de virement reçue par courriel ou par texto, même de la direction, ne se traite sans un appel de confirmation. Une directrice qui demande un virement urgent un vendredi à 16 h doit s’attendre à recevoir un appel, et s’en réjouir.
  6. Préparez la procédure « l’argent est parti » (une page, affichée près du poste de l’adjointe). Dans l’heure : appeler votre institution financière avec le montant et le compte de destination et demander l’annulation du virement ; déposer une plainte à la police en décrivant une « fraude du président » ; signaler au Centre antifraude du Canada en ligne ou au 1-888-495-8501 ; écrire au Centre canadien pour la cybersécurité ([email protected]) si une boîte courriel semble compromise ; changer les mots de passe. Plus vous appelez vite la banque, plus la chance de récupérer l’argent est grande.

Un scénario pour en parler en réunion d’équipe

Un jeudi de novembre, l’adjointe d’un CPE reçoit un courriel du traiteur qui livre les repas depuis quatre ans, en réponse au fil des factures du mois : « Petit changement administratif, nous avons changé d’institution financière, voici notre nouveau spécimen de chèque, merci d’ajuster pour le paiement de novembre. » Le logo est bon, la signature est bonne, le ton est le même que d’habitude. Sans la règle des deux canaux, le paiement part le 1er décembre, le traiteur réclame son dû le 15, et le CPE paie deux fois. Avec la règle, l’adjointe compose le numéro de la fiche fournisseur, tombe sur la propriétaire, qui n’a jamais changé de banque et découvre du même coup que sa boîte courriel est piratée. Durée de l’appel : trois minutes. Ce scénario est fictif ; le mécanisme est celui que la GRC, la FQM et La Presse décrivent.

Foire aux questions

Le courriel vient de la vraie adresse de notre fournisseur. Ce n’est donc pas une fraude ?

Ça ne prouve rien. Dans la variante la plus fréquente, le fraudeur écrit depuis le compte courriel compromis du vrai fournisseur. Seule la confirmation par téléphone, à un numéro déjà connu, permet de savoir.

Notre fournisseur nous appelle lui-même pour confirmer le changement. Est-ce suffisant ?

Non, parce que vous ne savez pas qui appelle. C’est vous qui devez composer le numéro connu. Si la personne insiste pour que vous utilisiez un autre numéro, c’est un signal d’alarme.

Le virement est parti il y a deux jours. Est-ce perdu ?

Pas forcément, mais chaque heure compte. Appelez votre institution financière immédiatement avec le montant et le compte de destination, demandez le rappel du virement, puis déposez une plainte à la police et signalez au Centre antifraude. La GRC recommande de signaler même si les fonds n’ont pas été transférés, parce qu’un acte criminel a été commis.

Faut-il déclarer cette fraude à la Commission d’accès à l’information ?

La fraude elle-même est un crime financier, pas un incident de confidentialité. Mais si la boîte courriel compromise était la vôtre et contenait des renseignements personnels de parents ou d’employés, l’intrusion est un incident de confidentialité à inscrire au registre et à évaluer, avec avis à la Commission s’il y a risque de préjudice sérieux.

Transparence

Ce blogue est publié par Amisgest Technologie inc., éditeur de logiciels pour les services de garde éducatifs. Les faits rapportés ici proviennent de sources publiques citées en fin d’article. Une erreur à signaler ? Écrivez à [email protected].

Sources

À lire aussi

Étiqueté , , ,