La réponse courte : transmettez uniquement les renseignements de compte nécessaires au paiement, utilisez un canal chiffré et vérifiez le destinataire ou les instructions de paiement par un deuxième canal fiable. Le chiffrement protège les renseignements pendant leur transmission et leur conservation; la vérification évite de les transmettre en toute sécurité à un imposteur.
Les coordonnées bancaires sont souvent communiquées pour la paie, le dépôt direct, la facturation ou les virements. La méthode la plus sûre dépend de la situation : donnez-vous des renseignements pour que quelqu'un vous paie, ou recevez-vous des instructions pour payer quelqu'un? Dans les deux cas, traitez ces coordonnées comme des renseignements sensibles et excluez entièrement les justificatifs bancaires du message.
Les coordonnées bancaires ne sont pas des justificatifs bancaires
Un payeur peut légitimement avoir besoin du nom du titulaire, de l'institution financière, du numéro de transit ou d'acheminement et du numéro de compte. Demandez au payeur ou à l'institution financière quels renseignements la transaction exige, puis ne transmettez que ces champs.
Ne transmettez jamais votre mot de passe bancaire, votre NIP, le code de sécurité de votre carte, vos réponses aux questions de sécurité, vos codes de récupération ni vos codes de vérification à usage unique. Ces justificatifs servent à accéder à un compte ou à autoriser une opération; ce ne sont pas des coordonnées d'acheminement de paiement. Une demande légitime de renseignements pour un dépôt ne les exige pas.
Les conseils du Centre canadien pour la cybersécurité sur les services bancaires en ligne recommandent de ne communiquer ses justificatifs à personne et de contacter immédiatement sa banque si une fraude peut avoir eu lieu.
Une méthode sûre en cinq étapes
1. Confirmez ce qui est réellement nécessaire
Commencez par les instructions officielles du destinataire ou demandez à votre institution financière. Un dépôt direct national, un virement électronique et un virement international peuvent exiger des champs différents. Ne transmettez pas un relevé bancaire complet si quelques renseignements de compte ou un formulaire officiel de dépôt direct suffisent.
2. Vérifiez la personne et la demande
Utilisez des coordonnées que vous savez déjà fiables, et non un numéro de téléphone ou un lien fourni uniquement dans la demande. Si un fournisseur, un avocat, un employé, un propriétaire ou un client annonce de nouvelles coordonnées bancaires, appelez une personne connue avant de modifier la destination du paiement.
Cette étape répond à un risque bien réel. Le Centre antifraude du Canada met en garde contre le détournement de paiement, où des criminels se font passer pour des interlocuteurs fiables et substituent de fausses instructions bancaires. Il recommande de vérifier les instructions auprès d'une source sûre et de confirmer toute modification de renseignements bancaires auprès d'une source fiable.
3. Utilisez le bon canal sécurisé
- Quelques coordonnées de compte : utilisez un message chiffré de bout en bout ou un portail sécurisé doté d'une expiration et d'une révocation.
- Un spécimen de chèque, un formulaire de dépôt direct ou un relevé : utilisez un service approuvé de transfert de fichiers chiffrés ou le portail documentaire sécurisé du destinataire.
- Un mot de passe bancaire ou un code de vérification : ne le transmettez par aucun canal.
Évitez le courriel ordinaire ou les SMS pour les coordonnées bancaires lorsqu'une solution sûre est offerte. Ils peuvent laisser des copies durables et cherchables dans plusieurs systèmes et appareils.
4. Séparez les renseignements d'accès
Si le message sécurisé emploie un lien et une phrase secrète, transmettez-les par des canaux différents. Par exemple, envoyez le lien par courriel et donnez la phrase secrète au téléphone. Fixez l'expiration pratique la plus courte et une limite d'ouvertures, puis révoquez le message dès que le destinataire en confirme la réception.
5. Confirmez avant le transfert des fonds
La personne qui effectue le paiement devrait relire ou confirmer autrement les coordonnées du compte par un canal fiable, surtout pour un premier paiement ou après toute modification. Maintenez les contrôles d'approbation établis pour les paiements d'entreprise; un message chiffré ne remplace pas la double approbation ni les procédures de rappel.
La place de l'Envoi sécurisé
L'Envoi sécurisé de Privatt sert aux messages texte confidentiels, et non aux pièces jointes. Il chiffre le texte dans votre navigateur avant le téléversement. Le destinataire ouvre le message avec une phrase secrète que Privatt ne reçoit jamais, et vous pouvez fixer une expiration, limiter les ouvertures ou révoquer le lien.
Il convient donc aux quelques renseignements de compte nécessaires à un paiement. Si le destinataire exige un spécimen de chèque, un formulaire bancaire, un relevé ou un autre document, utilisez plutôt un service sécurisé de transfert de fichiers.
Si les renseignements ont été transmis à la mauvaise personne
Révoquez immédiatement le message si l'outil le permet. Communiquez avec votre institution financière au numéro indiqué sur son site officiel, dans son application ou sur votre carte bancaire; expliquez exactement ce qui a été divulgué et suivez ses instructions. Si un mot de passe, un NIP ou un code faisait partie du message, considérez le compte comme potentiellement compromis plutôt que comme le simple objet d'une erreur d'envoi.
Si de l'argent a été envoyé selon des instructions frauduleuses, contactez immédiatement l'institution financière qui a effectué le transfert et signalez l'incident à la police locale et au Centre antifraude du Canada. Une intervention rapide peut augmenter les chances de bloquer ou de récupérer un paiement.
Les deux contrôles essentiels
Utilisez le chiffrement pour éviter une exposition inutile des coordonnées bancaires, et une vérification indépendante pour confirmer qu'elles appartiennent à la bonne personne. Les deux sont nécessaires : un message parfaitement chiffré peut tout de même transmettre de fausses instructions en toute confidentialité.