Atténuer la fraude liée aux paiements

À l’image des cyberattaques et de l’activité frauduleuse, la fraude liée aux paiements gagne en complexité à mesure que les cybercriminels ajustent ou peaufinent leurs tactiques. La pandémie n’a fait qu’accélérer une tendance à la hausse pour les fraudes de ce genre; les organisations doivent donc se tenir au fait des nouvelles menaces et savoir les repérer. Si votre entreprise souhaite prévenir toutes les formes de fraude liée aux paiements, elle doit d’abord bien en saisir les conséquences.

Qu’est-ce que la fraude liée aux paiements?

Il s’agit de tout type d’opération fausse ou illégale effectuée en ligne par un cybercriminel, par laquelle il vole des fonds, des effets personnels, des intérêts ou de l’information sensible à sa victime. Voici certaines stratégies parmi les plus courantes pour s’introduire dans les systèmes TI internes d’organisations et faciliter la fraude liée aux paiements :

• Hameçonnage : consiste à envoyer des courriels provenant prétendument d’une source digne de confiance pour inciter les victimes à poser un geste précis.
• Détournement de domaine : consiste à diriger les victimes vers un site Web factice qui imite l’apparence d’un site Web légitime.
• Harponnage : attaque ciblée qui consiste à envoyer des courriels provenant prétendument d’une source digne de confiance à des victimes bien précises pour les inciter à poser un geste précis.
• Mystification : une tromperie, qui consiste généralement à imiter quelqu’un ou quelque chose pour induire les victimes en erreur.
• Vol d’identité : consiste à obtenir illégalement des renseignements personnels dans le but de commettre de la fraude à l’identité.
• Piratage psychologique : manipulation psychologique visant à inciter les victimes à poser certains gestes ou à divulguer elles-mêmes des renseignements confidentiels.

Voici des statistiques illustrant les dommages que la fraude liée aux paiements peut avoir sur votre organisation et sur la société :

• Au plus fort de la pandémie, les attaques de pourriels et d’hameçonnage ont connu une hausse de 14 000 %; 
• 79 % des répondants à une étude de l’Association of Certified Fraud Examiners affirment avoir constaté une augmentation de la fraude;
• D’ici 2031, on prévoit que les logiciels rançonneurs coûteront plus de 265 G$ US par année aux victimes;
• Le coût moyen d’une violation de données s’élevait à 5,64 M$ US en 2022, comparativement à 5,40 M$ US en 2021.

La plupart des organisations comprennent la nécessité de faire preuve de vigilance devant les cybermenaces et de mettre en place des procédures pour atténuer les pertes. Cependant, les fraudeurs ciblent les employés qui baissent leurs gardes et nombreuses sont les organisations qui n’investissent pas le temps et les ressources nécessaires pour former leur personnel à cet égard.

Meilleures pratiques pour atténuer la fraude liée aux paiements

Les chances sont grandes que vous soyez un jour ou l’autre la cible d’un fraudeur; c’est le lot d’innombrables organisations. Notre cabinet a toutefois constaté des pratiques qui sont constamment adoptées par les entreprises qui réussissent à tirer leur épingle du jeu.

D’abord, l’adoption d’une stratégie robuste d’évaluation des risques. Vous devez connaître vos lacunes sur le plan de la sécurité, les risques que vous êtes prêts à accepter et les risques inhérents à votre organisation. Comprendre vos vulnérabilités vous aidera à prendre de bonnes décisions pour la gestion des risques.

Ensuite, vous ne pourrez jamais rester au fait de tous les changements et de toutes les nouvelles tendances concernant la fraude liée aux paiements. Voilà pourquoi former votre personnel afin qu’il fasse preuve de vigilance constitue votre meilleur atout. Par exemple, dans un cas d’hameçonnage, vos employés sont la porte d’entrée convoitée des cybercriminels. Nous vous conseillons donc d’organiser des formations sur l’importance de la cybersécurité plus d’une fois par année.

De plus, soyez assidu dans le maintien de vos contrôles internes et réalisez régulièrement des tests de cyberrisques. Les tests de pénétration, l’analyse des vulnérabilités et les exercices sur les brèches de sécurité vous donneront une longueur d’avance. Si votre entreprise mise sur une formule de travail à distance ou hybride, recensez vos contrôles de sécurité et de visibilité susceptibles ou non de s’appliquer à chaque modèle. Vos employés savent-ils utiliser correctement un VPN et naviguer le Web en toute sécurité? Qu’en est-il des risques associés au téléchargement de matériel professionnel sur des appareils personnels? Vos solutions de sécurité assurent-elles réellement un suivi de l’utilisation de vos actifs en dehors du réseau?

Enfin, les organisations les plus prudentes savent déjà comment réagir en cas de fraude liée aux paiements. Le facteur temps est critique à la suite d’une brèche de sécurité. Vous devez absolument vous munir d’un plan d’intervention écrit dans lequel se trouvent les personnes-ressources à contacter et les étapes à suivre à l’interne.

Ces meilleures pratiques reposent sur un changement de mentalité : garder les choses simples et rester aux aguets. Une gestion des risques efficace n’exige pas toujours les processus les plus complexes ou des logiciels coûteux.

Malheureusement, plusieurs organisations ne prennent pas ce type de démarche au sérieux jusqu’à ce qu’elles subissent une brèche de sécurité ou que leurs systèmes financiers soient exposés. Pendant les périodes de croissance économique, certaines d’entre elles vont même jusqu’à minimiser l’importance de la fraude liée aux paiements en considérant qu’elle fait partie du « coût des affaires ». Les organisations qui connaissent le plus de succès n’attendent pas qu’un incident se produise pour prendre des mesures; elles agissent en amont.

Se mettre dans la peau d’un fraudeur

Les personnes dont le travail consiste à repérer et à prévenir la fraude se mettent dans la peau des fraudeurs pour comprendre leur façon d’agir et de penser. On ne peut toutefois pas s’attendre à ce que tous les directeurs et preneurs de décision de votre organisation fassent preuve d’autant d’esprit critique ou qu’ils possèdent des connaissances aussi approfondies.

De manière plus générale, il ne faut pas oublier que les fraudeurs sont des opportunistes qui cherchent le moindre effort. Ils observent les tendances macroéconomiques et d’autres facteurs de l’industrie pour trouver le moyen le plus simple d’escroquer votre organisation.

À titre d’exemple, souvenez-vous comment en 2020 les nouvelles relataient constamment les effets de la pandémie : émergence du télétravail, changements de fournisseurs, forte augmentation du commerce en ligne, perturbations des chaînes d’approvisionnement. Tous ces facteurs augmentent la probabilité d’activité frauduleuse. Les malfaiteurs y ont vu une occasion à saisir, c’est pourquoi l’hameçonnage et d’autres types de fraudes ont pris du galon. 

Poser un premier geste

Si vous êtes propriétaire ou gestionnaire d’entreprise, la prévention de la fraude liée aux paiements peut sembler intimidante, surtout si votre entreprise est de petite ou moyenne taille. Commencez tout simplement en établissant vos priorités selon les risques identifiés. La technique la plus importante pour atténuer la fraude est la mise en œuvre continue d’un programme d’évaluation des risques, l’application des meilleures pratiques de l’industrie et la formation de votre équipe afin qu’elle comprenne son rôle dans la prévention des cyberattaques. Créer un programme de cyberprotection robuste peut dissuader les pirates de cibler votre entreprise.

Vous n’avez pas à vous y prendre seul pour surmonter ce défi. Notre équipe mise sur des conseillers chevronnés en cybersécurité, en juricomptabilité, en gestion des risques d’entreprise et en contrôles internes qui sauront analyser votre situation avec objectivité pour une meilleure gestion de votre temps et de vos ressources.

Pour en savoir plus, communiquez avec :

Michael McCormack, CFI
Premier directeur, Services d’enquête et de juricomptabilité
780.733.8673
[email protected]

Sam Smagala
Directeur principal, Gestion des cyberincidents et cybersécurité
905.247.3287
[email protected]