Question 1

Quels sont les types d'arnaques en ligne les plus courants?

Accepted Answer

Aux États-Unis, selon le rapport 2024 de l'Internet Crime Complaint Center (IC3) du FBI, les arnaques en ligne les plus courantes comprennent l'hameçonnage et l'usurpation d'identité (plus de 298 000 plaintes), les violations de données personnelles, la fraude au non-paiement ou à la non-livraison, l'extorsion et les arnaques à l'investissement. Les courriels d'hameçonnage imitent des banques, des organismes gouvernementaux ou des services populaires. Les faux sites de commerce électronique imitent des détaillants légitimes. Aux États-Unis, selon la FTC, les arnaques romantiques ont coûté plus de 1,3 milliard de dollars aux victimes en 2023. La fraude à l'investissement, surtout celle qui touche les cryptomonnaies, a causé les pertes les plus élevées, à plus de 4,57 milliards de dollars. Les arnaques au soutien technique poussent les victimes à payer des réparations informatiques inutiles. Les fraudes par compromission de courriel d'entreprise (BEC) visent les entreprises au moyen de comptes de dirigeants piratés. Les arnaques par usurpation d'identité d'un organisme gouvernemental jouent sur la peur d'une arrestation ou d'une expulsion. Les fausses offres d'emploi promettent du télétravail bien payé, mais exigent des frais à l'avance. Chaque type d'arnaque exploite un levier psychologique différent (l'urgence, la peur, l'appât du gain ou la solitude) : connaître ces tactiques est votre meilleure défense.

Question 2

Comment savoir si un site essaie de m'arnaquer?

Accepted Answer

Pour repérer un site frauduleux, il faut recouper plusieurs indices. D'abord, examinez l'adresse de près : les sites frauduleux utilisent souvent des fautes d'orthographe (amaz0n.com), des sous-domaines superflus (login.paypal.security-check.com) ou des extensions peu courantes (.xyz, .top, .buzz). Vérifiez l'âge du domaine avec un outil WHOIS : la plupart des sites frauduleux ont moins de 6 mois. Selon une recherche de l'Anti-Phishing Working Group (APWG), un site d'hameçonnage vit en moyenne moins de 48 heures. Parmi les principaux signes d'alerte : l'absence de cadenas HTTPS, des coordonnées manquantes ou fausses, aucune adresse physique, des prix irréalistement bas (souvent de 70 à 90 % sous la valeur du marché), des photos d'archives au lieu d'images originales des produits, aucune présence sur les réseaux sociaux, des pages légales copiées, des tactiques de pression comme les comptes à rebours, et un paiement accepté seulement par virement ou en cryptomonnaie. Vérifiez l'entreprise auprès du Bureau d'éthique commerciale (BBB), cherchez des avis sur Trustpilot et recherchez le nom du site accompagné de « arnaque » ou « avis ». Utilisez aussi notre outil d'analyse IsItAScam comme couche de vérification supplémentaire, en plus de vos propres recherches.

Question 3

Quels signaux d'alerte repérer dans un courriel?

Accepted Answer

Les courriels d'hameçonnage sont de plus en plus sophistiqués, mais plusieurs signes révélateurs demeurent. Selon le rapport 2024 de Verizon sur les enquêtes de violation de données, l'hameçonnage intervient dans plus de 36 % de toutes les violations de données. Voici les principaux signaux d'alerte : une formule d'appel générique (« Cher client » ou « Cher utilisateur ») au lieu de votre nom, une adresse d'expéditeur qui ne correspond pas à l'organisme annoncé (par exemple support@paypa1-secure.com), un langage urgent ou menaçant qui exige une action immédiate, la demande de renseignements sensibles comme des mots de passe ou un numéro d'assurance sociale, des liens suspects qui ne correspondent pas au texte affiché (survolez-les pour vérifier), des pièces jointes inattendues, surtout des fichiers .exe, .zip ou Office avec macros, des fautes de grammaire et d'orthographe, et des offres trop belles pour être vraies. Un courriel d'hameçonnage élaboré peut reprendre de vrais logos, une vraie mise en forme, et même mentionner des transactions récentes. Vérifiez toujours une demande de façon indépendante : appelez l'entreprise au numéro de son site officiel, jamais à celui du courriel. Activez l'authentification multifacteur sur tous vos comptes : même si vos identifiants sont compromis, les attaquants ne pourront pas y accéder. Signalez les courriels d'hameçonnage à reportphishing@apwg.org et à votre fournisseur de courriel.

Question 4

Les outils de détection d'arnaques sont-ils fiables à 100 %?

Accepted Answer

Aucun outil automatique de détection d'arnaques n'atteint une précision de 100 %, et tout service qui prétend le contraire devrait lui-même éveiller la méfiance. Nos outils analysent plusieurs données : l'âge et l'enregistrement du domaine, la validité du certificat SSL, la forme de l'adresse comparée aux modèles d'arnaques connus, les bases de données de listes noires (Google Safe Browsing, PhishTank, APWG), le contenu du site et la réputation de l'infrastructure d'hébergement. Selon une étude de 2024 publiée dans le Journal of Cybersecurity, les meilleurs systèmes automatiques de détection de l'hameçonnage atteignent de 95 à 98 % de précision sur les menaces connues, mais cette précision tombe à 60-85 % pour les sites d'hameçonnage « zero-day ». Les fraudeurs font constamment évoluer leurs techniques : nouveaux domaines, changements d'hébergeur et recours à des services légitimes pour héberger du contenu malveillant. Il y a aussi des faux positifs : une nouvelle entreprise légitime peut déclencher une alerte à cause de l'âge récent de son domaine. Nous recommandons une défense en couches : utilisez nos outils comme un élément parmi d'autres, avec la lecture d'avis indépendants, la vérification des coordonnées, un essai du service à la clientèle, et la confiance en votre instinct quand quelque chose cloche. Aucun outil ne remplace l'esprit critique et un scepticisme sain pendant la navigation sur Internet.

Question 5

Que faire si j'ai été victime d'une arnaque?

Accepted Answer

Le temps compte après la découverte d'une arnaque. Suivez immédiatement ces étapes : cessez toute communication avec le fraudeur et n'envoyez pas d'argent supplémentaire, même s'il promet de vous rembourser. Conservez tout : courriels, captures d'écran, historiques de clavardage, relevés de transactions et numéros de téléphone. Communiquez sans tarder avec votre banque ou l'émetteur de votre carte de crédit pour contester les frais ou bloquer les comptes; selon la FTC, les victimes qui agissent dans les 24 heures récupèrent leurs fonds beaucoup plus souvent. Déposez des signalements officiels auprès du Centre antifraude du Canada (antifraudcentre-centreantifraude.ca) et de votre service de police local : ces signalements aident les autorités à repérer des tendances et à monter des dossiers. Si vous avez communiqué des mots de passe, changez-les tout de suite sur tous les comptes touchés et activez l'authentification à deux facteurs. Si vous avez transmis votre numéro d'assurance sociale, placez une alerte à la fraude auprès des trois grands bureaux de crédit (Equifax, Experian, TransUnion) et envisagez un gel de crédit. En cas de vol d'identité, consultez identitytheft.gov pour obtenir un plan de rétablissement personnalisé. Surveillez vos dossiers de crédit chaque semaine sur AnnualCreditReport.com pendant au moins 12 mois. Si l'arnaque touchait une cryptomonnaie, signalez-la à la plateforme et à la Commodity Futures Trading Commission (CFTC). N'oubliez pas : vous n'êtes pas fautif d'avoir été arnaqué, car il s'agit d'opérations criminelles sophistiquées.

Question 6

Pourquoi les fraudeurs veulent-ils des cartes-cadeaux?

Accepted Answer

Les cartes-cadeaux sont devenues le mode de paiement préféré des fraudeurs, et la FTC indique que les consommateurs américains ont perdu plus de 217 millions de dollars dans des arnaques aux cartes-cadeaux en 2023 seulement. Les fraudeurs les préfèrent pour plusieurs raisons : elles sont presque intraçables une fois utilisées, leurs transactions sont irréversibles (contrairement aux paiements par carte de crédit), elles peuvent être converties en argent comptant ou en cryptomonnaie sur des marchés secondaires, elles n'exigent aucune pièce d'identité à l'achat ni à l'utilisation, et les fonds sont accessibles instantanément de partout dans le monde. Parmi les scénarios courants : des appels d'usurpation de l'Agence du revenu du Canada (ARC) qui exigent le paiement d'impôts, des arnaques au soutien technique qui réclament un paiement pour de fausses réparations, des arnaqueurs romantiques qui demandent de l'aide « d'urgence », de faux avis de prix qui exigent des « frais de traitement », et des courriels d'usurpation d'identité d'un patron ou d'un PDG qui demandent à des employés d'acheter des cartes. Les cartes les plus souvent exigées sont Apple/iTunes, Google Play, Amazon et Steam. Retenez cette règle absolue : aucune entreprise légitime, aucun organisme gouvernemental, aucun service public et aucun corps policier ne demandera jamais un paiement par cartes-cadeaux. Si quelqu'un vous demande d'acheter des cartes-cadeaux pour payer, il s'agit à 100 % d'une arnaque, sans exception. Si vous avez déjà transmis des numéros de cartes-cadeaux, communiquez immédiatement avec l'émetteur : certains fonds peuvent être récupérés si vous le signalez rapidement.

Question 7

Comment fonctionnent les arnaques alimentées par l'IA et comment les repérer?

Accepted Answer

Les arnaques alimentées par l'IA sont une menace en pleine croissance. Les criminels utilisent maintenant l'IA générative pour créer des vidéos hypertruquées, cloner des voix à partir de trois secondes d'audio seulement et rédiger des courriels d'hameçonnage convaincants, sans les fautes de grammaire qui servaient autrefois de signal d'alerte. Selon l'avis 2024 du FBI, les arnaques par clonage de voix ont bondi de plus de 300 % depuis 2022; les fraudeurs se font passer pour des proches afin de demander des virements d'urgence. Les vidéos hypertruquées servent aux fausses recommandations de célébrités et à l'usurpation d'identité lors de réunions d'affaires. Les courriels d'hameçonnage générés par l'IA peuvent être personnalisés avec des données tirées des réseaux sociaux, ce qui les rend bien plus convaincants que les messages envoyés en masse. Pour vous protéger : établissez avec vos proches un mot de code pour vérifier les appels d'urgence, méfiez-vous des appels vidéo inattendus qui réclament de l'argent, vérifiez toute demande financière urgente par un autre canal de communication, repérez les signes subtils d'un hypertrucage (clignements anormaux, lèvres désynchronisées, éclairage incohérent) et ne faites jamais confiance à l'afficheur seul, qui peut être falsifié. Utilisez la recherche d'image inversée sur les photos de profil suspectes. Si une occasion d'investissement présente une vidéo de recommandation d'une célébrité, vérifiez-la auprès des canaux officiels de cette personne. La technologie progresse rapidement : la vigilance et les habitudes de vérification sont votre meilleure défense.

Question 8

Qu'est-ce qu'une trousse d'hameçonnage et comment les criminels l'utilisent-ils?

Accepted Answer

Une trousse d'hameçonnage est un ensemble d'outils prêts à l'emploi qui permet même à des criminels sans compétences techniques de lancer des attaques d'hameçonnage élaborées. Ces trousses se vendent sur les marchés du Web clandestin pour aussi peu que 50 à 300 $, et certaines sont gratuites. Selon une recherche d'Akamai Technologies, plus de 120 000 trousses d'hameçonnage uniques ont été détectées en 2024. Une trousse typique comprend des copies de pages de connexion légitimes (banques, fournisseurs de courriel, réseaux sociaux), des scripts pour capter et exfiltrer les identifiants volés, des fichiers de configuration d'hébergement pour un déploiement rapide, des techniques pour échapper aux outils de sécurité, et parfois des robots Telegram intégrés qui envoient les données volées à l'attaquant en temps réel. Les trousses modernes intègrent des relais de type adversaire au milieu (AiTM) capables d'intercepter les jetons d'authentification multifacteur, ce qui rend vulnérables même les comptes protégés par MFA. Elles sont conçues pour être jetables : l'attaquant les déploie, récolte des identifiants pendant 24 à 48 heures, puis passe à un nouveau domaine. C'est pourquoi les listes noires traditionnelles peinent à suivre. Pour vous protéger, utilisez des clés de sécurité matérielles (FIDO2/WebAuthn), qui résistent aux attaques AiTM, accédez toujours aux sites en tapant directement l'adresse plutôt qu'en cliquant sur des liens, et activez les notifications de connexion sur tous vos comptes importants pour être alerté immédiatement d'un accès non autorisé.

Question 9

Comment vérifier si une boutique en ligne est légitime?

Accepted Answer

Avant d'acheter dans une boutique en ligne que vous ne connaissez pas, suivez cette liste de vérification pour vous protéger. Aux États-Unis, selon la FTC, la fraude liée aux achats en ligne était en 2024 la deuxième catégorie de fraude la plus souvent signalée, avec des pertes supérieures à 3,5 milliards de dollars. Commencez par le domaine : vérifiez son âge avec un outil WHOIS (les boutiques légitimes sont enregistrées depuis des années, pas des semaines), assurez-vous que l'adresse correspond exactement à la marque et cherchez le chiffrement HTTPS. Évaluez ensuite le contenu du site : une page « À propos » complète avec une véritable histoire d'entreprise, une adresse physique vérifiable avec Google Maps, un numéro de téléphone et un courriel du service à la clientèle que vous mettez à l'essai, et des politiques de retour et de remboursement claires (des politiques vagues ou absentes sont un signal d'alerte). Faites des recherches sur la réputation de la boutique : cherchez des avis sur Trustpilot, Sitejabber et le BBB, repérez la boutique sur les réseaux sociaux et vérifiez que l'engagement de ses abonnés est authentique, et recherchez « [nom de la boutique] arnaque » ou « [nom de la boutique] avis ». Examinez les prix : s'ils sont de 70 à 90 % sous ceux du détail, il s'agit probablement d'une fraude. Regardez les modes de paiement : les boutiques légitimes acceptent les cartes de crédit, qui offrent une protection de l'acheteur, alors que les boutiques frauduleuses n'acceptent souvent que les virements, les cryptomonnaies ou Zelle. Enfin, utilisez notre outil IsItAScam pour lancer une analyse automatique qui combine tous ces éléments.

Question 10

Quelles sont les arnaques aux cryptomonnaies les plus courantes?

Accepted Answer

Les arnaques aux cryptomonnaies ont causé les pertes financières les plus élevées de toutes les catégories de fraude en 2024; l'IC3 du FBI (États-Unis) rapporte plus de 5,6 milliards de dollars de pertes. Les types les plus répandus : les arnaques de type « pig butchering » (boucherie du cochon), où des fraudeurs bâtissent une relation pendant des semaines ou des mois avant de convaincre leurs victimes d'investir dans de fausses plateformes de cryptomonnaies qui affichent de faux rendements; les fausses plateformes d'échange et de portefeuilles qui imitent des plateformes légitimes comme Coinbase ou MetaMask pour voler des identifiants et des phrases de récupération; les « rug pulls », où des développeurs créent un nouveau jeton, génèrent de l'engouement, puis disparaissent avec l'argent des investisseurs (plus de 117 000 jetons frauduleux ont été créés en 2024 seulement); les stratagèmes de Ponzi déguisés en clubs d'investissement en cryptomonnaie qui promettent des rendements garantis de 1 à 10 % par jour; les stratagèmes de « pump and dump » appuyés par des célébrités grâce à des vidéos hypertruquées; et les faux parachutages et concours qui vous demandent d'« envoyer des cryptomonnaies pour en recevoir davantage ». Parmi les signaux d'alerte : des rendements garantis (aucun placement légitime n'en offre), la pression pour investir vite, la demande de vos clés privées ou de votre phrase de récupération, des plateformes non enregistrées, des équipes de développement anonymes et des occasions d'investissement non sollicitées par les réseaux sociaux ou les applications de rencontre. Pour vous protéger : n'utilisez que des plateformes d'échange bien établies, ne communiquez jamais votre phrase de récupération, méfiez-vous de tout rendement garanti en cryptomonnaie et rappelez-vous qu'un projet légitime ne vous demande jamais d'envoyer des cryptomonnaies en premier.

Question 11

Comment protéger mes proches âgés des arnaques?

Accepted Answer

Les personnes de plus de 60 ans sont visées de façon disproportionnée par les fraudeurs : l'IC3 du FBI (États-Unis) rapporte plus de 3,4 milliards de dollars de pertes chez les aînés en 2024, soit une hausse de 24 % par rapport à l'année précédente. Les arnaques les plus courantes visant les aînés sont la fraude au soutien technique, l'usurpation d'identité d'un organisme gouvernemental, les arnaques romantiques, les arnaques aux grands-parents (des appelants qui se font passer pour un petit-enfant en détresse) et la fraude à l'investissement. Mesures concrètes pour protéger vos proches âgés : parlez-en ouvertement, sans juger, des tactiques des fraudeurs (la honte empêche bien des victimes de signaler); installez un service de blocage d'appels et inscrivez leurs numéros sur la Liste nationale de numéros de télécommunication exclus; établissez un mot de code familial pour vérifier les demandes d'urgence; configurez les filtres antipourriel et activez l'authentification à deux facteurs sur leurs comptes; installez un bloqueur de publicités pour éviter les annonces malveillantes; configurez des alertes de compte pour les transactions au-dessus d'un montant donné; envisagez d'ajouter une personne de confiance aux comptes financiers (beaucoup de banques et de courtiers offrent maintenant cette option); apprenez-leur à ne jamais donner l'accès à distance à leur ordinateur à un appelant non sollicité; encouragez l'habitude de « faire une pause et de vérifier » : si un appel, un courriel ou un message réclame de l'argent ou des renseignements personnels, il faut raccrocher et rappeler à un numéro connu; et dressez une liste de personnes de confiance à consulter avant toute décision financière. Le Centre antifraude du Canada (antifraudcentre-centreantifraude.ca) offre des ressources gratuites, dont une ligne d'aide, sur la fraude envers les aînés.

Question 12

Qu'est-ce que l'ingénierie sociale et comment fonctionne-t-elle?

Accepted Answer

L'ingénierie sociale est la manipulation psychologique de personnes pour les amener à poser des gestes ou à divulguer des renseignements confidentiels. Contrairement au piratage technique, elle exploite la psychologie humaine plutôt que les failles logicielles. Selon le rapport 2024 de Verizon sur les enquêtes de violation de données, 68 % des violations impliquaient un facteur humain, ce qui fait de l'ingénierie sociale le vecteur d'attaque le plus efficace à la disposition des criminels. Les principes psychologiques exploités sont notamment : l'autorité (se faire passer pour la police, des agents de l'ARC ou des dirigeants pour exiger l'obéissance), l'urgence (créer une pression artificielle pour que les victimes agissent avant de réfléchir), la rareté (« plus que 2 en stock! » ou « l'offre expire dans 10 minutes »), la preuve sociale (« des milliers de personnes ont déjà investi »), la réciprocité (offrir quelque chose de gratuit avant de demander des renseignements sensibles) et la peur (menacer de poursuites, de suspension de compte ou d'arrestation). Parmi les attaques courantes : le prétexte (créer un scénario fabriqué pour obtenir des renseignements), l'appât (laisser des clés USB infectées dans des lieux publics), le talonnage (suivre une personne autorisée dans une zone sécurisée) et le « donnant-donnant » (offrir un faux soutien informatique en échange d'identifiants). Une recherche de l'Université Stanford a conclu que 88 % des violations de données sont causées par des erreurs d'employés provoquées par l'ingénierie sociale. Pour vous défendre : vérifiez toujours l'identité de façon indépendante, prenez le temps avant de répondre à une demande urgente, ne communiquez jamais de renseignements sensibles à la suite d'une communication entrante, et rappelez-vous qu'une organisation légitime ne vous presse jamais d'agir sur-le-champ.

Question 13

Qu'est-ce qu'une arnaque de type « pig butchering » et comment fonctionne-t-elle?

Accepted Answer

Le « pig butchering » (du chinois « sha zhu pan », la boucherie du cochon) est une fraude à l'investissement de longue haleine, où des fraudeurs bâtissent une relation en apparence sincère avec la victime pendant des semaines ou des mois (souvent à partir d'un texto envoyé au « mauvais numéro », d'une application de rencontre ou d'un contact sur un réseau social) avant d'introduire peu à peu une fausse plateforme d'investissement en cryptomonnaie. Le nom évoque l'« engraissement du cochon avant l'abattage » : le fraudeur cultive la confiance, encourage de petits investissements initiaux qui affichent de faux rendements impressionnants, persuade la victime d'investir des sommes de plus en plus grandes, puis disparaît avec tous les fonds déposés. Le FBI estime que cette arnaque a causé plus de 3,5 milliards de dollars de pertes aux États-Unis en 2023. Parmi les signes d'alerte : un contact non sollicité d'un étranger séduisant qui gagne rapidement votre confiance; une plateforme d'investissement qui ne figure sur aucune bourse réglementée; une application offerte seulement par un lien direct plutôt que dans les boutiques d'applications officielles; de faux profits que vous « voyez » mais ne pouvez pas retirer; et un service à la clientèle qui invente des taxes ou des frais pour bloquer les retraits. Beaucoup de ces opérations sont dirigées depuis des complexes de travail forcé en Asie du Sud-Est. Si vous soupçonnez une arnaque de ce type, cessez immédiatement tout contact, conservez tout et signalez-la au Centre antifraude du Canada (antifraudcentre-centreantifraude.ca).

Question 14

Comment reconnaître une arnaque romantique avant de perdre de l'argent?

Accepted Answer

Aux États-Unis, selon l'IC3 du FBI, les arnaques romantiques ont coûté plus de 700 millions de dollars aux victimes en 2023, la perte individuelle médiane dépassant 10 000 $. Voici ce qui les caractérise : la personne prétend vivre à l'étranger ou exercer une profession qui l'empêche de vous rencontrer (déploiement militaire, plateforme pétrolière, mission médicale internationale); elle exprime très vite une profonde affection; elle refuse systématiquement les appels vidéo ou a chaque fois des « problèmes » techniques; ses photos de profil renvoient à une autre personne lors d'une recherche d'image inversée; elle demande de l'argent pour une urgence, des frais de voyage ou un prétendu investissement; et elle insiste pour communiquer exclusivement par une application de messagerie précise plutôt que par la plateforme de rencontre où vous vous êtes connus. La FTC a constaté que les personnes qui ont rencontré leur fraudeur sur un réseau social ont perdu plus d'argent que celles qui l'ont connu par une application de rencontre. Pour vous protéger : n'envoyez jamais d'argent ni de cadeaux à quelqu'un que vous n'avez pas rencontré en personne; faites un appel vidéo tôt dans toute relation en ligne (une vraie réticence est un signal d'alerte majeur); faites passer les photos de profil dans la recherche d'image inversée de Google; parlez de la relation à un ami ou à un proche de confiance; et soyez particulièrement prudent si quelqu'un amène des sujets d'investissement dans une conversation amoureuse.

Question 15

Quels sont les signaux d'alerte d'une fausse offre d'emploi?

Accepted Answer

Selon l'étude 2023 du BBB (Amérique du Nord) sur les arnaques à l'emploi, les fausses offres d'emploi coûtent aux chercheurs d'emploi nord-américains environ 2 milliards de dollars par année, la perte individuelle médiane étant de 1 995 $. Voici les signaux d'alerte les plus courants : vous n'avez jamais postulé, mais vous recevez une offre non sollicitée; le salaire et les avantages sont irréalistement élevés pour le travail décrit; tout le processus d'embauche se déroule par texto, WhatsApp ou Telegram, sans entrevue téléphonique ni vidéo; l'« employeur » vous demande de payer d'avance du matériel de formation, de l'équipement, une vérification des antécédents ou une certification; on vous demande de recevoir de l'argent dans votre compte bancaire et de le transférer ailleurs (recrutement de mules financières); l'entreprise n'a aucune présence en ligne vérifiable ou l'annonce contient des fautes d'orthographe; on vous presse d'accepter tout de suite, sans temps pour faire des recherches; et le domaine du courriel ne correspond pas au site officiel de l'entreprise. Un employeur légitime ne demande jamais à un nouvel employé de payer pour son propre emploi. Vérifiez toujours les offres d'emploi de façon indépendante : cherchez l'entreprise sur LinkedIn, appelez le service des ressources humaines au numéro du vrai site de l'entreprise et recherchez ensemble le nom du recruteur et celui de l'entreprise. Signalez les fausses offres d'emploi au Centre antifraude du Canada (antifraudcentre-centreantifraude.ca) et à la plateforme où vous avez vu l'annonce.

Question 16

Comment fonctionne l'échange de carte SIM et comment me protéger?

Accepted Answer

L'échange de carte SIM (aussi appelé détournement de SIM) est une attaque où un fraudeur appelle votre fournisseur de téléphonie mobile, se fait passer pour vous grâce à des renseignements personnels obtenus lors de violations de données ou sur les réseaux sociaux, et convainc un représentant du service à la clientèle de transférer votre numéro vers une carte SIM qu'il contrôle. Une fois l'attaque réussie, tous les messages texte envoyés à votre numéro, y compris les mots de passe à usage unique de l'authentification à deux facteurs, vont à l'attaquant. Cela permet une prise de contrôle immédiate de vos comptes bancaires, de courriel et de plateformes d'échange de cryptomonnaies. Le FBI a rapporté 1 611 plaintes d'échange de carte SIM en 2023, pour plus de 48 millions de dollars de pertes. Les détenteurs de cryptomonnaies de grande valeur sont visés de façon disproportionnée. Mesures de protection : (1) Définissez un NIP ou une phrase secrète unique sur votre compte mobile, à fournir avant toute modification du compte; faites-le de façon proactive à la boutique de votre fournisseur ou dans son application. (2) Utilisez une application d'authentification (Google Authenticator, Authy) ou une clé de sécurité matérielle (YubiKey) plutôt que les SMS pour l'authentification à deux facteurs, chaque fois que c'est possible. (3) Évitez de publier votre numéro de téléphone sur les réseaux sociaux. (4) Activez les fonctions de verrouillage de SIM de votre fournisseur, s'il en offre. (5) Envisagez un numéro Google Voice ou un numéro secondaire pour la vérification de vos comptes, afin de le séparer de votre numéro principal.

Question 17

Qu'est-ce que la compromission de courriel d'entreprise (BEC) et comment les entreprises peuvent-elles s'en défendre?

Accepted Answer

La compromission de courriel d'entreprise est une fraude sophistiquée où des criminels se font passer par courriel pour des dirigeants, des fournisseurs ou des partenaires d'affaires afin d'amener des employés à autoriser des virements frauduleux ou à divulguer des données sensibles. Aux États-Unis, selon l'IC3 du FBI, la BEC a causé 2,9 milliards de dollars de pertes en 2024, ce qui en fait la deuxième catégorie selon les pertes totales. Ces attaques consistent généralement à pirater un vrai compte de courriel d'entreprise (par hameçonnage ou par « credential stuffing »), ou à usurper l'adresse d'un dirigeant de façon assez convaincante pour tromper un examen visuel. Parmi les scénarios courants : la fraude au PDG (un dirigeant demande un virement urgent), la compromission du courriel d'un fournisseur (l'attaquant intercepte la facture d'un fournisseur et change les coordonnées bancaires), le détournement de paie (les ressources humaines reçoivent une fausse demande de modification du dépôt direct) et l'usurpation d'identité d'un avocat (un faux conseiller juridique réclame des données confidentielles). Défenses organisationnelles : mettre en place les authentifications de courriel DMARC, DKIM et SPF; exiger une vérification verbale ou par un autre canal pour toute instruction de paiement reçue par courriel; imposer une double autorisation pour les virements au-delà d'un seuil; donner régulièrement une formation avec simulations d'hameçonnage; et enregistrer de façon préventive les domaines qui ressemblent au sien. L'équipe de récupération d'actifs (RAT) de l'IC3 du FBI a récupéré 560 millions de dollars de pertes liées à la BEC en 2024, mais seulement lorsqu'elle était avisée dans les 48 à 72 heures.

Question 18

Comment les fraudeurs utilisent-ils les codes QR (quishing) pour voler des renseignements?

Accepted Answer

Le quishing (hameçonnage par code QR) est un vecteur d'attaque en forte croissance qui utilise des codes QR plutôt que des hyperliens pour diriger les victimes vers des sites malveillants. Il contourne les filtres de sécurité du courriel, qui analysent les adresses en texte, mais ne peuvent généralement pas décoder le contenu d'une image de code QR. Le FBI a publié un avertissement sur le quishing en 2023, en citant une croissance exponentielle du nombre de cas. Ces attaques se présentent sous diverses formes : des courriels prétendant venir des ressources humaines, du service informatique ou d'institutions financières, avec un code QR pour « vérifier votre compte »; des codes QR physiques collés sur de vrais codes de menus de restaurant ou de parcomètres; de faux avis de livraison de colis; et de fausses instructions pour des guichets automatiques de cryptomonnaies. Comme les téléphones intelligents lisent les codes QR nativement, les utilisateurs ont tendance à aller directement à l'adresse, sans l'examen qu'ils feraient d'un lien tapé. Mesures de protection : affichez toujours l'aperçu de l'adresse que montre votre appareil photo avant de l'ouvrir; vérifiez que le domaine de destination est logique dans le contexte; ne saisissez jamais vos identifiants sur une page atteinte par un code QR inattendu; et méfiez-vous tout particulièrement des codes QR reçus par courriel d'expéditeurs qui se disent votre banque, votre employeur ou un organisme gouvernemental, car ces organisations ont rarement besoin que vous scanniez un code pour vérifier des renseignements de compte.

Question 19

Qu'est-ce que le prétexte (pretexting) et comment les fraudeurs bâtissent-ils de faux scénarios?

Accepted Answer

Le prétexte (pretexting) est une technique d'ingénierie sociale où un attaquant fabrique un scénario convaincant, le « prétexte », pour amener une cible à fournir des renseignements, un accès ou de l'argent. Contrairement à l'hameçonnage, qui repose sur une tromperie technique, le prétexte repose sur une histoire de couverture préparée. Les attaquants recueillent des renseignements à partir de sources ouvertes : LinkedIn révèle votre employeur, votre titre et vos collègues; les réseaux sociaux révèlent des détails personnels et des relations; les registres publics révèlent des adresses et des propriétés; les sites de courtiers en données regroupent tout cela. Parmi les prétextes courants : se faire passer pour un nouvel entrepreneur en informatique qui a besoin d'identifiants d'accès, pour le service de facturation d'un fournisseur qui appelle afin de « confirmer des coordonnées bancaires », pour un vérificateur gouvernemental qui réclame des dossiers financiers, pour un administrateur d'hôpital qui demande des données de patients, ou même pour un proche qui habite dans une autre ville. Le rapport DBIR 2024 de Verizon a identifié le prétexte comme vecteur principal dans 40 % des incidents d'ingénierie sociale. Défenses : vérifier de façon indépendante l'identité de tout appelant avant de communiquer des renseignements (rappeler à un numéro provenant de sources officielles); ne jamais confirmer des renseignements sensibles à quelqu'un qui vous a appelé; et suivre une formation de sensibilisation à la sécurité qui simule précisément des scénarios de prétexte, car les simulations d'hameçonnage habituelles n'apprennent pas aux employés à reconnaître les prétextes par la voix.

Question 20

Comment vérifier qu'un organisme de bienfaisance est légitime avant de faire un don?

Accepted Answer

Les fausses œuvres de bienfaisance se multiplient après les catastrophes naturelles, les conflits et les crises de santé publique, quand les fraudeurs exploitent la générosité des donateurs. Aux États-Unis, la FTC rapporte que les plaintes pour fausses œuvres de bienfaisance bondissent de 50 à 80 % dans les semaines qui suivent de grands événements médiatiques. Voici comment vérifier avant de donner : (1) Consultez les registres de veille des organismes de bienfaisance : Charity Navigator (charitynavigator.org), GuideStar/Candid (candid.org) et la BBB Wise Giving Alliance (give.org) évaluent la transparence financière, la gouvernance et l'efficacité. (2) Vérifiez l'enregistrement légal : les organismes légitimes sont enregistrés auprès des autorités de réglementation des œuvres de bienfaisance; la Liste des organismes de bienfaisance de l'Agence du revenu du Canada confirme qu'un organisme est enregistré (aux États-Unis, la recherche d'organismes exonérés d'impôt de l'IRS confirme le statut 501(c)(3)). (3) Méfiez-vous de la pression émotionnelle : un organisme légitime n'exige pas un don immédiat par téléphone. (4) Vérifiez le mode de paiement : soyez très prudent si on vous demande un virement, une carte-cadeau ou une cryptomonnaie; un organisme légitime accepte les cartes de crédit et remet des reçus. (5) Vérifiez l'adresse du site : les fausses œuvres de bienfaisance utilisent des noms presque identiques à ceux d'organismes connus; assurez-vous que le domaine correspond exactement au nom officiel de l'organisme enregistré. (6) Recherchez le nom de l'organisme avec « arnaque » ou « plainte » avant de donner. En cas de doute, donnez directement par le site officiel d'un organisme bien établi plutôt que de répondre à une sollicitation.

Question 21

Qu'est-ce qu'un piège à abonnement et comment l'éviter?

Accepted Answer

Les pièges à abonnement (aussi appelés facturation à option négative ou pièges de l'essai gratuit) attirent les consommateurs avec un essai « gratuit » ou à faible coût qui se transforme automatiquement en abonnement payant récurrent à la fin de l'essai, l'annulation étant rendue volontairement difficile. Aux États-Unis, la règle « Click to Cancel » de la FTC (2024) exige désormais que l'annulation soit aussi facile que l'inscription, mais son application est toujours en cours. Tactiques courantes : des conditions cachées en petits caractères ou en texte à faible contraste; des cases d'adhésion cochées d'avance à la caisse; un « échantillon » gratuit livré avec une adhésion à un club enfouie dans les conditions; des sites qui exigent d'appeler un numéro de téléphone accessible seulement à des heures limitées pour annuler; et des « réinscriptions » qui redémarrent automatiquement après une prétendue annulation. Aux États-Unis, selon la FTC, la fraude de facturation par abonnement génère plus de 1,4 milliard de dollars de plaintes de consommateurs par année. Stratégies de protection : utilisez un numéro de carte de crédit virtuel à usage unique pour tout essai gratuit (votre banque en offre peut-être); programmez un rappel dans votre calendrier deux jours avant la fin de l'essai; faites une capture d'écran de la confirmation d'annulation et conservez-la; examinez chaque mois vos relevés bancaires et de carte de crédit pour y repérer des frais récurrents inconnus; et contestez immédiatement auprès de l'émetteur de votre carte tout frais récurrent inhabituel : il peut émettre un remboursement pour une facturation d'abonnement non autorisée.

Question 22

Comment signaler une arnaque pour maximiser les chances de récupérer mon argent?

Accepted Answer

La rapidité et l'exhaustivité du signalement influencent fortement les chances de récupération. Aux États-Unis, l'équipe de récupération d'actifs (RAT) du FBI a récupéré environ 560 millions de dollars de virements frauduleux en 2024, mais seulement lorsqu'elle était avisée dans les 48 à 72 heures suivant la transaction. Mesures immédiates : (1) Communiquez tout de suite avec votre banque ou votre service de virement et demandez un rappel d'urgence : pour les virements, le système SWIFT permet l'annulation si la banque destinataire n'a pas encore traité les fonds. (2) Déposez un signalement au Centre antifraude du Canada (antifraudcentre-centreantifraude.ca) dans les 24 premières heures, surtout pour une fraude par virement ou une BEC. (3) Si l'arnaqueur ou la banque réceptrice se trouve aux États-Unis, déposez aussi un signalement à la FTC (reportfraud.ftc.gov) ou à l'IC3 du FBI (ic3.gov). (4) Signalez à votre police locale et demandez un numéro de rapport, dont vous aurez besoin pour les réclamations d'assurance et les contestations bancaires. (5) Si une cryptomonnaie était en cause, signalez-le à la plateforme utilisée et signalez-le à l'autorité des valeurs mobilières de votre province (l'Autorité des marchés financiers au Québec). (6) Signalez les courriels d'hameçonnage à reportphishing@apwg.org et à votre fournisseur de courriel. (7) Signalez le numéro de téléphone de l'arnaque à la FTC et à votre fournisseur. (8) Conservez tout : sauvegardez toutes les communications, les numéros de transaction, les dates et les montants avant de signaler. Pour les arnaques aux cartes-cadeaux, communiquez immédiatement avec l'émetteur : certains peuvent bloquer les soldes non utilisés. N'oubliez pas : même si la récupération est impossible, chaque signalement alimente le renseignement qui aide les autorités à démanteler les réseaux criminels.

🛡️ Foire aux questions