Tu n’as piraté aucun ordinateur. Tu n’as installé aucun virus. T’as juste lu le courrier de quelqu’un d’autre pendant un bout de temps, pis t’as attendu le bon moment.
Tu commences par écouter
Ton travail commence longtemps avant le premier courriel.
Quelque part, une boîte de réception s’est ouverte. Souvent pas celle de ta cible — celle d’un fournisseur, d’un comptable, d’un employé qui a réutilisé le même mot de passe sur trois sites. Peut-être même que t’as juste acheté l’accès.
Tu lis. C’est tout ce que tu fais pendant des jours.
Tu apprends qui parle à qui, comment ils s’écrivent, que le fournisseur signe toujours avec le même bloc de trois lignes. Tu vois passer les factures, les délais, les montants habituels.
Tu ne cherches pas un mot de passe. Tu cherches une relation de confiance. C’est plus payant.
Tu choisis une lettre
Quand tu connais assez bien tes deux compagnies, tu te crées une adresse.
Pas une adresse bizarre. Pas un domaine gratuit. Le nom exact du fournisseur, à un caractère près. Un « s » ajouté au bout. Un « rn » qui remplace un « m ». Un tiret que personne remarque.
Tu sais une affaire que la plupart du monde ignore : personne ne lit une adresse courriel. On reconnaît une forme. Quand ton cerveau a vu le même nom de compagnie deux cents fois, il arrête de le lire et il commence à le deviner.
Ta lettre en trop, elle va survivre à quinze regards.
Tu écris le courriel le plus plate du monde
C’est ici que les amateurs se plantent.
Un amateur écrit « URGENT — VOTRE COMPTE SERA SUSPENDU ». Un amateur met un compte à rebours, des majuscules, une menace. Ça marche sur un particulier fatigué à 23h. Sur un gestionnaire d’entreprise, ça déclenche exactement le réflexe que tu veux éviter : décrocher le téléphone.
Toi, tu écris une note administrative.
Changement de coordonnées bancaires. Les nouvelles informations sont disponibles ici.
Pas de date limite. Pas de menace. Pas de faute. Tu ne demandes rien du tout — tu informes. Une entreprise reçoit dix courriels comme ça par semaine.
L’ennui, c’est ton meilleur camouflage. Ce qui est plate ne se fait pas vérifier.
Tu ne demandes pas d’argent. Tu offres de l’aide.
Ton lien mène à une page propre. Les nouvelles coordonnées y sont, bien affichées.
Et en dessous, tu ajoutes la pièce que personne voit venir : un petit guide qui explique comment ajouter un nouveau bénéficiaire dans un compte bancaire d’entreprise. Étape par étape. Poli. Serviable.
Réfléchis à ce que ça accomplit.
Tu ne pirates pas de compte de banque. Tu n’as pas besoin des mots de passe de ta cible. Tu n’as même pas besoin de toucher à son ordinateur. C’est elle qui va ouvrir sa propre banque, ajouter ton compte de ses propres mains, pis autoriser le virement elle-même.
Le jour où elle va appeler son institution pour se plaindre, la réponse va être la même partout : le transfert était autorisé. Tu viens de rendre le remboursement impossible avant même d’avoir reçu une cenne.
Tu lis ce qu’on t’envoie
Le virement arrive. Tu regardes le champ de référence.
Il y a presque toujours un numéro de facture dedans. C’est normal, c’est même la bonne pratique comptable — c’est comme ça qu’un fournisseur rattache un paiement au bon dossier.
Sauf que là, c’est ta victime qui vient de te donner son numéro de facture et son montant exact. Tu n’as plus rien à deviner.
Tu redemandes
Deux jours plus tard, tu renvoies un courriel. Le montant n’a pas été reçu. Le paiement est requis.
C’est ta meilleure ligne, parce qu’elle est vraie du point de vue de ta victime : son vrai fournisseur, lui, n’a effectivement rien reçu.
Et tu comptes sur un détail que t’as pas contrôlé mais que tu connais : le premier virement a probablement affiché des messages d’erreur. Un nouveau bénéficiaire international, ça fait toujours grincer les systèmes bancaires. Ta victime s’en souvient. Elle va se dire que le paiement a planté.
Le doute que sa banque a créé en essayant de la protéger, c’est toi qui vas l’encaisser.
Elle repaye. Cette fois sans erreur — le bénéficiaire est déjà validé.
Tu viens de doubler ta prise avec trois phrases.
Tu attends encore un peu
Tu envoies une troisième relance cinq jours plus tard. Pas pour l’argent. Pour le temps.
Chaque jour où ta victime pense encore que tout est normal, c’est un jour où l’argent circule, se divise, change de pays. Quand elle va finir par appeler son vrai fournisseur, ça va faire une semaine et demie. Un rappel de fonds rendu là, c’est de la paperasse.
T’as jamais eu besoin d’être invisible. Juste d’être crédible assez longtemps.
🎯 Pourquoi ça marche
- L’autorité empruntée. Tu ne demandes pas confiance, tu l’hérites. Le fournisseur l’a bâtie pendant des années, toi tu la loues pour dix jours.
- L’absence d’urgence. L’urgence déclenche la vérification. Le calme l’endort. C’est contre-intuitif, et c’est exactement pour ça que ça passe.
- La lecture par reconnaissance de forme. Notre cerveau ne lit pas les adresses familières, il les reconnaît. Une lettre de trop, c’est en dessous du seuil de détection.
- L’obéissance à l’étape suivante. Un tutoriel transforme une décision en tâche. On réfléchit à une décision. On exécute une tâche.
- L’auto-incrimination technique. En faisant faire le geste par la victime, on fait basculer la responsabilité juridique. C’est le cœur du modèle, pas un effet secondaire.
- La cohérence du deuxième mensonge. La relance colle à ce que la victime a vécu (les erreurs à l’écran). Un mensonge qui confirme ton souvenir est presque impossible à repérer.
🚩 Les signaux que la victime aurait dû voir
- Un changement de coordonnées bancaires annoncé par courriel. Souviens-toi : dans la peau de l’arnaqueur, tout ton plan repose là-dessus. C’est le seul moment où tu es vulnérable.
- Un lien pour aller chercher les coordonnées. Un vrai fournisseur te les confirme de vive voix. Un faux fait tout pour que tu n’appelles pas.
- Un fournisseur qui t’explique comment utiliser ta banque. Aucune entreprise légitime au monde ne fait ça. C’était le signal le plus fort, pis c’était déguisé en service à la clientèle.
- Un avertissement bancaire sur un compte externe ou international. Ta banque vient de faire son travail. C’est le dernier filet.
- Une relance sur une facture qui n’est pas due. Personne relance un bon client trois semaines d’avance.
✅ Comment ne JAMAIS tomber dans le piège
- Un seul réflexe : le rappel. Tout changement de coordonnées bancaires se confirme au téléphone, au numéro que t’as déjà dans tes dossiers. Jamais celui du courriel.
- Copie l’adresse d’expéditeur dans un bloc-notes. Sortie de son contexte, la lettre de trop se voit. Dans ta boîte de réception, jamais.
- Envoie 1 $ en test. Tu appelles ton fournisseur, tu lui demandes s’il l’a reçu. Ça règle tout pour une piastre.
- Deux personnes approuvent au-dessus d’un montant que tu fixes. Même dans une entreprise de trois employés.
- Traite un avertissement de ta banque comme un arrêt. Ferme la fenêtre pis appelle-les. Trente secondes.
- Écris la règle. « Changement de coordonnées bancaires = appel obligatoire. » Affiche-la. Une bonne intention se perd, une procédure reste.
💬 Le mot de la fin
Bon, on sort du personnage.
Ce qui me frappe dans cette méthode-là, c’est qu’il n’y a rien de brillant dedans. Pas de code, pas d’exploit, pas de génie technique. Juste de la patience, de la lecture, pis une compréhension très fine de comment on travaille quand on est occupé.
C’est aussi pour ça qu’elle est si difficile à arrêter. Tu peux blinder tes serveurs tant que tu veux : si ton fournisseur se fait lire ses courriels, c’est toi qui vas payer.
Il n’y a pas de logiciel qui protège contre ça. Il y a juste un coup de téléphone.
Un courriel peut être parfait. Un numéro de téléphone que t’as déjà dans tes dossiers, ça, ça se falsifie pas.
📚 Ressources utiles
- Centre antifraude du Canada : 1-888-495-8501
- Signalement en ligne (Canada) : antifraudcentre-centreantifraude.ca
- Ombudsman des services bancaires et d’investissement (OSBI) : 1-888-451-4519 — obsi.ca — organisme externe unique de traitement des plaintes bancaires au Canada
- Vérifier une entreprise au Québec : registreentreprises.gouv.qc.ca
- En France : service-public.fr/particuliers/vosdroits/F33525
Les « Décryptages » sont des reconstructions pédagogiques de méthodes d’arnaque réelles. Aucune des techniques décrites n’est encouragée — au contraire, comprendre comment fonctionne une arnaque est la meilleure manière de ne pas y tomber. Toutes les informations sont basées sur des cas documentés par les centres antifraude, des témoignages publics, et mes 27 ans d’expérience dans le domaine de l’informatique.
Écrit par Éric, technicien informatique depuis 27 ans, fondateur de Bcisolutions et créateur de protecteurnumerique.com.