Denis n’était même pas en retard sur son compte. Il a payé d’avance pour bien faire. Ça lui a coûté 24 974 $, et sa banque a refusé de rembourser un seul dollar.
L’histoire
Denis m’a appelé un après-midi de semaine. Un jeudi je pense. Peut-être un mercredi, j’me souviens plus exactement.
C’est un client d’affaires. Une petite entreprise, quelques employés, pis c’est lui qui gère à peu près tout. Les commandes, les soumissions, les comptes à payer. Un gars organisé. Ses factures sont payées avant la date. Toujours.
Sa voix était pas normale.
« Éric, j’pense que je viens de me faire avoir. Pas à peu près. »
Ça avait commencé par un courriel plate
Une dizaine de jours plus tôt, Denis reçoit un courriel d’un de ses fournisseurs principaux. Un fournisseur canadien, avec qui il fait affaire depuis des années.
Objet : changement de site bancaire.
Le message expliquait que le fournisseur changeait ses coordonnées de paiement, pis que les nouvelles informations étaient disponibles sur leur site. Un lien. C’est tout.
Pas de menace. Pas de « votre compte sera suspendu dans 24 heures ». Pas de fautes de français. Pas d’urgence. Juste une note administrative comme il en reçoit dix par mois.
Denis clique.
Le site qui t’explique comment te faire voler
Le site s’ouvre. Les nouvelles coordonnées bancaires sont là, bien affichées.
Et c’est le boutte qui me lève encore le cœur : le site expliquait, étape par étape, comment ajouter un nouveau fournisseur dans son compte bancaire d’entreprise. Un petit tutoriel. Propre. Poli. Mieux écrit que la documentation de bien des vraies compagnies.
Denis se dit : tant qu’à être là-dedans, j’vais régler ça tout de suite.
Il retrouve sa facture en cours. 12 487 $. Il a 60 jours pour payer, pis ça en fait une quarantaine. Il est en avance. Il doit rien à personne. Mais il aime pas traîner des affaires.
Il ouvre son compte bancaire d’entreprise. Il ajoute le nouveau bénéficiaire, en suivant le tutoriel.
Les erreurs qu’il aurait dû écouter
Le virement plante. Message d’erreur. Il recommence.
À un moment, sa banque lui affiche un avertissement. Quelque chose comme : le compte du bénéficiaire est un compte externe international, voulez-vous vraiment envoyer ce montant.
Denis clique oui.
Le paiement passe. 12 487 $.
Bon, là je te raconte ça vite, mais mets-toi à sa place deux secondes. T’es dans ton bureau, t’as quinze affaires en attente, un fournisseur de longue date t’a envoyé un avis officiel, pis ta banque te pose une question technique que tu comprends pas trop. Tu cliques oui pis tu passes à la prochaine tâche. On l’a tous fait au moins une fois.
Deux jours plus tard
Nouveau courriel. Le montant de 12 487 $ n’a pas été reçu. Le paiement est requis.
Denis y repense. Le virement avait planté la première fois. Ça devait pas avoir passé pour vrai.
Il repaye.
Cette fois-là, aucune erreur, aucun avertissement. Le bénéficiaire était déjà ajouté, le transfert était déjà approuvé. Ça a coulé comme du beurre.
12 487 $ une deuxième fois. 24 974 $ au total.
Cinq jours plus tard
Encore une relance. Paiement en retard.
Là, ça fait pu de sens. Denis appelle le fournisseur.
« On n’a jamais reçu de virement de vous. »
Il appelle sa banque. La banque confirme : les transferts ont bel et bien été envoyés.
Il rappelle le fournisseur. « Je vais vous envoyer les confirmations de paiement, vous allez voir. »
Deux jours passent. Le fournisseur revient avec une phrase courte :
« Ce compte-là, c’est pas le nôtre. »
Le moment où le plancher débarque
C’est là que Denis se rappelle du courriel de changement bancaire.
Il rappelle sa banque. On lui confirme ce qu’il savait déjà au fond de lui : l’argent est parti sur un compte international, l’avertissement avait été affiché à l’écran, il l’a approuvé lui-même.
La banque a refusé de rembourser.
Pas parce qu’ils sont méchants. Parce que techniquement, ils ont raison. C’est lui qui a envoyé l’argent. Volontairement. En cliquant sur un bouton qui lui disait noir sur blanc que le compte était à l’étranger.
Et les trois courriels — le premier, la relance de deux jours, celle de cinq jours — venaient tous du même arnaqueur. Le vrai fournisseur, lui, il attendait tranquillement dans son coin. Denis était même pas en retard sur son paiement.
Ce que j’ai trouvé en analysant la situation
Quand Denis m’a transféré les courriels, je m’attendais à trouver une grosse erreur évidente. Une faute d’orthographe. Un logo étiré. Une signature croche. Quelque chose.
J’ai rien trouvé.
Le courriel était identique aux vrais. Même mise en page, même signature, même ton. J’ai fini par mettre les deux côte à côte sur mon écran pour comparer ligne par ligne.
Une seule lettre différait dans le domaine de l’adresse. Un s à la fin. C’est tout. Un « s ».
Va donc voir un « s » de plus au bout d’un nom de compagnie que tu lis quinze fois par mois. Moi je l’ai vu parce que je le cherchais. Denis, lui, il le cherchait pas.
Après ça j’ai cliqué sur le lien pour voir. Le site était propre. Vraiment propre.
Là où ça accrochait, c’était les coordonnées bancaires elles-mêmes. Le transit, la structure du compte, la mention d’un intermédiaire. Ça n’avait aucune logique pour un fournisseur canadien qui facture en dollars canadiens. Quand j’ai vu ça, j’ai su.
Moi, avant d’envoyer un montant pareil vers un nouveau compte, j’aurais appelé ma banque. Pas juste le fournisseur : la banque. Ils voient passer ces affaires-là à longueur de journée. Trente secondes au téléphone pis quelqu’un t’aurait dit que ça sentait mauvais.
Comment l’arnaqueur savait le montant exact?
C’est la première question que Denis m’a posée. Comment le gars pouvait savoir qu’il devait précisément 12 487 $?
Il le savait pas. Pas au départ.
Quand tu fais un virement, tu inscris le numéro de facture dans le champ de référence. C’est normal, c’est même recommandé. C’est comme ça que ton fournisseur sait à quoi rattacher ton paiement.
Sauf que là, c’est Denis lui-même qui a donné le numéro de facture et le montant exact à l’arnaqueur, en payant. Le gars avait juste à lire la référence du virement qu’il venait de recevoir pour écrire une relance parfaitement crédible deux jours plus tard.
C’est pour ça que le deuxième courriel était si bon. Il inventait plus rien. Il recopiait.
Pis c’est aussi pour ça qu’il a relancé. Un arnaqueur qui vient d’encaisser 12 487 $ sans résistance, sa question suivante, c’est pas « comment je disparais ». C’est « est-ce qu’il en reste ».
Alors, ça venait d’où?
J’ai vérifié la boîte courriel de Denis au complet. Règles de redirection, connexions récentes, appareils autorisés, mots de passe. Rien. Personne n’avait eu accès. De son bord, tout était propre.
Mais quelqu’un, quelque part, avait déjà vu un vrai courriel de ce fournisseur-là. Tu copies pas une mise en page à ce point-là sans modèle.
On l’a jamais su avec certitude. La fuite venait probablement du côté du fournisseur, ou d’une chaîne de courriels qui a circulé quelque part.
Et c’est ça, le bout le plus dérangeant de l’histoire. Denis a rien fait de croche de son bord. La brèche était chez quelqu’un d’autre. C’est lui qui a payé.
Le moment où ça a dérapé
Étape 1 — Le courriel arrive sans urgence. Pas de menace, pas de compte à débloquer, pas de délai. C’est exactement ce qui le rendait crédible. Les arnaqueurs qui visent les entreprises ont compris que la panique fait fuir les gens d’affaires. La lenteur, elle, rassure.
Étape 2 — Le lien remplace le téléphone. À partir du moment où tu vas chercher des coordonnées bancaires dans un courriel au lieu de décrocher, t’es déjà dans le scénario de l’autre gars.
Étape 3 — Le tutoriel fait le travail à ta place. L’arnaqueur vole rien. Il t’accompagne pendant que tu envoies l’argent toi-même, proprement, depuis ton propre compte. C’est plus fort qu’un piratage, pis c’est ça qui rend le remboursement impossible après.
Étape 4 — Denis décide de payer d’avance. Personne lui demandait rien. Il avait encore vingt jours. Il a créé sa propre urgence, pis c’est cette urgence-là qui a court-circuité sa réflexion.
Étape 5 — L’avertissement de la banque saute. Le dernier filet de sécurité s’est levé. « Compte externe international. » Il a cliqué oui en deux secondes. C’est le moment précis où les 12 487 $ ont changé de propriétaire.
Étape 6 — La relance ramasse la deuxième mise. Deux jours plus tard, l’arnaqueur teste. Denis avait un souvenir d’erreurs à l’écran, ça collait avec un paiement raté. Il a repayé. Le doute que la banque avait créé la première fois a servi l’arnaqueur la deuxième.
Étape 7 — Cinq jours de silence. Le temps qu’il faut pour que l’argent parte d’un compte, se divise, pis devienne intraçable. Quand Denis a fini par appeler son fournisseur, c’était fini depuis longtemps.
🚩 Les drapeaux rouges qu’il aurait fallu voir
- Un changement de coordonnées bancaires annoncé par courriel. Ça, tout seul, c’est déjà assez pour arrêter net. Un vrai fournisseur qui change de banque va te le confirmer au téléphone si tu l’appelles. Un faux va tout faire pour que tu appelles pas.
- Un lien pour aller chercher les nouvelles coordonnées. Les coordonnées bancaires d’un fournisseur, ça se ramasse pas sur une page web. Ça se confirme de vive voix.
- Un fournisseur qui t’explique comment manipuler ton compte de banque. Personne fait ça. Aucun fournisseur légitime au monde va t’envoyer un tutoriel sur comment ajouter un bénéficiaire dans ton institution financière. C’était le signal le plus fort de toute l’histoire.
- Un avertissement « compte international » pour un fournisseur canadien. Ton fournisseur est à trois heures de route pis son compte est à l’étranger? Non.
- Un virement qui plante, pis qui finit par passer. C’est souvent le signe d’un bénéficiaire tout neuf que ta banque considère à risque. Le message d’erreur, c’est pas un bogue, c’est une opinion.
- Une relance pour une facture qui n’est même pas due. Denis avait encore vingt jours devant lui. Personne relance un bon client vingt jours d’avance.
- L’adresse d’expéditeur lue de mémoire. On lit pas les adresses courriel, on reconnaît des formes. C’est exactement là-dessus que le « s » jouait.
✅ Ce qu’il fallait faire à la place
- Rappeler le fournisseur au numéro que t’as déjà dans tes dossiers. Pas celui du courriel, pas celui du site, pas celui de la signature. Celui de ta facture d’il y a six mois. C’est la seule vérification qui vaut quelque chose.
- Copier l’adresse d’expéditeur dans un bloc-notes avant de répondre. Sortie de son contexte, en gros caractères, la lettre de trop se voit. Dans ta boîte de réception, jamais.
- Traiter un avertissement de la banque comme un arrêt, pas comme un pop-up. Si ta banque prend la peine d’écrire « compte international », c’est qu’elle a une raison. Ferme la fenêtre pis appelle-les.
- Envoyer 1 $ en test avant le vrai montant. Tu appelles ton fournisseur, tu lui demandes de confirmer qu’il a reçu ton dollar. Ça coûte rien pis ça règle tout.
- Deux paires d’yeux au-dessus d’un montant que tu fixes toi-même. 5 000 $, 10 000 $, à toi de décider. Mais au-dessus, deux personnes approuvent. Dans une petite entreprise, ça peut être ton comptable externe.
- Payer selon les termes, pas en avance. Ça sonne banal, mais l’avance, c’est ce qui a fait sauter l’étape de vérification. Rien pressait.
- Dire à ton équipe que les mots « changement de coordonnées bancaires » déclenchent toujours un appel. Pas un courriel de confirmation. Un appel. Fais-en une règle écrite, pas une bonne intention.
🆘 Si ça t’arrive : les 30 prochaines minutes
- Appelle ta banque immédiatement et demande un rappel de fonds. Le terme exact, c’est un recall. Chaque heure compte : passé quelques jours, l’argent est déjà réparti ailleurs. Denis a appelé au neuvième jour. C’était trop tard.
- Note le numéro de dossier avant de raccrocher. Le nom de la personne aussi. Tu vas en avoir besoin.
- Appelle le vrai fournisseur, au numéro de tes dossiers. Confirme le montant dû, les vraies coordonnées, et préviens-les qu’ils sont peut-être compromis. Ils ont peut-être d’autres clients en train de payer au même endroit que toi en ce moment même.
- Signale au Centre antifraude du Canada : 1-888-495-8501. Même si tu penses que ça donnera rien. Les signalements servent à relier les dossiers entre eux.
- Fais un rapport de police. Ça prend un numéro d’événement pour toute réclamation d’assurance ou toute plainte formelle après.
- Vérifie ta boîte courriel au complet. Règles de redirection, connexions récentes, appareils autorisés. Change ton mot de passe et active l’authentification à deux facteurs. Fais-le même si t’es certain que ça vient pas de chez vous.
- Garde tout. Les courriels avec les en-têtes complets, les captures d’écran du site, les confirmations de virement. Efface rien, même les affaires gênantes.
- Si ta banque refuse, la porte n’est pas complètement fermée. Dépose d’abord une plainte écrite auprès du service des plaintes de ta banque. Si ça mène nulle part, l’Ombudsman des services bancaires et d’investissement (OSBI) est l’organisme externe qui traite ces dossiers-là au Canada : 1-888-451-4519.
💬 Le mot de la fin
Je te mentirai pas : dans le cas de Denis, je suis arrivé après. L’argent était parti, la banque avait tranché, pis y avait rien à récupérer. Tout ce que j’ai pu faire, c’est ouvrir les courriels, montrer le « s », vérifier qu’il était pas encore ouvert quelque part, pis lui donner une procédure pour la prochaine fois.
C’est la partie de mon métier que j’haïs le plus. Expliquer clairement ce qui s’est passé à quelqu’un qui peut plus rien faire avec l’explication.
Ce qui me reste de cette histoire-là, c’est que Denis a rien fait de stupide. Il a payé une facture qu’il devait vraiment, à un fournisseur qu’il connaissait vraiment, avec de l’argent qu’il avait vraiment. Le seul geste discutable de toute l’affaire, c’est d’avoir voulu payer trop vite. Pis honnêtement, si c’est ça ton pire défaut en affaires, t’es pas un mauvais gestionnaire.
Il l’a dit à personne pendant des semaines. C’est gênant, se faire avoir de 24 974 $. Sauf que le silence, c’est exactement ce qui permet à la même arnaque de repasser chez ton voisin le mois d’après.
Alors si t’as une entreprise, aussi petite soit-elle : la seule affaire à retenir de tout ça, c’est qu’un changement de coordonnées bancaires se confirme au téléphone. Jamais autrement. Jamais.
Un courriel peut être parfait. Un numéro de téléphone que t’as déjà dans tes dossiers, ça, ça se falsifie pas.
👉 Envie de comprendre comment ils font, vu de l’autre côté? Lis le décryptage : Tu ne voles pas l’argent. Tu attends qu’on te l’envoie.
📚 Ressources utiles
- Centre antifraude du Canada : 1-888-495-8501
- Signalement en ligne (Canada) : antifraudcentre-centreantifraude.ca
- Ombudsman des services bancaires et d’investissement (OSBI) : 1-888-451-4519 — obsi.ca — l’organisme externe unique de traitement des plaintes bancaires au Canada depuis novembre 2024, si ta banque refuse de régler ton dossier
- Vérifier si une compagnie est légitime au Québec : Registre des entreprises du Québec — registreentreprises.gouv.qc.ca
- Autorité des marchés financiers (Québec) : lautorite.qc.ca
- En France : service-public.fr/particuliers/vosdroits/F33525
Les histoires partagées dans cette série sont inspirées de cas réels que j’ai rencontrés durant mes 27 ans dans le domaine de l’informatique. Les noms et certains détails ont été modifiés pour protéger l’identité des personnes concernées.
Écrit par Éric, technicien informatique depuis 27 ans, fondateur de Bcisolutions et créateur de protecteurnumerique.com.