Skip to main content

Cybersécurité Petite Enfance

Cybersécurité Petite Enfance
Menu

Fraude du président : des OBNL du Saguenay et un CIUSSS visés, un CPE a le même profil

Faille de sécurité Par Eric Rousseau · 3 octobre 2026 · Mis à jour le 2 novembre 2026 · 10 min de lecture
Homme en complet vu de dos devant l'entrée d'une tour de bureaux
En bref

Faux courriel du président du CA, faux fournisseur : des OBNL et un CIUSSS québécois ont été visés. Un CPE a le même profil.

En octobre 2025, une employée de l’Association Panda, un organisme à but non lucratif de Jonquière, reçoit un courriel signé du président de son conseil d’administration. Il serait en réunion. Il voudrait remettre des cartes-cadeaux de 200 $ à des employés méritants et lui demande de les acheter avec son propre argent ; il la remboursera. Une fois les cartes achetées, elle devra lui envoyer des photos du recto, du verso et du NIP. Le vrai président n’avait rien écrit. L’employée a d’abord poursuivi l’échange, puis la direction a été mise au courant à temps, raconte Le Quotidien. Montant évité : 1 000 $. D’autres OBNL de la région avaient été visés de la même façon.

Disons-le franchement : aucun cas public de fraude du président visant un CPE québécois n’est documenté, à notre connaissance. Nous avons cherché dans les médias québécois, les jugements publiés et les sites des regroupements, sans en trouver. Cela n’en fait pas un risque nul : aucune règle n’oblige une organisation à rendre publique une tentative déjouée ou une perte de ce genre. Un CPE a exactement le profil visé : un OBNL, un conseil d’administration bénévole, une adjointe administrative qui paie les fournisseurs, une direction souvent sur le plancher. Les cas qui suivent sont les plus proches qu’on puisse documenter au Québec.

Ce qui s’est passé

  • Du 15 juin au 4 juillet 2017, puis du 1er au 19 avril 2018 : au CIUSSS du Centre-Sud-de-l’Île-de-Montréal, en pleine réorganisation, un fraudeur se fait passer pour un important fournisseur et demande par courriel de modifier ses coordonnées bancaires. Selon La Presse, 223 000 $ sont versés dans son compte. Le Commissaire à la lutte contre la corruption (CLCC) situe les faits à ces deux périodes.
  • 2019 : le même fraudeur envoie une fausse facture de plus de 80 000 $. Une gestionnaire du CIUSSS remarque des incohérences dans le courriel et la fraude échoue, rapporte La Presse.
  • Février 2021 : accusation de fraude à la suite de l’enquête du CLCC.
  • 31 mars 2022 : l’Autorité des marchés financiers (AMF) publie une mise en garde contre la « fraude du président ».
  • Octobre 2025 : tentative contre l’Association Panda et d’autres OBNL du Saguenay-Lac-Saint-Jean (Le Quotidien, 22 octobre 2025).
  • 24 mars 2026 : dans l’affaire du CIUSSS, l’accusé est déclaré coupable de deux chefs de fraude par la Cour du Québec (La Presse ; communiqué du CLCC du 26 mars 2026).
  • 24 septembre 2026 : le CLCC annonce une peine de 30 mois de prison pour une fraude d’environ 310 000 $, avec l’obligation de rembourser 135 671,88 $ dans les cinq ans suivant la libération.

Deux variantes d’une même famille : le faux dirigeant qui presse un employé de payer, et le faux fournisseur qui fait verser les paiements dans un nouveau compte. Aucun système n’est piraté ; un courriel crédible suffit.

Gros plan sur la main d'un homme en complet rayé qui ajuste sa cravate
Le fraudeur emprunte l’autorité de la direction ou du CA : toute demande urgente d’argent se vérifie par un autre canal.

Les données touchées

  • Association Panda : des cartes de 200 $, 1 000 $ au total ; aucune perte selon le président du CA, cité par Le Quotidien.
  • CIUSSS du Centre-Sud : 223 000 $ versés après la demande de changement de coordonnées bancaires, selon La Presse ; une fraude totale d’environ 310 000 $, selon le CLCC ; 135 671,88 $ à rembourser selon la peine.
  • À l’échelle du Québec : selon la Sûreté du Québec, citée par Le Quotidien, la fraude du président a causé 28,5 millions de dollars de pertes depuis son apparition au Québec. Le même article rapporte qu’au 30 septembre 2025, le Centre antifraude du Canada comptait 23 113 victimes de fraude pour la dernière année, pour 544 millions de dollars de pertes, toutes fraudes confondues.

Ce qu’en disent les parents, les experts et les autorités

L’organisme visé. Le président du CA de l’Association Panda a pris la parole pour prévenir les autres organismes. Ces 1 000 $ auraient été, dit-il au Quotidien, « des dollars durement gagnés », qui n’auraient pas pu servir aux gens qui ont besoin des services. Il craint que d’autres organismes n’aient pas eu la même chance.

La Sûreté du Québec. Son porte-parole, au Quotidien : « Un OBNL doit avoir un système de sécurité. La personne qui s’occupe des finances doit être très alerte. » Il ajoute que ce travail ne peut plus être confié à n’importe qui comme passe-temps, invite les victimes à porter plainte à la police et à signaler le stratagème au Centre antifraude du Canada, et incite surtout les organismes à en parler entre eux.

L’Autorité des marchés financiers. Dans sa mise en garde du 31 mars 2022, l’AMF décrit le stratagème : le fraudeur contacte directement des employés et demande des virements d’urgence en se faisant passer pour le président ou en prétendant agir en son nom. Dans le cas signalé, un courriel signé du président a été suivi d’appels d’un prétendu avocat. L’AMF invite les personnes ciblées à communiquer avec le Centre antifraude du Canada ou leur corps de police.

Le tribunal. Dans l’affaire du CIUSSS, la juge de la Cour du Québec relève, selon La Presse, que la centralisation des comptes lors de la réorganisation de 2017 avait mené à un « affaissement des liens avec les fournisseurs et une maîtrise insuffisante du système ». Dans sa décision sur la peine, citée par le CLCC : « La fraude commise au détriment d’un établissement du réseau de la santé ne peut être banalisée au motif que les pertes sont assumées par l’État. »

Aucune réaction de parents n’a été publiée sur ces affaires.

Ce que ça enseigne à un CPE québécois

Les deux scénarios se transposent mot pour mot. Un courriel « de la présidente du CA » à l’adjointe administrative, un vendredi après-midi, pour des cartes-cadeaux de reconnaissance du personnel. Un courriel « du traiteur » qui annonce un changement d’institution financière. Au moins les deux tiers des membres du CA d’un CPE sont des parents usagers (art. 7 de la Loi sur les services de garde éducatifs à l’enfance). S’ils écrivent d’une adresse personnelle, une fausse adresse au nom de la présidente n’étonnera personne.

Le cas du CIUSSS montre aussi qu’un changement peut ouvrir une brèche : selon la juge, c’est la réorganisation de 2017 qui avait affaibli les liens avec les fournisseurs. Une nouvelle personne à la comptabilité ou un nouveau logiciel créent le même genre de flottement.

Côté loi, un CPE subventionné gère des fonds publics : la Loi sur les services de garde éducatifs à l’enfance permet au ministre de diminuer ou de suspendre la subvention d’un bénéficiaire qui pose un geste incompatible avec les règles de saine gestion (art. 97, par. 5°). Et si la fraude passe par une boîte courriel compromise plutôt que par une fausse adresse, les renseignements personnels qu’elle contient sont exposés : c’est un incident de confidentialité à évaluer et à inscrire au registre (articles 3.5 à 3.8 de la Loi sur la protection des renseignements personnels dans le secteur privé).

Ce que ça change pour votre service de garde

  1. Adoptez la règle du rappel au CA. Aucune demande d’argent, de virement, de carte-cadeau ou de changement de coordonnées bancaires reçue par courriel ou texto n’est exécutée sans un rappel au numéro déjà connu de la personne, jamais à celui inscrit dans le message. La règle vaut aussi pour la présidence et la direction générale. Délai : prochaine réunion du CA. Coût : nul.
  2. Interdisez l’achat de cartes-cadeaux sur demande. Aucun employé n’achète de cartes-cadeaux avec son argent personnel à la demande de quiconque, et aucune photo de NIP n’est envoyée par courriel. La reconnaissance du personnel passe par le processus d’achat habituel.
  3. Encadrez tout changement de coordonnées bancaires d’un fournisseur. Formulaire signé, rappel au numéro au dossier, approbation par une deuxième personne et délai de 48 heures avant le premier paiement. La marche à suivre complète est dans notre article Le traiteur qui change de compte bancaire.
  4. Protégez vos boîtes courriel. Double authentification sur tous les comptes, y compris ceux des membres du CA qui utilisent une adresse du CPE, comme l’explique notre article sur la double authentification. Demandez à votre fournisseur TI d’activer la mention « courriel externe » et de configurer SPF, DKIM et DMARC sur votre nom de domaine. Ces réglages sont inclus dans Microsoft 365 ou Google Workspace ; comptez une à deux heures de travail.
  5. Donnez aux membres du CA une adresse officielle. Si la présidence écrit toujours d’une adresse du CPE, une demande venant d’une adresse Gmail inconnue devient suspecte d’emblée. Coût : une licence de messagerie par membre, ou une boîte partagée pour le CA.
  6. Formez les personnes visées en 15 minutes. Adjointe administrative, responsable de la comptabilité, direction et trésorerie du CA : racontez-leur le cas de l’Association Panda et celui du CIUSSS. Répétez-la à chaque changement de personnel. Notre article sur le courriel envoyé à 200 parents sans Cci montre que les erreurs de courriel ont aussi un coût.
  7. Préparez la première heure. Si un paiement est parti : appeler immédiatement l’institution financière pour tenter de bloquer le virement, prévenir la direction et la présidence du CA, porter plainte à la police, signaler au Centre antifraude du Canada et aviser votre assureur. Vérifiez dès maintenant si votre police d’assurance couvre ce type de fraude.

Foire aux questions

Un CPE québécois a-t-il déjà été victime d’une fraude du président ?

Aucun cas public n’est documenté à notre connaissance. Les cas québécois les plus proches visent des OBNL du Saguenay-Lac-Saint-Jean, dont l’Association Panda en octobre 2025, et le CIUSSS du Centre-Sud, fraudé par un faux courriel de fournisseur en 2017 et 2018. L’absence de cas publics ne veut pas dire que le risque est nul.

Quelle est la différence entre la fraude du président et la fraude au faux fournisseur ?

Dans la première, le fraudeur se fait passer pour un dirigeant et demande un paiement urgent à un employé. Dans la seconde, il se fait passer pour un fournisseur et demande de verser ses paiements dans un nouveau compte. Dans les deux cas, c’est un courriel crédible, sans piratage.

Combien a coûté la fraude au CIUSSS du Centre-Sud ?

Selon La Presse, 223 000 $ ont été versés après une seule demande de changement de coordonnées bancaires. Le CLCC évalue la fraude à environ 310 000 $ ; la peine de 30 mois annoncée le 24 septembre 2026 comprend un remboursement de 135 671,88 $.

Que faire si un paiement frauduleux est déjà parti ?

Appelez immédiatement votre institution financière pour tenter de bloquer le virement, prévenez la direction et la présidence du CA, portez plainte à la police, signalez la fraude au Centre antifraude du Canada et avisez votre assureur.

Transparence

Ce blogue est publié par Amisgest Technologie inc., éditeur de logiciels pour les services de garde éducatifs. Les faits rapportés ici proviennent de sources publiques citées en fin d’article. Une erreur à signaler ? Écrivez à [email protected].

Sources

À lire aussi

Étiqueté , , , ,

Laisser un commentaire

Votre adresse courriel ne sera pas publiée. Les champs obligatoires sont indiqués avec *