Kit de démarrage en cybersécurité

Section 10 : Protégez votre association contre les escroqueries et les fraudes

Dans cette section, vous apprendrez à :

Savoir reconnaître les arnaques courantes, les tactiques de fraude et les techniques d'ingénierie sociale.
Identifiez les demandes suspectes concernant de l'argent, des informations ou l'accès à un compte.
Vérifiez les demandes inhabituelles et prenez les mesures nécessaires pour protéger votre association contre les escroqueries.

Protéger votre association contre les escroqueries et la fraude

Vous avez découvert comment protéger les comptes, les appareils et les informations, comment collaborer avec les prestataires et comment vous préparer à faire face à des incidents. Cette section rassemble ces mesures de protection afin d’aborder une autre voie d’accès à votre organisation : convaincre quelqu’un de mener une action qui semble raisonnable.

Les cybercriminels peuvent recourir à plusieurs méthodes pour accéder aux informations, aux comptes et aux fonds de votre association.

Méthode	À quoi cela pourrait ressembler	Des mesures de protection utiles
Exploiter une faille technique	Exploiter un logiciel obsolète ou une configuration non sécurisée.	Mises à jour, logiciels pris en charge, paramètres de sécurité et contrôles d'accès
Utiliser des identifiants volés	Se connecter à l'aide d'un mot de passe divulgué via un autre service ou intercepté sur une fausse page de connexion.	Mots de passe uniques, gestionnaires de mots de passe, authentification multifactorielle (MFA) et procédures de récupération sécurisées
Pousser quelqu'un à agir	Amener une personne à envoyer des informations, à autoriser un accès, à installer un logiciel ou à modifier ses coordonnées bancaires.	Procédures de vérification, autorisations claires, mise en pratique et communication rapide

Ces méthodes peuvent être combinées. Un message trompeur peut permettre de récupérer un mot de passe, qui est ensuite utilisé pour accéder à une messagerie électronique. Le pirate pourrait alors utiliser ce compte pour envoyer une demande de paiement crédible à une autre personne.

À la croisée de l'escroquerie et du piratage informatique

Les escroqueries et les fraudes consistent à recourir à la tromperie pour obtenir de l'argent, des informations, un accès ou tout autre avantage. On utilise souvent piratage pour décrire l'accès non autorisé à des comptes, des appareils ou des systèmes.
Une arnaque peut permettre d'accéder à un compte ou à un appareil. Par exemple, une personne se faisant passer pour un technicien du support technique pourrait convaincre un bénévole d'installer un logiciel d'accès à distance. D'autres arnaques peuvent causer du préjudice sans pour autant prendre le contrôle d'un compte, par exemple en persuadant un membre du personnel d'envoyer des informations sur un client ou de rediriger un paiement.

Ces deux éléments relèvent de la cybersécurité, car ils peuvent entraîner la divulgation d'informations, compromettre les accès et perturber le fonctionnement de votre organisation.

Pourquoi la vérification est-elle importante ?

Cette section porte sur des demandes visant à inciter les personnes à effectuer des opérations portant sur des informations, des comptes ou des fonds. Les professionnels de la sécurité appellent cette manipulation ingénierie sociale. Cela peut se faire par e-mail, SMS, appels téléphoniques, réseaux sociaux et visioconférences.

Le rapport 2026 de Verizon sur les enquêtes relatives aux fuites de données a révélé que Dans 62% des cas de violation qu'elle a examinés, un facteur humain était en cause, notamment l'ingénierie sociale, l'usurpation d'identifiants et les erreurs. Cela montre bien pourquoi des processus clairs et un accompagnement des personnes sont indispensables en complément des mesures de sécurité techniques.

Une demande peut paraître anodin : ouvrir un document, mettre à jour des informations de paiement, fournir un rapport ou aider à résoudre un problème lié à un compte. La personne à l'origine de la demande peut se présenter comme un collègue, un donateur, un client, un fournisseur, un bailleur de fonds ou un représentant du service d'assistance.

Une demande n'a pas besoin de paraître inhabituelle pour nécessiter une vérification. Basez vos vérifications sur ce qu'on vous demande de faire.

« Connu » ne signifie pas « vérifié ».

Un message peut présenter une grammaire correcte, une image de marque reconnaissable et des détails précis sur le projet. Il peut s'inscrire dans le cadre d'une conversation existante ou provenir du compte authentique d'une personne après que ce compte a été piraté.

L'identification de l'appelant et les informations relatives à l'expéditeur peuvent également être falsifiées. Un nom familier ou un numéro de téléphone affiché ne permet pas de déterminer qui vous contacte.
Les signaux d'alerte peuvent vous aider à prendre du recul, mais leur absence ne suffit pas à garantir la légitimité d'une demande. Votre sécurité ne doit pas dépendre de la détection de fautes d'orthographe, d'un accent inhabituel ou d'un récit manifestement invraisemblable.

Vous entendrez peut-être le terme hameçonnage les messages trompeurs qui visent à obtenir des informations ou à inciter quelqu'un à agir, souvent par le biais de liens ou de pièces jointes.

Hameçonnage ciblé, également appelé hameçonnage ciblé, est adapté à une personne ou à une organisation en particulier.

Comment l'IA transforme les arnaques

L'IA offre aux fraudeurs de nouveaux moyens de rendre leurs demandes plus convaincantes et de les produire à grande échelle.

Des messages soignés et personnalisés

Les demandes peuvent être rédigées dans un langage professionnel, faire référence à vos programmes et paraître convaincantes dans différentes langues.

Clonage ou modification de la voix

Un appelant ou un message vocal peut donner l'impression de provenir d'un directeur général, d'un collègue ou d'un partenaire.

Images et vidéos « deepfake »

Un contenu créé ou modifié peut donner l'impression qu'une personne a dit ou fait quelque chose qu'elle n'a pas dit ou fait.

Usurpation d'identité lors d'appels en direct

Une conversation vocale ou vidéo peut donner l'impression d'être menée avec une personne de confiance, alors qu'elle est en réalité contrôlée par un fraudeur.

Le Centre canadien de cybersécurité décrit l'ingénierie sociale assistée par l'IA, notamment les messages personnalisés et l'usurpation d'identité par la voix ou par « deepfake ».

Il n'est pas nécessaire de déterminer si l'IA a été utilisée avant de protéger votre organisation. Une voix ou un visage reconnaissable ne constitue pas une autorisation suffisante pour divulguer des informations, modifier les droits d'accès ou envoyer de l'argent.

Les anomalies visuelles ou un discours inhabituel ne constituent pas des critères fiables pour détecter l'IA. Vérifiez la demande via un canal de communication établi de manière indépendante et respectez les règles d'autorisation de votre organisation.

Convenir des actions qui nécessitent des vérifications

Utilisez les responsabilités et les directives de la section 2 pour mettre en place un processus de vérification cohérent pour les actions ayant des conséquences importantes.

Action demandée	Ce qu'il faut vérifier avant de continuer
Envoyer de l'argent, effectuer un remboursement ou acheter quelque chose	Bénéficiaire, objet, montant et autorisations requises
Modifier vos coordonnées bancaires, vos informations de paie ou vos modalités de paiement	Modification des coordonnées d'un interlocuteur agréé à l'aide de coordonnées établies de manière indépendante
Envoyer des informations sensibles ou modifier les autorisations de partage	L'identité du demandeur, son habilitation, la nécessité des informations demandées et le mode de transmission approuvé
Se connecter via un lien contenu dans un message	Accédez au service via son application officielle ou un signet fiable, puis vérifiez-y si la demande a bien été enregistrée.
Valider l'authentification à deux facteurs (MFA) ou fournir un code de connexion	N'approuvez que les connexions que vous avez vous-même lancées ; ne communiquez pas vos codes à une personne qui vous contacte.
Accorder l'accès ou modifier les informations de récupération	L'autorisation de la personne concernée et l'approbation interne requise
Installer un logiciel ou autoriser le contrôle à distance	Le besoin et le prestataire dans le cadre de votre processus d'aide approuvé

Il convient de vérifier les demandes émanant aussi bien des cadres supérieurs que d'autres personnes. Une échéance urgente doit déclencher le processus d'escalade convenu plutôt que de lever les mesures de sécurité.

Utilisez un itinéraire distinct et fiable

La vérification ne se limite pas à répondre : “ Est-ce que c'est toi qui as envoyé ça ? ”

Si un compte est piraté, le fraudeur pourrait répondre à votre message. Appeler un numéro indiqué dans un message frauduleux peut également vous mettre en contact avec le fraudeur.

Utilisez les coordonnées issues d'un annuaire reconnu, d'une fiche fournisseur préalablement vérifiée ou d'une autre source confirmée de manière indépendante. Le Centre canadien de lutte contre la fraude recommande d'utiliser un numéro de téléphone fiable pour vérifier les demandes de paiement, en particulier les modifications apportées aux coordonnées bancaires.

Mettre en pause l'action demandée.

Contactez directement la personne concernée.

Vérifiez les détails précis et l'autorisation.

Si la personne n'est pas joignable, faites appel au remplaçant désigné ou au décideur. Suspendez l'action jusqu'à ce que les vérifications requises soient effectuées.

Voici une réponse que vous pouvez utiliser : “ Notre organisation vérifie les demandes concernant des paiements, des informations sensibles ou l'accès à un compte selon la procédure que nous avons mise en place. Je vais contacter la personne compétente en me référant à nos dossiers avant de donner suite. ”

La direction doit aider le personnel et les bénévoles à utiliser cette réponse, y compris lorsque la demande semble provenir de la direction elle-même.

Entraînez-vous à utiliser le kit

Utilisez un seul scénario à la fois lors d'une réunion du personnel ou d'une séance d'orientation des bénévoles

Demandez :

Quelles informations, quels comptes ou quels fonds pourraient être concernés ?
Que faut-il vérifier, et par quel canal sécurisé ?
Quelles sont les mesures de sécurité prévues dans ce kit ?
Que ferions-nous si quelqu'un avait déjà agi ?

Scénario 1 :

Un fournisseur modifie ses coordonnées bancaires

Vous recevez une facture de votre fournisseur habituel. Le montant et les détails du projet sont corrects. Le message précise que le fournisseur a changé de banque et fournit de nouvelles instructions de paiement.
Réponse à l'exercice : Suspendre la modification du paiement. Contacter le représentant habilité du fournisseur à l'aide des informations disponibles, vérifier les détails et suivre votre procédure d'approbation interne.
Connexion au kit : La définition claire des responsabilités et les autorisations de paiement garantissent la validité de la décision. La précision des informations figurant sur une facture ne suffit pas à établir qu'une modification a été autorisée.

Scénario 2 :

On dirait que la personne qui appelle est votre directeur général

Un interlocuteur qui semble être le directeur général vous demande d'effectuer un paiement urgent. Il vous explique qu'il est en réunion et qu'il a besoin que vous vous en chargiez immédiatement.
Réponse à l'exercice : Précisez que ce paiement doit faire l'objet des vérifications habituelles. Mettez fin à l'appel et contactez le directeur général en suivant la procédure habituelle. S'il n'est pas joignable, contactez le décideur suppléant.
Connexion au kit : La vérification et la responsabilité de la sauvegarde vous permettent de réagir sans avoir à déterminer si la voix a été clonée.

Scénario 3 :

Un partenaire envoie un lien vers un document

Un partenaire du projet envoie un message depuis son compte de messagerie habituel. Le lien ouvre une page vous invitant à vous connecter pour consulter un fichier partagé.
Réponse à l'exercice : Ouvrez directement le service de partage agréé. Si le document ne peut pas y être validé, contactez le partenaire de votre propre initiative.
Connexion au kit : L'utilisation d'un mot de passe unique limite les risques sur l'ensemble de vos comptes, et l'authentification multifactorielle (MFA) renforce la protection. Cela ne garantit toutefois pas la sécurité de toutes les pages de connexion associées. Si vos identifiants ont été saisis, signalez-le sans délai et lancez la procédure de rétablissement de votre compte.

Scénario 4 :

Un appel vidéo demande des informations sur le client

Lors d'un appel vidéo, une personne qui semble être un collègue vous demande d'envoyer une liste de clients à une nouvelle adresse e-mail pour établir un rapport.
Réponse à l'exercice : Vérifiez la demande de manière indépendante, assurez-vous que le destinataire est bien habilité et déterminez quelles informations sont réellement nécessaires. Utilisez le mode de transmission approuvé.
Connexion au kit : Les règles relatives au traitement des informations s'appliquent même aux demandes légitimes. Le fait de voir quelqu'un en vidéo ne remplace pas ces vérifications.

Faire en sorte que l’entraînement soit source de soutien

Des exercices courts et ouverts permettent de renforcer la confiance en soi sans avoir recours à un logiciel de simulation. Entraînez-vous à suivre les étapes concrètes : trouver les coordonnées d'un interlocuteur de confiance, obtenir une autorisation et signaler une erreur.

Recherchez les lacunes dans les processus. Les collaborateurs peuvent-ils joindre la personne de remplacement ? Savent-ils comment signaler un incident ? Peuvent-ils vérifier une demande sans subir de pression pour contourner les règles ?

Évitez les classements publics ou les exercices visant à mettre quelqu’un dans l’embarras. Si vous utilisez des messages de phishing simulés, définissez au préalable les autorisations, le périmètre d’intervention et les mesures de protection de la vie privée. Ne collectez pas de mots de passe ou de codes d’accès réels, et organisez un débriefing avec les participants à l’issue de l’exercice.

Si quelqu'un a déjà agi

Utilisez les modalités d'intervention élaborées dans la section 9 :

Cessez toute interaction et signalez-le sans tarder.
Conservez les messages pertinents et consignez les faits.
Si de l'argent a été transféré, contactez immédiatement l'établissement financier.
Faites appel à une aide fiable pour sécuriser les comptes ou appareils concernés.
Évaluer toute divulgation de données à caractère personnel et les obligations de notification.

N'attendez pas d'avoir la preuve qu'une demande était frauduleuse pour signaler une éventuelle fuite de données. Un signalement rapide donne à l'organisation davantage de chances de limiter les dégâts.

Une proposition de règle de politique générale

Les demandes concernant des paiements, des modifications des coordonnées bancaires, des informations sensibles ou l'accès à un compte doivent respecter les procédures de vérification et d'approbation en vigueur. La vérification doit s'effectuer par des canaux de communication établis de manière indépendante. L'urgence, l'ancienneté ou la connaissance des personnes concernées ne dispensent pas du respect de ces exigences. Tout cas de fraude présumé ou toute erreur doit être signalé sans délai.

Avant d'adopter cette règle, identifiez les actions concernées, les voies de communication, les autorisations et les dispositions de secours.

Activité

Testez votre processus de vérification

Choisissez trois demandes que votre association à but non lucratif reçoit régulièrement.

Mettez en pratique un scénario en utilisant le processus mis au point. Désignez une personne chargée de combler les lacunes que vous pourriez constater.

Télécharger la fiche d'exercices ici

Ce qu'il faut retenir

À la fin de cette section, vous devriez être en mesure de :

Mesures identifiées nécessitant une vérification.
Mise en place de canaux de communication fiables et d'un processus d'approbation.
S'est entraîné à répondre à des demandes crédibles, y compris celles issues d'usurpations d'identité assistées par l'IA.
Une prévention coordonnée, associée à un signalement rapide et à une intervention en cas d'incident.

Vous êtes désormais prêt à choisir vos prochaines améliorations, à attribuer les responsabilités et à mettre ce kit en pratique.

Section de synthèse

« CyberCatalyst : Les bases de la cybersécurité pour les associations » est une formation gratuite proposée par KnowledgeFlow, à suivre à son propre rythme, destinée aux organisations disposant d'un budget limité et d'un soutien informatique dédié faible, voire inexistant.

This kit helps you identify what needs attention. CyberCatalyst is a natural next step for developing the understanding and practical skills to carry out improvements. Staff, leaders and volunteers can work through the course at their own pace and bring their learning back to your organization.

Explore cyberCatalyst

Know when professional help would be useful

Many everyday improvements can begin within your team. Professional support becomes useful when you need specialist knowledge, an independent assessment or help putting several safeguards together.
Consider getting help when:

Les conséquences d'une divulgation pourraient nécessiter une évaluation plus approfondie des aspects liés à la sécurité et à la protection de la vie privée.

Vous aurez peut-être besoin d'aide pour identifier les failles, configurer les mesures de protection ou planifier une transition en toute sécurité.

Les obligations en matière de confidentialité, contractuelles, de financement ou propres à un secteur donné peuvent nécessiter l'avis d'un professionnel compétent.

Une évaluation peut permettre de déterminer ce qui est déjà en place et ce qui doit encore être amélioré.

Un professionnel peut vous aider à évaluer vos pratiques actuelles et à élaborer un plan d'amélioration réaliste.

Il vaut mieux solliciter rapidement une aide pour la gestion des incidents plutôt que d'attendre d'avoir suivi une formation.

Moving toward standards and formal assurance

Standards and frameworks give organizations a structured way to assess and improve security. This kit introduces useful safeguards, but completing it does not establish compliance with a particular standard.

You can begin by aligning your practices with recognized guidance. If you later pursue formal compliance or certification, the work may also involve defining the scope, assessing risks, documenting procedures, maintaining evidence and checking that safeguards operate consistently.

Professional support can help you:

Choose a framework or standard appropriate to your organization and obligations.
Compare current practices with its requirements.
Prioritize gaps according to risk, capacity and cost.
Develop workable policies and procedures.
Establish evidence, review routines and preparation for any required independent assessment.

Ask what outcome you actually need: a practical improvement plan, alignment with a framework, evidence for a partner, or formal certification. These are different goals and may require different levels of work.

Find support that fits your nonprofit

You can speak with KnowledgeFlow or another qualified consulting organization about your needs and the support available. Begin with your inventory, priorities and unresolved questions so the discussion leads to a clear scope.

Ask prospective providers to explain:

Their experience with nonprofits of your size and capacity.
What they will assess or implement.
Which standard or framework they propose and why.
What deliverables, costs and ongoing responsibilities are involved.
Whether formal certification requires a separate assessment body.

Choose support that helps your team understand and maintain the improvements. Clear explanations and realistic recommendations matter alongside technical expertise.

Keep building

Cybersecurity is an ongoing part of caring for your organization and the people who trust it. Keep responsibilities current, revisit safeguards as your work changes and make questions and reporting welcome.

Start with your next three improvements. Build your knowledge through CyberCatalyseur, and seek professional support when your needs call for it.