Hameçonnage et fraude : les chiffres canadiens

Un mardi matin, aux comptes fournisseurs, un courriel arrive d'un fournisseur connu : nouvelles coordonnées bancaires, à utiliser dès le prochain paiement. L'adresse de l'expéditeur semble exacte. Si le virement part, l'incident entrera peut-être dans une statistique officielle. Laquelle, et comptée comment ? La réponse change ce que l'on enseigne au personnel et ce que l'on contrôle.

Ce que disent les chiffres officiels

Statistique Canada. Selon l'Enquête canadienne sur la cybersécurité et le cybercrime, diffusée le 21 octobre 2024, 16 % des entreprises canadiennes ont été touchées par des incidents de cybersécurité en 2023, contre 18 % en 2021 et 21 % en 2019. Toujours selon l'enquête, parmi les entreprises touchées en 2023, 50 % ont subi des arnaques et des fraudes, la méthode la plus courante, en hausse de 6 points depuis 2021 ; 31 % un vol d'identité, en hausse de 11 points ; 13 % un rançongiciel. Les dépenses de rétablissement qu'elle mesure ont doublé, d'environ 600 millions de dollars en 2021 à 1,2 milliard en 2023.

Centre antifraude du Canada. En 2025, le Centre a reçu plus de 112 000 signalements de fraude représentant plus de 704 millions de dollars de pertes, selon sa page du Mois de la prévention de la fraude 2026. Dans son tableau des principales fraudes de 2025, l'hameçonnage compte 2 869 signalements et 467 victimes, sans perte chiffrée ; le harponnage, 813 signalements, 571 victimes et 67,9 millions de dollars, au deuxième rang des pertes derrière la fraude à l'investissement. Le compteur de sa page d'accueil indique, en date du 30 juin 2026, 15 107 rapports traités, 9 935 victimes et 351 millions de dollars de pertes depuis le début de l'année.

Centre canadien pour la cybersécurité. Son Évaluation des cybermenaces nationales 2025-2026 chiffre les pertes attribuables à des fraudes au Canada à 383 millions de dollars en 2021, 530 millions en 2022 et 567 millions en 2023.

Ce que chaque chiffre mesure, et ne mesure pas

L'enquête compte des entreprises, pas des attaques. Sa population cible : les entreprises de 10 employés ou plus ayant des activités au Canada, hors administrations publiques. Seuls les incidents ayant eu des répercussions sont déclarés, et Statistique Canada prévient que ses données pourraient ne pas refléter le nombre total de cyberattaques. Le passage de 21 % en 2019 à 16 % en 2023 ne dit donc pas que l'on attaque moins. Enfin, le texte du communiqué ne chiffre pas l'hameçonnage à part : il parle d'arnaques et de fraudes.

Le Centre antifraude compte des signalements. Le communiqué du 6 mars 2026 sur le Mois de la prévention de la fraude, que le Centre mène avec le Bureau de la concurrence et la Gendarmerie royale du Canada, le dit : seulement 5 % à 10 % des fraudes sont signalées. Les 704 millions de dollars de 2025 sont un plancher, particuliers et entreprises confondus. Le Centre dit aussi avoir reçu plus de 112 000 signalements en 2025, alors que son compteur affiche pour la même année 40 679 rapports traités et 27 693 victimes. Deux verbes, deux totaux : on ne les compare pas.

L'hameçonnage du tableau n'est pas celui du langage courant. Dans la classification du Centre antifraude, l'hameçonnage vise des renseignements et, selon la note du tableau, ce type de fraude n'entraîne pas de pertes financières. Le harponnage, lui, consiste à se faire passer pour une source légitime afin de convaincre une entreprise ou un particulier d'envoyer de l'argent. Le courriel du mardi matin en est la variante « fournisseur ou entrepreneur ». Il est signalé bien moins souvent que l'hameçonnage, et c'est lui qui porte les pertes.

Ce que nous en pensons chez Sentrix

Ces chiffres disent où va l'argent : pas dans le clic, dans le paiement. Dans l'ordre :

1. Enseigner le scénario du paiement, d'abord à ceux qui paient. Changement de coordonnées bancaires d'un fournisseur, modification d'un dépôt direct de paie, virement urgent demandé par un dirigeant, cartes-cadeaux : ce sont les variantes que décrit le Centre antifraude. Une formation centrée sur le lien suspect laisse de côté la catégorie où les pertes sont déclarées. Selon Statistique Canada, 22 % des entreprises ont offert en 2023 une formation officielle en cybersécurité à leurs employés hors des technologies de l'information : commencez par les comptes fournisseurs, la paie et les achats.
2. Vérifier par un autre canal. Le Centre antifraude conseille, dans le doute, de chercher le numéro de la personne dans le répertoire de l'organisation et de lui demander si elle est bien l'auteur du message. Faites-en une règle écrite pour tout changement de coordonnées de paiement : rappel à un numéro déjà au dossier, jamais celui du courriel, et seconde approbation au-delà d'un seuil.
3. Signaler, même sans perte. Le communiqué du 6 mars 2026 demande de signaler l'incident même sans perte financière ; selon Statistique Canada, 13 % des entreprises touchées ont signalé des incidents à la police en 2023. À l'interne, mesurez le nombre de signalements et leur délai, pas seulement le taux de clic.
4. S'attendre à des messages mieux écrits. Dans son évaluation 2025-2026, le Centre pour la cybersécurité estime que la menace de fraude continuera de s'intensifier, avec les trousses d'hameçonnage vendues comme service et les agents conversationnels qui rédigent des courriels convaincants. La faute d'orthographe n'est plus un indice ; la procédure de vérification, elle, tient.

La prochaine étape

Demandez aux comptes fournisseurs et à la paie comment a été vérifié le dernier changement de coordonnées bancaires. S'il n'existe aucune trace d'un rappel, écrivez la règle cette semaine. Pour le volet technique, voir notre article sur la MFA résistante à l'hameçonnage.