Hameçonnage et fraudes au nom de la municipalité

Capsules

1. 1

   Un faux courriel qui a l’air vrai

   2 min
   Capsule vidéo en tournage

   Un faux courriel qui a l’air vrai

   Un courriel peut sembler venir d’une personne connue sans en venir. Avant d’agir sur une demande d’argent ou de mot de passe, on confirme par un second canal.

   Lire la capsule (transcription)

   Un jour, une ville canadienne reçoit un courriel qui semble venir d’un directeur d’organisme qu’elle connaît bien. Il annonce de nouvelles coordonnées bancaires. Rien d’inquiétant en apparence. La Ville fait le changement, et 558 233 $ prennent la route du mauvais compte. Le courriel de ce directeur avait été piraté, et une adresse qui ressemblait à la vraie servait à tromper la vigilance.

   Voici l’idée centrale : un courriel qui a l’air de venir de quelqu’un que vous connaissez peut venir de quelqu’un d’autre. Ça compte parce que, selon la Fédération québécoise des municipalités, la FQM, 91 % des cyberattaques partent d’un courriel. L’hameçonnage, c’est un message qui se fait passer pour une personne ou un organisme de confiance afin d’obtenir de l’argent, un mot de passe ou un renseignement.

   Premier élément : il y a deux grandes façons de tromper l’œil. La première, c’est une adresse qui ressemble à la vraie, avec une lettre changée ou ajoutée. Sur un téléphone, en lisant vite, on ne voit rien. La seconde, c’est le vrai courriel d’une personne connue, mais piraté. Là, l’adresse est la bonne. C’est ce qui s’est passé avec la ville canadienne. Autrement dit, « l’adresse est correcte » ne prouve rien.

   Deuxième élément : les signes qui doivent vous faire ralentir. Une urgence ou une menace. Une demande de mot de passe ou de renseignements personnels. Un lien qui imite un organisme réel. Des fautes. Une demande d’argent ou un changement de coordonnées bancaires. Un seul de ces signes suffit pour arrêter. Inutile d’en cumuler cinq.

   Troisième élément : le geste. Quand une demande touche l’argent, les coordonnées bancaires ou un mot de passe, je confirme par un second canal, c’est-à-dire autrement que par le message reçu. J’appelle la personne au numéro que j’avais déjà, ou je passe la voir. Je ne réponds pas au courriel, et je n’utilise pas le numéro qu’il contient. Le piège émotionnel, c’est la gêne : « Je ne vais pas déranger la direction pour ça. » Un appel de trente secondes coûte bien moins cher qu’un virement mal dirigé.

   À retenir : l’adresse ne prouve rien. Quand ça touche l’argent ou un mot de passe, je confirme par un second canal.

   • Un domaine ressemblant ou le courriel piraté d’une personne connue peut tromper l’œil.
   • Selon la FQM, 91 % des cyberattaques partent d’un courriel.
   • Signes d’alerte : urgence ou menace, demande de mot de passe, lien qui imite un organisme, fautes, demande d’argent ou de nouvelles coordonnées bancaires.
   • Le réflexe : confirmer par un second canal, avec un numéro que vous aviez déjà.
2. 2

   Une demande de paiement qui presse

   2 min
   Capsule vidéo en tournage

   Une demande de paiement qui presse

   Un faux message de la direction ou d’un fournisseur réclame un virement. Deux protections simples : confirmer par un second canal et faire approuver le virement par deux personnes.

   Lire la capsule (transcription)

   Imaginez la scène. Il est 16 h 45 dans une municipalité régionale de comté, une MRC, d’Abitibi. Salima, à la comptabilité, reçoit un courriel qui semble venir de la direction générale : « Virement urgent à un nouveau fournisseur. Je suis en réunion, je compte sur vous. » Salima veut bien faire. Personne n’aime se faire demander les choses deux fois.

   L’idée centrale : une demande de paiement ne se règle jamais sur la seule foi d’un message. La Gendarmerie royale du Canada décrit cette fraude sous le nom de fraude du président : quelqu’un se fait passer pour une personne en autorité afin d’obtenir un paiement. Une variante très proche, c’est le faux changement de coordonnées bancaires d’un fournisseur, comme dans la capsule précédente.

   Premier geste : confirmer par un second canal. Salima appelle la direction générale au numéro qu’elle connaît, ou passe par l’adjointe. Si la demande est vraie, ça prend une minute, et la direction sera contente qu’on vérifie. Si elle est fausse, la fraude s’arrête là. C’est vrai aussi pour un appel : une voix qui semble familière ne suffit pas. On raccroche et on rappelle au numéro du dossier.

   Deuxième geste : la double autorisation des virements. Deux personnes regardent chaque virement avant qu’il parte. Même dans une municipalité de trois employés, c’est possible : la deuxième personne n’a qu’à demander « Qui a fait cette demande, et comment l’a-t-on confirmée ? » Quand une seule personne prépare et approuve, il suffit de tromper une seule personne.

   Reste le piège émotionnel. Les fraudeurs jouent sur l’autorité et sur l’heure. Un message de la direction ou d’un élu, juste avant la fermeture, avec « ne me dérangez pas » : tout est fait pour que vous n’osiez pas vérifier. Dans un petit milieu où tout le monde se connaît, on se dit : « Je ne vais pas douter d’elle. » Vous ne doutez pas de la personne. Vous vérifiez le message.

   Et si l’argent est déjà parti ? On avise immédiatement l’institution financière. Puis on signale à la police, au Centre antifraude et aux TI, c’est-à-dire les technologies de l’information. À retenir : une demande de paiement se confirme par un second canal, et un virement se fait à deux.

   • La fraude du président : quelqu’un se fait passer pour une personne en autorité afin d’obtenir un paiement.
   • Variante proche : le faux changement de coordonnées bancaires d’un fournisseur.
   • Toute demande de paiement se confirme par un second canal, appel téléphonique compris.
   • Les virements s’autorisent à deux, même dans une toute petite équipe.
3. 3

   Signaler tôt, sans honte

   2 min
   Capsule vidéo en tournage

   Signaler tôt, sans honte

   Signaler un doute ou une erreur est un geste de sécurité, pas un aveu. Plus on avise tôt, moins les dégâts sont grands, et la réaction de celui ou celle qui reçoit le message compte autant que le geste.

   Lire la capsule (transcription)

   Le 23 juillet 2026, vers 7 h 30, un employé de la municipalité de Saint-Noël, dans le Bas-Saint-Laurent, détecte une intrusion dans la station d’eau potable. Le retour à la normale est rapide, et la municipalité affirme que la santé publique n’a jamais été compromise. À Westmount aussi, c’est un employé qui a découvert le problème, un dimanche matin, quand les serveurs de la Ville avaient été chiffrés. Voir tôt, ça compte.

   L’idée centrale : signaler tôt est un geste de sécurité, pas un aveu. Le Centre canadien pour la cybersécurité note que la majorité des attaques par rançongiciel à fort impact ne sont probablement pas signalées. Un rançongiciel, c’est un logiciel qui bloque vos fichiers pour réclamer de l’argent. Quand on se tait, les autres ne peuvent ni se protéger ni aider.

   Premier élément : signaler quoi ? Tout, même ce qui n’a l’air de rien. Vous avez cliqué sur un lien et vous doutez. Vous avez donné un mot de passe. Un virement vous semble étrange après coup. Vous n’avez pas besoin d’être certain. Dites « J’ai un doute », et quelqu’un regardera.

   Deuxième élément : à qui, et comment ? La réponse doit être simple et connue d’avance : un nom, un numéro de téléphone. Dans une municipalité de 900 habitants, ce sera peut-être la direction générale. Dans une ville, le service des technologies de l’information. Gardez aussi une copie papier de ces contacts, au cas où les ordinateurs ne répondraient plus.

   Troisième élément : la réaction de la personne qui reçoit le signalement. Un reproche, et la prochaine personne se taira. Un simple « Merci de me l’avoir dit », suivi d’une action, suffit. On regarde ce qui s’est passé, on corrige la façon de faire, on ne cherche pas de coupable. Et on évite de féliciter seulement ceux qui ne cliquent jamais : cela pousse à cacher les erreurs.

   Le piège ici, c’est la honte : « Je vais avoir l’air de ne pas savoir ce que je fais. » N’importe qui peut se faire prendre. Si de l’argent est parti, le temps compte encore plus : on appelle l’institution financière tout de suite. À retenir : un doute signalé tôt vaut mieux qu’une erreur cachée.

   • Signalez tout doute, même sans certitude : « J’ai un doute » suffit.
   • Sachez d’avance à qui écrire ou téléphoner, et gardez une copie papier de ces contacts.
   • Si de l’argent est parti, avisez l’institution financière immédiatement, puis la police, le Centre antifraude et les TI.
   • Réagir par un merci et une action, pas par un reproche, garde les signalements ouverts.
4. 4

   Quand on se sert du nom de la municipalité

   2 min
   Capsule vidéo en tournage

   Quand on se sert du nom de la municipalité

   Des fraudeurs empruntent le nom de la municipalité pour tromper les citoyens. Le personnel sait reconnaître les signes, dire quoi faire et expliquer d’avance comment la municipalité communique.

   Lire la capsule (transcription)

   En février 2024, des citoyens de Saint-Hyacinthe reçoivent un texto qui semble venir de la Ville : une amende à payer en ligne, avec un lien. La Ville publie un communiqué. Elle n’envoie jamais de texto pour réclamer un paiement. Il ne faut pas cliquer, et il faut signaler la fraude à la Sûreté du Québec.

   L’idée centrale : des fraudeurs empruntent aussi le nom de votre municipalité pour tromper vos citoyens, et ce sont le comptoir, le téléphone et le site Web qui reçoivent les questions. Votre rôle n’est pas de tout deviner. C’est de savoir quoi répondre.

   Premier élément : reconnaître les signes. La Ville de Saint-Hyacinthe en cite quatre : un lien qui imite un organisme réel, des fautes, une demande de renseignements personnels, de l’urgence ou des menaces. Un texto qui annonce un « dernier avis » et un paiement à faire dans l’heure en cumule plusieurs.

   Deuxième élément : le bon réflexe au comptoir ou au téléphone. Un citoyen arrive avec son cellulaire dans une municipalité de 900 habitants en Gaspésie. Vous lui dites de ne pas cliquer, de ne rien payer, de ne pas répondre, et de signaler le tout à la police. Vous n’ouvrez pas le lien sur votre poste de travail pour voir. Et vous ne lui faites pas la leçon. S’il a déjà donné ses renseignements bancaires, il appelle tout de suite son institution financière.

   Troisième élément : parler avant que ça arrive. Dites aux citoyens, sur le site Web, dans l’infolettre ou à la séance du conseil, comment la municipalité les joint et ce qu’elle ne fait jamais. Chaque municipalité décide de ses façons de faire : écrivez les vôtres noir sur blanc. Et si un employé apprend qu’un faux message circule, il le dit à la direction, qui pourra avertir tout le monde.

   Le piège émotionnel : « Ce n’est pas notre problème, ce n’est pas notre argent. » Pourtant, c’est notre nom qu’on utilise, et c’est la confiance envers la municipalité qui est en jeu. À retenir : une municipalité qui dit d’avance comment elle communique aide ses citoyens à reconnaître le faux.

   • Signes cités par la Ville de Saint-Hyacinthe : lien qui imite un organisme réel, fautes, demande de renseignements personnels, urgence ou menaces.
   • Au comptoir ou au téléphone : ne pas cliquer, ne rien payer, signaler à la police.
   • Si la personne a déjà donné ses renseignements bancaires, elle joint tout de suite son institution financière.
   • Dites d’avance comment la municipalité communique et ce qu’elle ne fait jamais.

Le virement de 16 h 45

Hameçonnage et fraudes : l’essentiel

L’adresse ne prouve rien. L’argent et les mots de passe se confirment par un second canal, et un doute se signale tout de suite.

En cas de doute : Appelez la personne concernée à un numéro connu. En cas de fraude : institution financière, police locale ou 911 en cas d’urgence, Centre antifraude. Le Centre canadien pour la cybersécurité répond au 1-833-292-3788 (1-833-CYBER-88).

Astuces de terrain

Ressources

• Centre canadien pour la cybersécurité : mesures de base pour les petites organisations
• Fédération québécoise des municipalités : des cybermenaces bien réelles (février 2024)
• Centre canadien pour la cybersécurité : évaluation des cybermenaces nationales 2025-2026
• Centre canadien pour la cybersécurité : signalement des cyberincidents

Quiz