Cas réels de cybercrime : Facturation frauduleuse – Balado 3

L’envoi de fausses factures fait partie des fraudes courantes qui menacent les entreprises canadiennes. En effet, 52 % des entreprises en ont déjà fait l’expérience. Même s’il n’est pas nécessairement facile de se mettre à l’abri des fraudeurs, votre entreprise peut prendre certaines mesures pour se protéger.

Aujourd’hui, 37 % des entreprises canadiennes n’ont aucun mécanisme en place pour prévenir la facturation frauduleuse. Comme le dit M. Alpha Chan, détective à l’unité des délits informatiques de la police de Toronto, toute entreprise sera tôt ou tard la cible d’un fraudeur. Il est donc important de connaître les fraudes courantes, les tactiques fréquemment utilisées pour s’infiltrer dans une entreprise, et les mécanismes qui peuvent vous aider à déceler les fraudes et à réduire les pertes financières.

Trois types de facturation frauduleuse

En faisant parvenir de fausses factures aux entreprises, les fraudeurs tentent de diriger des paiements vers leur compte, que ce soit directement ou par une voie détournée. Actuellement, les fraudeurs ont recours à trois tactiques principales.

1. Réacheminement des fonds. Dans ce premier type de facturation frauduleuse, le criminel connaît déjà les entreprises qui vous envoient habituellement des factures. Le fraudeur peut alors vous transmettre un courriel en prétendant être un de vos fournisseurs et en vous disant qu’il a modifié sa procédure de paiement, ou encore qu’il a récemment changé d’institution bancaire – « Veuillez donc faire parvenir votre paiement au nouveau compte suivant ». Comme l’explique le détective Chan, « la demande paraît authentique. Le fraudeur peut avoir imité l’en-tête de lettre du fournisseur. Il peut même avoir copié l’adresse courriel de la personne responsable des communications avec les fournisseurs. » Quand un fraudeur réussit à tromper ainsi une entreprise, le paiement est versé directement dans son compte plutôt que dans celui du vrai fournisseur.

2. Fausses factures en provenance d’un nouveau fournisseur (imposteur). Dans ce deuxième type de facturation frauduleuse, votre entreprise commence à recevoir des factures d’un nouveau fournisseur. Une entreprise dont les mécanismes de contrôle manquent de rigueur pourrait se faire duper en payant des produits ou services qu’elle n’a jamais commandés. Ce type de fraude tend à fonctionner si votre entreprise est débordée, si vous croulez sous la paperasserie, ou si vous ne vérifiez pas suffisamment les factures provenant de nouveaux fournisseurs.

3. Interception des comptes clients. Dans ce troisième type de facturation frauduleuse, qui est relativement récent, le fraudeur s’empare de votre relevé des comptes clients. Grâce à cette information précieuse, il peut cibler les entreprises qui vous doivent de l’argent, et réacheminer leurs paiements vers son compte.

Compte tenu de la multiplication des fausses factures, il est essentiel de prendre des mesures pour protéger votre entreprise. Dans le troisième épisode de notre série de balados intitulée Cas réels de cybercrime, Denise Pratt, directrice générale, Éducation et sensibilisation à RBC, s’est entretenue avec le détective Alpha Chan au sujet des fraudes courantes et des tactiques de prévention que votre entreprise peut facilement mettre en œuvre.

Comme l’explique le détective Chan, les criminels se renseignent suffisamment pour être en mesure de créer un piège qui a l’apparence du vrai. En faisant preuve de vigilance et de rigueur, vous protégerez mieux votre entreprise de la facturation frauduleuse. Voici cinq mesures à considérer :

1. Surveillez les changements, et validez-les.

Si un fournisseur ou un client vous soumet de nouvelles directives de paiement, il est préférable de le joindre directement pour vous assurer qu’il ne s’agit pas d’une escroquerie. Rappelez-vous qu’il vaut mieux faire un appel que de vous fier à un courriel potentiellement trafiqué.

En fait, les systèmes de vérification structurés peuvent contribuer grandement à la protection de votre entreprise. Le détective Chan conseille d’établir une procédure entre vous, votre fournisseur et tout tiers, et de mettre les choses par écrit, à titre de précaution supplémentaire.

2. Examinez attentivement chaque facture.

N’effectuez aucun paiement si vous n’êtes pas certain que les articles ou les services facturés ont bien été commandés et fournis. Même en période de pointe, il est préférable de valider l’identité des clients et des nouveaux fournisseurs et de vérifier les factures de ces derniers, en s’assurant que leur contenu est bien exact et authentique.

3. Créez des mots de passe fiables.

De nombreux fraudeurs réussissent à tromper des entreprises en interceptant des renseignements confidentiels dans le courriel d’un employé. Comme l’explique le détective Chan, si l’un de vos employés utilise un mot de passe facile à deviner, des fraudeurs pourraient arriver à consulter l’historique de ses courriels pour y découvrir la présentation des factures précédentes. Ils peuvent aussi examiner la façon dont les employés s’adressent aux fournisseurs et aux clients. En rappelant à tout votre personnel d’utiliser des mots de passe fiables, vous empêcherez plus efficacement les fraudeurs de s’attaquer à vos systèmes.

Une leçon sur l’escroquerie par intrusion dans un courriel d’entreprise (voir notre publication et notre balado sur ce type de fraude) peut aussi vous aider à protéger votre entreprise.

4. N’effectuez pas vos paiements trop rapidement.

Les fraudeurs ont souvent du succès dans leurs communications en prétextant une certaine urgence d’agir. Ils peuvent dire à un employé qu’un paiement est en souffrance et qu’on appliquera des frais élevés si la facture n’est pas réglée immédiatement. Ils peuvent aussi prétendre qu’une commande ne sera pas traitée tant que le paiement réclamé ne sera pas reçu.

Si vous et vos employés êtes au courant de ce genre de manipulation, vous serez plus susceptibles de vous questionner sur toute demande de paiement pressante.

5. Signalez toutes les fraudes et les tentatives de fraude.

De nombreuses entreprises ne signalent pas les fraudes ou les tentatives de fraude, surtout lorsque les pertes sont minimes. Mais comme l’explique le détective Chan, il est important de signaler tous les incidents dont vous êtes témoin. « Si votre entreprise a été ciblée, dit-il, l’entreprise voisine et la suivante le seront aussi. Toutefois, si personne ne signale les gestes des fraudeurs, aucune enquête n’aura lieu. » Par conséquent, les fraudeurs auront le champ libre pendant des années.

Même si vous n’avez pas perdu un sou, il est utile de joindre les autorités policières locales pour signaler une fraude ou une tentative de fraude. La police compile des données sur ces activités, et elle peut affecter les ressources nécessaires pour protéger les entreprises contre des tentatives futures.

Le détective Chan conseille de signaler comme suit les incidents de cybercriminalité :

• Conservez toutes les communications d’origine. En conservant les courriels d’origine dans votre ordinateur, vous permettrez éventuellement aux autorités policières de trouver l’adresse IP du fraudeur.
• Sachez où appeler en cas d’incident. En étant préparé, vous réagirez plus rapidement, ce qui pourrait limiter les dégâts.

Vous pouvez joindre l’unité des délits informatiques de la police de Toronto au 416 808-2222. Si votre établissement est situé hors de la région de Toronto, prenez contact avec les autorités policières de votre région pour savoir qui joindre en cas de besoin.

20 avril 2020