Elle a payé 19 $ pour des « frais de passage ». Les fraudeurs connaissaient son itinéraire de vacances.

Par /

Arnaques Phishing (courriel et SMS)

Introduction

Isabelle n’a jamais donné sa carte de crédit pendant ses vacances. Pas une fois. Et pourtant, à son retour, quelqu’un vidait son compte tranquillement, 100 $ à 300 $ à la fois.

L’histoire

Cette semaine, je vais te raconter une histoire qui date d’il y a environ deux ans. Si je t’en parle maintenant, c’est parce qu’Isabelle (nom fictif), une amie proche, m’a appelé cette semaine pour me demander si un site de voyage était fiable. Et ça m’a fait repenser à ce qui lui était arrivé. Avec les vacances qui commencent pour ben du monde au Québec, je me suis dit que c’était le bon moment.

Ça commence comme toutes tes recherches de vacances

C’était le début de l’été. Isabelle voulait partir quelques jours, sans trop savoir où. Elle fait ce que tout le monde fait : elle fouille sur Google. Elle tombe sur un site de planification de voyage qui a l’air complètement légitime. Beau design, résultats dans Google, rien de louche.

Elle s’inscrit gratuitement. Nom, courriel, sa ville de départ, ses préférences. Le site lui monte un bel itinéraire dans le nord du Québec. Elle trouve ça beau, elle part.

Jusque-là, tout est normal. C’est ça qui est traître dans cette histoire : il n’y a aucun drapeau rouge au moment où elle donne ses informations.

Le courriel du retour

Elle revient de vacances. Quelques jours plus tard, un courriel arrive : l’endroit qu’elle a visité aurait des « frais de passage » impayés. 19 $. Le courriel contient un numéro de téléphone.

Elle appelle. Une boîte vocale automatisée, bilingue anglais/français, qui explique seulement comment payer. Pas de vraie personne au bout du fil.

Isabelle n’est pas naïve. Elle appelle Alain (nom fictif aussi), une connaissance qui travaille dans le domaine de la sécurité au Québec, pour valider :

« Ouais, ça se peut fort bien. Y a des passages payants, comme à Toronto pis dans d’autres coins. »

Et il n’a pas tort — des routes à péage, ça existe pour vrai. C’est ça le génie de l’arnaque : elle s’appuie sur quelque chose de plausible.

Isabelle se dit : pour 19 $, je me casserai pas la tête. Elle clique sur le lien, entre ses informations, incluant sa carte de crédit. « Merci de votre paiement. »

Les factures qui se multiplient

Deux jours plus tard, une autre facture arrive. Un autre endroit qu’elle a visité, d’autres frais. Cette fois, elle décide de ne pas payer. Deux jours après, une troisième. Pis là, une quatrième — sauf que celle-là, c’est pour un endroit où elle n’a jamais mis les pieds.

C’est là que la lumière s’allume. Elle va voir son relevé de carte de crédit.

Plein d’achats qu’elle n’a jamais faits. Entre 100 $ et 300 $ chaque. Elle appelle sa banque tout de suite pour tout bloquer.

« J’ai jamais donné ma carte en vacances »

Environ une semaine plus tard, je la croise. Elle me dit : « Je me suis fait arnaquer la semaine passée, pis je comprends pas. J’ai pas donné ma carte une seule fois en vacances. »

Et elle avait raison. C’est ça qui rendait l’affaire mêlante.

Je lui pose des questions, pis je finis par lui demander si je peux regarder son ordinateur. C’est là que je trouve les courriels de « frais de passage », dont celui qu’elle a payé. Le point de départ était là.

Mais il restait la vraie question : comment les fraudeurs savaient-ils où elle était allée? Elle me jurait n’avoir donné son courriel nulle part pendant le voyage. Plein d’affaires me passaient par la tête — cellulaire piraté, compte compromis. Je me suis creusé la tête pendant des heures (bon, avec une pause souper, mais quand même).

Ce que j’ai trouvé en analysant la situation

Quelques heures plus tard, je lui demande : « Comment t’as décidé d’aller là, au juste? »

« J’ai fouillé sur internet pis j’ai trouvé ça beau. »

Bingo. Je prends son ordi, je fouille l’historique de navigation des semaines d’avant. Et là, et là, je le vois : le fameux site de planification de voyage. Je clique dessus. Erreur 404. Le site n’existait plus.

En creusant un peu plus, je suis tombé sur une mention indiquant que le site avait été fermé à la suite d’une fuite de données. Je vais être honnête avec toi : deux ans plus tard, je n’ai plus la source exacte, et je n’ai jamais pu confirmer à 100 % si le site était un site légitime qui s’est fait pirater, ou un faux site monté de toutes pièces pour récolter des informations.

Mais franchement? Les deux scénarios mènent exactement au même résultat : quelqu’un connaissait son itinéraire de vacances au complet.

Réfléchis-y deux secondes. Le site savait d’où elle partait, où elle allait, quels endroits elle voulait visiter. Avec ça en main, les fraudeurs n’avaient qu’à attendre son retour et lui envoyer des factures crédibles pour des endroits où elle était réellement passée. Ils ne pognent sûrement pas tout le monde, mais au volume, ça doit rapporter.

Et ce n’est pas de la science-fiction. Ces dernières années, plusieurs gros joueurs du voyage ont subi des fuites de données de réservation — Booking.com, Pierre & Vacances, Gîtes de France, entre autres. Les fraudeurs utilisent ensuite ces informations pour envoyer des messages ultra-crédibles, parce qu’ils connaissent tes vraies réservations.

Le moment où ça a dérapé

Étape 1 — La collecte d’informations. Isabelle donne son nom, son courriel, sa ville et son itinéraire complet à un site de voyage. Piraté ou frauduleux, ces informations ont fini entre les mains de fraudeurs.

Étape 2 — L’attente. Les fraudeurs n’ont rien fait pendant le voyage. Ils ont attendu son retour. Un courriel de frais reçu pendant que tu es encore sur la route, ça pourrait éveiller des doutes. Après le retour, c’est crédible.

Étape 3 — Le petit montant désarmant. 19 $. Assez petit pour que tu te dises « je me casserai pas la tête ». C’est calculé. Le but du 19 $ n’a jamais été le 19 $.

Étape 4 — La fausse validation. Le numéro de téléphone avec la boîte vocale bilingue donne un vernis officiel. Même Alain, qui travaille en sécurité, a confirmé que des frais de passage, ça se peut. L’arnaque était assez bien montée pour passer un premier test de bon sens.

Étape 5 — La vraie récolte. En payant le 19 $, Isabelle a donné son numéro de carte complet sur un site frauduleux. Les achats de 100 $ à 300 $ ont commencé dans les jours suivants.

Étape 6 — La gourmandise qui les a trahis. Les fraudeurs ont continué à envoyer des factures. La quatrième concernait un endroit où Isabelle n’était jamais allée. C’est cette erreur-là qui a tout déclenché.

🚩 Les drapeaux rouges qu’il aurait fallu voir

  • Une facture par courriel pour des frais routiers. Au Québec, les ponts et routes à péage (comme le pont de l’A25 ou l’A30) t’envoient une facture par la poste liée à ta plaque d’immatriculation, pas un courriel avec un lien de paiement.
  • Un numéro de téléphone qui ne mène qu’à une enregistreuse. Aucun humain, aucune option pour contester ou poser des questions. Juste « comment payer ». Une vraie organisation a un service à la clientèle.
  • Un lien de paiement dans le courriel. C’est LE classique du phishing. Un organisme légitime te dirige vers son site officiel, pas vers un lien direct de paiement.
  • Le montant étrangement petit. 19 $, c’est le montant parfait pour que tu paies sans vérifier. Méfie-toi autant des petites factures que des grosses.
  • Des factures qui se multiplient après le premier paiement. Dès que tu paies une fois, tu deviens une cible confirmée. Les fraudeurs testent toujours si le poisson mord encore.
  • Comment savaient-ils où elle était allée? C’est la question qu’il faut se poser dès la première facture. Si un inconnu connaît ton itinéraire, il y a un problème en amont.

✅ Ce qu’il fallait faire à la place

  • Vérifier directement auprès de l’endroit visité. Un parc, une réserve, une route à péage : ça a un site officiel et un numéro public. Appelle-les directement, jamais avec le numéro fourni dans le courriel.
  • Ne jamais payer via un lien reçu par courriel. Si des frais existent vraiment, tu peux toujours les payer par le site officiel de l’organisme.
  • Donner le moins d’informations possible aux sites de planification. Ton itinéraire complet, c’est une information précieuse. Utilise des sites reconnus, et méfie-toi des sites trouvés au hasard d’une recherche, même s’ils ont l’air professionnels.
  • Utiliser une carte à limite basse ou une carte virtuelle pour les paiements en ligne. Plusieurs banques offrent maintenant des cartes virtuelles à usage unique. Ça limite les dégâts si le numéro se fait voler.
  • Se méfier des petits montants autant que des gros. Le 19 $ n’est jamais le but. C’est la porte d’entrée vers ta carte au complet.

🆘 Si ça t’arrive : les 30 prochaines minutes

  1. Appelle ta banque ou l’émetteur de ta carte immédiatement. Fais bloquer la carte et conteste les transactions frauduleuses. Dans le cas d’Isabelle, la banque a tout crédité — mais plus tu attends, plus c’est compliqué.
  2. Ne paie aucune autre facture reçue, même si elle semble légitime. Une fois ciblé, tout ce qui rentre est suspect.
  3. Prends des captures d’écran des courriels frauduleux avant de les supprimer. Ça sert de preuve pour la banque et le signalement.
  4. Change le mot de passe de ton courriel et active la double authentification. Si les fraudeurs ont ton courriel, assure-toi qu’ils n’ont pas plus.
  5. Signale la fraude au Centre antifraude du Canada : 1-888-495-8501 ou antifraudcentre-centreantifraude.ca.
  6. Surveille ton relevé de carte pendant les semaines suivantes. Les fraudeurs revendent souvent les numéros de carte, et d’autres transactions peuvent apparaître plus tard.
  7. Vérifie ton dossier de crédit chez Équifax et TransUnion si tu as donné plus que ta carte (adresse, date de naissance, etc.).

💬 Le mot de la fin

Ce qui me frappe dans cette histoire, c’est qu’Isabelle n’a rien fait de fou. Elle a planifié ses vacances comme tout le monde le fait. Elle a même appelé quelqu’un du domaine de la sécurité avant de payer. Et elle s’est fait avoir quand même.

C’est ça, la nouvelle réalité : les fraudeurs ne devinent plus, ils savent. Quand ton itinéraire, tes réservations ou tes achats coulent dans une fuite de données, l’arnaque qui suit n’a plus l’air d’une arnaque. Elle a l’air d’une facture ordinaire.

La banque a remboursé Isabelle, et l’histoire aurait pu s’arrêter là. Mais deux ans plus tard, elle m’appelle encore avant de faire confiance à un site de voyage. Ça, ça ne se rembourse pas.

La prochaine fois que tu reçois une petite facture qui a l’air ben ordinaire, pose-toi juste une question : comment ils savent ça, eux autres?

📚 Ressources utiles

Les histoires partagées dans cette série sont inspirées de cas réels que j’ai rencontrés durant mes 27 ans dans le domaine de l’informatique. Les noms et certains détails ont été modifiés pour protéger l’identité des personnes concernées.

Écrit par Éric, technicien informatique depuis 27 ans, fondateur de Bcisolutions et créateur de protecteurnumerique.com.

Retour en haut