In Part 1 of this two-part series, CIBC Cash Management Chat host Andre Blanchard, speaks with Ryan Powell, Vice President of Fraud Management at CIBC, to unpack how fraud continues to evolve and what businesses need to watch for today. The discussion explores account takeovers, bank impersonation and business email compromise, along with practical steps organizations can take to verify requests, protect access and reduce risk.
Please scroll below for the French transcript.
Intro: Welcome to Cash Management Chat, a podcast series focusing on the dynamic world of treasury and cash management. Tune in for expert insights and practical advice to navigate today's financial landscape brought to you by the Corporate Cash Management Team at CIBC Capital Markets.
Andre Blanchard:
Hello and welcome to this episode of CIBC Cash Management Podcast, where we explore the issues, trends and insights that matter most to businesses managing payments, cash flow and risk. I'm Andre Blanchard, and today we're discussing an issue that continues to affect organizations of all sizes, fraud.
We'll look at bank impersonation, business email compromise, phishing, mobile phone and computer takeovers, and how AI is changing both the fraud attempts and fraud prevention. Joining me today is Ryan Powell, Vice President of Fraud Management at CIBC. Ryan works closely with my team and other teams and clients to help identify fraud trends and strengthen awareness around emerging threats.
Ryan, welcome and thank you for joining us.
Ryan Powell:
Thanks, Andre. It's great to be here. Fraud is an important topic and I'm glad we have the opportunity to talk about it.
Andre Blanchard:
So let's kick things off Ryan. Fraud continues to evolve, and many schemes are becoming more sophisticated as time progresses. Before we get into specific examples, how should businesses or clients think about the fraud landscape?
Ryan Powell:
Yeah, I'd like to frame it in sort of two traditional fraud types. Unauthorized and authorized. Unauthorized would be situations like account takeovers, stolen credit cards. And by authorized, we would mean different types of scams where the client makes a fraudulent payment themselves. In an account takeover, a threat actor uses deception to obtain access to an account and then conduct those unauthorized transactions. In a scam, however, the threat actor deceives or coerces a client into paying someone other than who they believe they are paying, such as in a business email compromise, or deceives them into paying for something they will not receive, as can happen in an investment or extortion scam. Fraudsters are very effective at creating a sense of urgency and legitimacy. They'll use phone calls, emails, websites and various impersonation tactics to make businesses believe they're dealing with a trusted source.
Andre Blanchard:
And Ryan, this this isn't new to our landscape. Like, what are some real life examples of that?
Ryan Powell:
You're right. These are not new, but they do evolve with technology. And a great example of this is the so-called Nigerian print scam. Many people first encountered that by email in the 1990s, but versions of this, which we call an advanced fee scam, have actually existed for more than 100 years and started in mailed letters.
And today, with always connected apps, websites, email and messaging services, they allow the same basic deception to reach more people much faster. In many cases, the scam works not because systems fail, but because the requests appear credible in the moment. And that's why awareness is so important. Businesses need to know what these schemes look like, how they happen, and what steps to take if something doesn't seem right.
Andre Blanchard:
Awareness is critical and key, and that's exactly what we'll focus on today. So let's start with account takeovers and the way fraudsters try to obtain client accounts or as I like to say obtain keys to the castle.
Ryan Powell:
Right. And this is that unauthorized or account takeover we spoke about a moment ago. And it often starts with an impersonation scam. These can come through a website, an email, a phone call. Essentially, the fraudster is reaching out to a business and pretending to be someone they are not. It might be an employee from the bank, it might be law enforcement or a third party.
And in these calls, their goal is usually to obtain sensitive information like confidential sign on information. Could be usernames, card numbers, passwords, tokens, or redirect the client to a fraudulent site that the fraudster controls. And through that, you know, perhaps give away that same information which would compromise the access to their banking.
Now, fortunately, businesses have added layers of protection, not just the passwords. We often have multi-factor authentication like tokens, and fraudsters in turn, have had to evolve their tactics to deceive clients into revealing those more secure methods or approving the secret keys to their accounts. Now, these scams are designed to sound convincing. The fraudster may claim there's an urgent issue with the client's account, that their online access has been canceled, or that new credentials need to be issued immediately.
Andre Blanchard:
Exactly. And I think that kind of urgency can often catch people off guard. How does a scam like this usually happen?
Ryan Powell:
There are a few common patterns. One is that someone may use a search engine to locate their banking site, instead of a trusted, saved bookmark within your browser. Fraudsters use what we call search engine poisoning to push a malicious site higher in the search results, or to place deceptive ads that look a lot like a legitimate banking page and URL, but actually go to a fraudster site.
Once the client lands on that malicious website, the fraudster may already be in a position to follow up, perhaps with a phone call and continue the scam. And we're all used to phishing emails and smishing text messages, but they may also direct someone to a lookalike sign in page. Malicious software, remote access tools such as AnyDesk, they might be presented as a way to fix the issue with the account or device. And more recently, a common tactic is a direct phone call. The fraudster may pretend to be from the bank. They may ask the client to click a link, visit a website other than their normal banking URL, install one of those remote desktop control apps or share their credentials.
They may even tell the client that their online banking ID has been canceled, and that a new ID, pin, or passcode has been created for them. The goal is to prey on that urgency, that confusion. Make the client feel like they need to act immediately.
Andre Blanchard:
So the fraudster, in essence, is really trying to take control of the interaction and keep the client from thinking through, perhaps clearly and pausing to verify.
Ryan Powell:
Exactly. That's a big part of the tactic. It's important to understand that these are well-organized and well-funded threat actors, organized crime that are experts in psychology, and how to separate us from our money and our secrets. And bank impersonation, law enforcement, impersonation are often direct, non-technical forms of social engineering.
The fraudster makes the phone call. They are very convincing, and they use those tactics to persuade a person by phone to hand over that sensitive access, or to prove an action. They want to really take advantage of that pressure, reduce opportunities for independent verification and get the person to follow instructions in real time.
Andre Blanchard:
Okay, so what are some of the warning signs that a business may be dealing with a bank impersonation attempt?
Ryan Powell:
A major red flag is any unexpected call, text, or email asking you to sign on to your online banking to share your sensitive credentials like a password, or to take an urgent action related to an issue or transaction you did not initiate or report. Another warning sign is being told to access a link that is different from your regular online banking URL.
And as we said before, requests to install software or a remote desktop app should also be treated with extreme caution. And of course, if someone is claiming to be from the bank and is asking for confidential sign on information, that should immediately raise concern.
Andre Blanchard:
And I think that's a critical point. But like, what should clients remember about how the bank will communicate with them?
Ryan Powell:
Well, we do reach out to our clients. We do communicate and support them through all matters of service and concerns. And clients should remember that they should be very cautious with any unsolicited outreach related to online banking access or account administration. If something feels unusual, stop and verify through a trusted channel.
The safest approach is to use your regular banking URL. Ideally, you have it saved as a bookmarked site, and when contacting the bank, do so directly through a trusted phone number that you already have on file.
Andre Blanchard:
What if someone thinks they've received a bank impersonation call? What should they do right away?
Ryan Powell:
Yeah, that's a great question. And there are four immediate steps we should keep in mind. First, end the call. It's always better to call back at a trusted number and better to be safe than sorry. Second, do not provide any credentials to the caller. Do not share your passwords. Do not enter them into any website other than your regular online banking URL.
Third, do not access any links the caller provides or install any remote access software. And fourth, contact your bank immediately using a trusted contact method. The faster you act, the better chance of reducing risk and protecting your business. And remember, the bank will never ask you to do something in secret.
We'll never ask you to assist in a top secret investigation, to share a sensitive password, to move money or provide access as part of an investigation.
Andre Blanchard:
All great points for us to remember. Thank you very much. Let's turn to the second fraud type scams, you know, including business email compromise. How is that different from an account takeover?
Ryan Powell:
That's a great question as well. Instead of impersonating a bank or another trusted authority to obtain access to your account, the threat actor tries to impersonate someone within your company or provide another form of deception to persuade you to make a payment or to change payment instructions.
So, unlike an account takeover, in this case, the client is actually making the payment themselves, and a business email compromise is one of the most common examples. Here, bad actors try to trick a business in descending funds to a fraudulent account through an email that appears to come from a trustworthy source.
Now, often the message looks very legitimate. It may appear to come from a known supplier, a partner, an executive, or another contact that you may email with regularly. In some cases, it may closely resemble the style in the format of previous emails. It may even draw on email threads and exchanges you've had in the past, and that can make it very difficult to detect.
Andre Blanchard:
Okay, so this is less about taking over an online banking credential and more about manipulating the payment process itself.
Ryan Powell:
That's right. In a business email compromise scam, the fraudster is usually trying to redirect a legitimate payment. They want the business to believe they're paying the correct party, when in reality the funds are being sent to the fraudsters account instead.
Andre Blanchard:
So walk us through how that typically would unfold.
Ryan Powell:
Right. And so a business may receive an email. It looks like it's coming from a known contact like a supplier. The email might include an invoice or updated payment instructions. And those instructions will often have some explanation of a shift in banking relationships and ask for that payment to go to a new location.
Sometimes that new account is at a different bank, sometimes it's at a different region. It could be in a different method than what they've done historically. And those are all important warning signs. If the business follows those updated instructions without independently verifying them, the payment can go to the bad actor instead of the intended recipient.
Andre Blanchard:
So due diligence on our client side is critical to ensuring protection here. And that's what makes the scam so dangerous. They can be hidden inside what looks like a routine accounts payable process.
Ryan Powell:
Exactly. These scams rely on normal business activity. An invoice arrives. The payment details appear to have changed. Someone is asked to process the payment quickly. If there isn't strong verification in place, it becomes much easier for the fraudster to succeed. And as we'll touch on next, AI can make those messages and supporting documents even more convincing.
Andre Blanchard:
So what would your counsel be for businesses, um, when they receive updated payment instructions?
Ryan Powell:
Well, the most important step is just to slow down, you know, stop, verify the change again using a trusted contact number. Often those emails will include a phone number. But that's the fraudsters phone number. So it's important to go back to the official or trusted number that you use to interact with that supplier. If payment instructions change, make a separate call out to the sender using that known number. Not just that a payment is due, but the specific payment details. That independent verification is one of the strongest defenses against business email compromise. And importantly, businesses should not accept inbound phone calls, texts or emails of verification of the change.
That verification needs to happen through a trusted, independent channel. We recognize that can take time. That's effort for the business to do that extra work, especially if the payee might be in a different time zone or have different operating hours. But it is time well spent to ensure the money is going to the right person and not a fraudster.
Andre Blanchard:
That sounds like it's a well worth exercise, and that's a really good distinction. So it's not enough to simply get a reply or receive confirmation call if the fraudster actually controls those communication channels?
Ryan Powell:
Exactly. Fraudsters may try to control the full conversation. They may have access to the real email address. And so independent verification is key.
Andre Blanchard:
So what if this doesn't happen the way that a client or a customer suspects? What if a fraudulent transaction has actually already been sent?
Ryan Powell:
Right. Time is of the essence. So if a business believes it has sent a fraudulent transaction, it should contact its bank immediately. Time is the absolute key. The sooner the bank is aware, the sooner action can be taken and the best chance we have of intervening or recovering those funds. It's also important internally to document what happened, preserve the email or any other communication involved, and review whether any broader compromise may have taken place.
Andre Blanchard:
Ryan, thank you again for being here and having this important conversation with us.
Ryan Powell:
Thanks, Andre. I appreciate the opportunity to talk about this, and I encourage businesses to stay vigilant and keep fraud awareness top of mind.
Outro:
Stay tuned for part 2 of this discussion where we'll explore how the fraud landscape continues to evolve, from phishing and mobile device takeovers to AI-generated scams and deepfakes. We'll also share practical steps businesses can take to detect red flags, strengthen internal controls and reduce fraud risk.
Disclaimer:
The materials disclosed on this podcast are for informational purposes only and subject to our Code of Conduct, as well as zero rules. The information and data contained herein has been obtained or derived from sources believed to be reliable, without independent verification by CIBC Capital Markets, and to the extent that such information and data is based on sources outside CIBC Capital Markets, we do not represent or warrant that any such information or data is accurate, adequate or complete notwithstanding anything to the contrary.
Here in CIBC World Markets, Inc. and or any affiliate thereof shall not assume any responsibility or liability of any nature in connection with any of the contents of this communication. This communication is tailored for a particular audience, and accordingly, this message is intended for such specific audience only.
Any dissemination, redistribution, or other use of this message or the market commentary contained herein by any recipient is unauthorized. This communication should not be construed as a research report. The services, securities and investments discussed in this report may not be available to nor suitable for all investors.
Nothing in this communication constitutes a recommendation, offer or solicitation to buy or sell any specific investments discussed herein. Speakers on this podcast do not have any actual, implied, or apparent authority to act on behalf of any issuer mentioned in this podcast. The commentary and opinions expressed herein are solely those of the individual speakers, except where the author expressly states them to be.
The opinions of CIBC World Markets, Inc. The speakers may provide short term trading views or ideas on issuers, securities, commodities, currencies or other financial instruments, but investors should not expect continuing analysis, views or discussion relating to those instruments discussed herein.
Any information provided here and is not intended to represent an adequate basis for investors to make an informed investment decision, and is subject to change without notice. CIBC Capital Markets is a trademark brand name under which Canadian Imperial Bank of Commerce CIBC. Its subsidiaries and affiliates provide products and services to our customers around the world.
For more information about these legal entities, as well as the products and services offered by CIBC Capital Markets, please visit www.cibccm.com.
--
Intro: Bienvenue à Cash Management Chat, une série de podcasts axée sur le monde dynamique de la trésorerie et de la gestion des liquidités. Écoutez des conseils d’experts et des recommandations pratiques pour naviguer dans le paysage financier actuel, apportés par l’équipe Gestion de trésorerie corporative de CIBC Marchés des Capitaux.
Andre Blanchard :
Bonjour et bienvenue à cet épisode du balado de Gestion de trésorerie CIBC, dans lequel nous explorons les problèmes, les tendances et les renseignements qui comptent le plus pour les entreprises qui gèrent les paiements, les liquidités et le risque. Je m’appelle Andre Blanchard, et aujourd’hui, nous discutons d’un problème qui continue de toucher les organisations de toutes tailles : la fraude.
Nous examinerons l’usurpation d’identité à la banque, la compromission des courriels d’entreprise, l’hameçonnage, les prises de contrôle de téléphones mobiles et d’ordinateurs, et la façon dont l’IA change les tentatives de fraude et la prévention de la fraude. Ryan Powell, vice-président, Gestion des risques de fraude à la Banque CIBC, se joint à moi aujourd’hui. Ryan travaille en étroite collaboration avec mon équipe et d’autres équipes et clients pour aider à repérer les tendances en matière de fraude et à renforcer la sensibilisation aux menaces émergentes.
Ryan, bienvenue et merci d’être avec nous.
Ryan Powell :
Merci, Andre. C’est un plaisir d’être ici. La fraude est un sujet important, et je suis heureux que nous ayons l’occasion d’en parler.
Andre Blanchard :
Commençons donc, Ryan. La fraude continue d’évoluer, et de nombreux stratagèmes deviennent plus sophistiqués au fil du temps. Avant de donner des exemples précis, comment les entreprises ou les clients devraient-ils considérer le contexte de la fraude?
Ryan Powell :
Oui, j’aimerais le présenter en deux types de fraude traditionnels:non autorisé et autorisé. Les situations non autorisées sont des situations comme des prises de contrôle de comptes ou des cartes de crédit volées. Par ‘autorisé’, nous pouvons penser aux différents types d’arnaques où le client effectue lui-même un paiement frauduleux. Lors d’une prise de contrôle de comptes, un auteur de menaces utilise la tromperie pour accéder à un compte, puis effectue ces opérations non autorisées. Toutefois, dans une telle arnaque, l’auteur de la menace trompe ou force un client à payer quelqu’un d’autre que celui qu’il croit payer, comme dans le cadre d’une compromission des courriels d’entreprise, ou trompe le client pour qu’il paie pour quelque chose qu’il ne recevra pas, comme dans le cas d’une arnaque liée aux placements ou à l’extorsion. Les fraudeurs sont très efficaces pour créer un sentiment d’urgence et de légitimité. Ils vont utiliser des appels téléphoniques, des courriels, des sites Web et diverses tactiques d’usurpation d’identité pour faire croire aux entreprises qu’elles font affaire avec une source de confiance.
Andre Blanchard :
Ryan, ce n’est pas nouveau pour nous. Pouvez-vous donner des exemples concrets?
Ryan Powell :
Vous avez raison. Ils ne sont pas nouveaux, mais ils évoluent avec la technologie. Un excellent exemple est la soi-disant arnaque nigériane. De nombreuses personnes lui ont fait face pour la première fois par courriel dans les années 1990, mais les versions de cette tromperie, que nous appelons une arnaqueà l’avance de frais, existent en fait depuis plus de 100 ans et ont commencé par des lettres envoyées par la poste.
Aujourd’hui, grâce à des applications, à des sites Web, à des services de courriel et à des services de messagerie toujours connectés, ils permettent la même tromperie de base pour joindre plus de gens beaucoup plus rapidement. Dans de nombreux cas, l’arnaque fonctionne non pas parce que les systèmes échouent, mais parce que les demandes semblent crédibles au moment où elles sont reçues. C’est pourquoi la sensibilisation est si importante. Les entreprises doivent savoir à quoi ressemblent ces stratagèmes, comment ils se produisent et quelles mesures prendre si quelque chose semble anormal.
Andre Blanchard :
La sensibilisation est essentielle, et c’est exactement ce sur quoi nous nous concentrerons aujourd’hui. Commençons par les prises de contrôle de comptes et la façon dont les fraudeurs tentent d’obtenir des comptes de clients ou, comme j’aime le dire, d’obtenir les clés du château.
Ryan Powell :
D’accord. Il s’agit de la prise de contrôle de compte non autorisée dont nous avons parlé il y a un instant. Cela commence souvent par une usurpation d’identité. Ces tentatives peuvent être envoyées par l’intermédiaire d’un site Web, d’un courriel ou d’un appel téléphonique. Essentiellement, le fraudeur communique avec une entreprise et fait semblant d’être quelqu’un qu’il n’est pas. Il peut s’agir d’un employé de la banque, d’un agent d’application de la loi ou d’un tiers.
Lors de ces appels, l’objectif du fraudeur est habituellement d’obtenir des renseignements de nature délicate, comme des renseignements confidentiels d’ouverture de session. Il peut s’agir de noms d’utilisateur, de numéros de carte, de mots de passe, de jetons ou de la redirection du client vers un site frauduleux contrôlé par le fraudeur. Grâce à cela, vous pourriez donner des renseignements compromettantt l’accès aux services bancaires.
Heureusement, les entreprises ont ajouté des niveaux de protection, et pas seulement des mots de passe. Nous avons souvent des processus d’authentification multifactorielle comme les jetons, et les fraudeurs ont dû adapter leurs tactiques pour inciter les clients à révéler ces méthodes plus sécurisées ou à approuver les clés secrètes de leurs comptes. Ces arnaques sont conçues pour sembler convaincantes. Le fraudeur peut prétendre qu’il y a un problème urgent avec le compte du client, que son accès en ligne a été annulé ou que de nouveaux identifiants doivent être émis immédiatement.
Andre Blanchard :
Exactement. Je pense que ce type d’urgence peut souvent surprendre les gens. Comment une arnaque comme celle-ci se produit-elle habituellement?
Ryan Powell :
Il existe quelques tendances courantes. D’abord, quelqu’un peut utiliser un moteur de recherche pour trouver son site bancaire, au lieu d’un favori de confiance enregistré dans votre navigateur. Les fraudeurs utilisent ce que nous appelons l’empoisonnement des moteurs de recherche pour faire passer un site malveillant plus haut dans les résultats de recherche ou pour placer des publicités trompeuses qui ressemblent beaucoup à une page bancaire et à une adresse URL légitimes, mais qui dirigent plutôt vers un site de fraude.
Une fois que le client s’est retrouvé sur ce site Web malveillant, le fraudeur pourrait déjà être en mesure de faire un suivi, peut-être au moyen d’un appel téléphonique, et de poursuivre l’arnaque. Nous sommes tous habitués aux courriels d’hameçonnage et à l’hameçonnage par message texte, mais ils peuvent aussi diriger quelqu’un vers une page d’ouverture de session. Les logiciels malveillants et les outils d’accès à distance, comme AnyDesk, pourraient être présentés comme un moyen de régler le problème avec le compte ou l’appareil. Plus récemment, une tactique courante est un appel téléphonique direct. Le fraudeur peut prétendre être de la banque. Il peut demander au client de sélectionner un lien, de visiter un site Web autre que son URL bancaire habituelle, d’installer l’une de ces applications de contrôle à distance du bureau ou de partager ses identifiants.
Il peut même dire au client que son ID des Services bancaires en ligne a été annulé et qu’une nouvelle pièce d’identité, un nouveau NIP ou un nouveau code d’accès a été créé pour lui. L’objectif est de profiter de cette urgence, de cette confusion. Faire en sorte que le client sente qu’il doit agir immédiatement.
Andre Blanchard :
Essentiellement, le fraudeur tente de prendre le contrôle de l’interaction et d’empêcher le client de réfléchir, peut-être clairement, et de faire une pause pour vérifier.
Ryan Powell :
Exactement. C’est un élément important de la tactique. Il est important de comprendre qu’il s’agit d’auteurs de menaces bien organisés et bien financés, d’experts du crime organisé, experts en psychologie et de la façon de nous séparer de notre argent et de nos secrets. L’usurpation d’identité dans les banques, l’application de la loi et l’usurpation d’identité sont souvent des formes directes et non techniques de piratage psychologique.
Le fraudeur appelle. Ils sont très convaincants et utilisent ces tactiques pour persuader une personne par téléphone de céder cet accès sensible ou pour prouver une action. Ils veulent vraiment tirer parti de cette pression, réduire les occasions de vérification indépendante et amener la personne à suivre les instructions en temps réel.
Andre Blanchard :
D’accord. Quels sont certains des signes avant-coureurs qu’une entreprise pourrait faire face à une tentative d’usurpation d’identité?
Ryan Powell :
Tout appel, message texte ou courriel inattendu vous demandant d’ouvrir une session dans les Services bancaires en ligne pour partager vos identifiants de nature délicate, comme un mot de passe, ou de prendre une mesure urgente à l’égard d’un problème ou d’une opération que vous n’avez pas amorcé ou signalé. Un autre signe d’avertissement vous demande d’accéder à un lien qui est différent de votre adresse URL habituelle des Services bancaires en ligne+.
Comme nous l’avons déjà dit, les demandes d’installation de logiciels ou d’application de bureau à distance doivent aussi être traitées avec une extrême prudence. Bien entendu, si quelqu’un prétend être de la banque et demande des renseignements confidentiels sur l’ouverture de session, cela devrait immédiatement soulever desinquiétudes.
Andre Blanchard :
Je pense que c’est un point essentiel. Mais que doivent se rappeler les clients de la façon dont la banque communiquera avec eux?
Ryan Powell :
Eh bien, nous communiquons avec nos clients. Nous communiquons avec eux et les soutenons pour toutes les questions de service et leurs préoccupations. De plus, les clients doivent se rappeler qu’ils doivent être très prudents à l’égard de toute communication non sollicitée liée à l’accès aux Services bancaires en ligneou à l’administration de leurs comptes. Si quelque chose semble inhabituel, arrêtez et vérifiez auprès d’un canal de confiance.
L’approche la plus sécuritaire consiste à utiliser votre URL bancaire habituelle. Idéalement, vous devez l’enregistrer comme site à ajouter à vos favoris et, lorsque vous communiquez avec la banque, vous devez le faire directement au moyen d’un numéro de téléphone de confiance qui figure déjà au dossier.
Andre Blanchard :
Que se passe-t-il si quelqu’un pense avoir reçu un appel lié à l’usurpation d’identité à la banque? Que devrait-il faire immédiatement?
Ryan Powell :
C’est une excellente question. Nous devons garder à l’esprit quatre étapes immédiates. Tout d’abord, mettez fin à l’appel. Il est toujours préférable de rappeler à un numéro de confiance et d’être prudent plutôt que de s’excuser. Deuxièmement, ne donnez aucun identifiant à l’appelant. Ne divulguez pas vos mots de passe. Ne les entrez pas sur un site Web autre que votre adresse URL habituelle des Services bancaires enligne.
Troisièmement, n’accédez à aucun lien fourni par l’appelant et n’installez aucun logiciel d’accès à distance. Enfin, communiquez immédiatement avec votre banque au moyen d’une méthode de prise de contact de confiance. Plus vous agissez rapidement, plus vous avez de chances de réduire le risque et de protéger votre entreprise. Il ne faut pas oublier que la banque ne vous demandera jamais de faire quelque chose en secret.
Nous ne vous demanderons jamais de contribuer à une enquête hautement secrète, de partager un mot de passe délicat, de virer des fonds ou de donner l’accès dans le contexte d’une enquête.
Andre Blanchard :
Ce sont d’excellents points à retenir. Merci beaucoup. Passons maintenant au deuxième type de fraude, la compromission des courriels d’entreprise. En quoi est-ce différent d’une prise de contrôle de compte?
Ryan Powell :
C’est également une excellente question. Au lieu de se faire passer pour une banque ou une autre autorité de confiance pour accéder à votre compte, l’auteur de menaces tente de se faire passer pour quelqu’un au sein de votre entreprise ou de fournir une autre forme de tromperie pour vous persuader d’effectuer un paiement ou de modifier les instructions de paiement.
Contrairement à une prise de contrôle de compte, dans ce cas, le client effectue le paiement lui-même, et une compromission des courriels d’entreprise est l’un des exemples les plus courants. Ici, les malfaiteurs tentent d’inciter une entreprise à transférer des fonds dans un compte frauduleux au moyen d’un courriel qui semble provenir d’une source digne de confiance.
Souvent, le message semble très légitime. Il peut sembler provenir d’un fournisseur connu, d’un partenaire, d’un cadre supérieur ou d’une autre personne-ressource avec qui vous envoyez régulièrement un courriel. Dans certains cas, il peut ressembler beaucoup au style utilisé dans les courriels précédents. Cela peut même s’appuyer sur des fils de courriels et des échanges que vous avez effectués par le passé, ce qui peut rendre la détection très difficile.
Andre Blanchard :
D’accord. Il s’agit donc moins de prendre en charge un justificatif d’identité de Services bancaires en ligne que de manipuler le processus de paiement lui-même.
Ryan Powell :
C’est exact. Dans le cas d’une arnaque de compromission des courriels d’entreprise, le fraudeur tente habituellement de réacheminer un paiement légitime. Il veut que l’entreprise croie qu’ils paient la bonne partie, alors qu’en réalité, les fonds sont plutôt envoyés au compte du fraudeur.
Andre Blanchard :
Expliquez-nous donc comment cela se déroule généralement.
Ryan Powell :
D’accord. Une entreprise peut donc recevoir un courriel. Il semble qu’il provienne d’une personne-ressource connue comme un fournisseur. Le courriel peut comprendre une facture ou des instructions de paiement mises à jour. Ces instructions expliquent souvent un changement dans les coordonnées bancaires et demandent que ce paiement soit transféré à un nouvel emplacement.
Parfois, ce nouveau compte est détenu auprès d’une autre banque ou dans une autre région. Il pourrait s’agir d’une méthode différente de ce qu’ils ont fait par le passé. Ce sont tous des signes avant-coureurs importants. Si l’entreprise suit ces instructions mises à jour sans les vérifier de façon indépendante, le paiement peut être versé au malfaiteur au lieu du destinataire prévu.
Andre Blanchard :
La diligence raisonnable du côté de notre client est donc essentielle pour assurer la protection ici. C’est ce qui rend l’arnaque si dangereuse. Elle peut être cachée dans ce qui semble être un processus habituel lié aux comptes fournisseurs.
Ryan Powell :
Exactement. Ces arnaques reposent sur des activités professionnelles normales. Une facture arrive. Les renseignements sur le paiement semblent avoir changé. Quelqu’un doit traiter le paiement rapidement. S’il n’y a pas de vérification solide en place, il devient beaucoup plus facile pour le fraudeur de réussir. Comme nous en parlerons plus tard, l’IA peut rendre ces messages et ces documents justificatifs encore plus convaincants.
Andre Blanchard :
Quel serait votre conseil pour les entreprises lorsqu’elles reçoivent des instructions de paiement mises à jour?
Ryan Powell :
L’étape la plus importante consiste simplement à ralentir, à arrêter et à vérifier de nouveau le changement à l’aide d’un numéro de téléphone de confiance. Souvent, ces courriels comprennent un numéro de téléphone. Mais il s’agit du numéro de téléphone des fraudeurs. Il est donc important de revenir au numéro officiel ou de confiance que vous utilisez pour interagir avec ce fournisseur. Si les instructions de paiement changent, effectuez un appel distinct à l’expéditeur à l’aide de ce numéro connu. Il ne s’agit pas seulement du fait qu’un paiement est exigible, mais aussi des renseignements précis sur le paiement. Cette vérification indépendante est l’une des défenses les plus solides contre la compromission des courriels d’entreprise. De plus, les entreprises ne doivent pas accepter les appels téléphoniques, les messages textes ou les courriels entrants de vérification du changement.
Cette vérification doit être effectuée par l’intermédiaire d’un canal indépendant de confiance. Nous reconnaissons que cela peut prendre du temps. Il s’agit d’un effort de l’entreprise pour effectuer ce travail supplémentaire, surtout si le bénéficiaire se trouve dans un autre fuseau horaire ou a des heures d’ouverture différentes. Mais c’est du temps bien dépensé pour s’assurer que l’argent est versé à la bonne personne et non à un fraudeur.
Andre Blanchard :
Il semble que cet exercice en vaille la peine, et c’est une très bonne distinction. Il ne suffit donc pas d’obtenir une réponse ou un appel de confirmation si le fraudeur contrôle réellement ces canaux de communication?
Ryan Powell :
Exactement. Les fraudeurs peuvent essayer de contrôler la conversation complète. Il pourrait avoir accès à la véritable adresse courriel. Une vérification indépendante est donc essentielle.
Andre Blanchard :
Que se passe-t-il si cela ne se produit pas comme un client le soupçonne? Que se passe-t-il si une opération frauduleuse a déjà été envoyée?
Ryan Powell :
Le temps presse. Si une entreprise croit avoir envoyé une opération frauduleuse, elle doit communiquer immédiatement avec sa banque. Le temps est la clé absolue. Plus la banque est informée rapidement, plus des mesures peuvent être prises rapidement et plus nous avons de chances d’intervenir ou de récupérer ces fonds. Il est également important de consigner à l’interne ce qui s’est passé, de conserver le courriel ou toute autre communication concernée et d’examiner si une compromission plus générale pourrait avoir eu lieu.
Andre Blanchard :
Ryan, merci encore d’être ici et d’avoir cette conversation importante avec nous.
Ryan Powell :
Merci, Andre. Je suis heureux d’avoir l’occasion d’en parler, et j’encourage les entreprises à rester vigilantes et à garder la sensibilisation à la fraude à l’esprit.
Outro :
Restez à l’affût de la deuxième partie de cette discussion, où nous explorerons la façon dont le contexte de fraude continue d’évoluer, qu’il s’agisse de l’hameçonnage, des prises de contrôle d’appareils mobiles ou des arnaques générées par l’IA et des hypertrucages. Nous vous ferons également part de mesures pratiques que les entreprises peuvent mettre en oeuvre pour détecter les signaux d’alerte, renforcer les contrôles internes et réduire le risque de fraude.
Mention juridique :
Les documents divulgués dans ce balado sont à titre informatif seulement et sont assujettis à notre Code de conduite, ainsi qu’aux règles OCRI. Les renseignements et les données contenus dans le présent document ont été obtenus ou tirés de sources jugées fiables, sans vérification indépendante par Marchés des capitaux CIBC, et dans la mesure où ces renseignements et données sont fondés sur des sources à l’extérieur de Marchés des capitaux CIBC, nous ne déclarons pas et ne garantissons pas que ces renseignements ou données sont exacts, adéquats ou complets, nonobstant toute disposition contraire.
Marchés mondiaux CIBC inc. et ses sociétés affiliées ne doivent assumer aucune responsabilité de quelque nature que ce soit à l’égard du contenu de la présente communication. Cette communication est adaptée à un public en particulier et, par conséquent, ce message est destiné à ce public en particulier seulement.
La diffusion, la rediffusion ou toute autre utilisation du présent message ou des commentaires sur le marché contenus dans le présent message par un destinataire est non autorisée. Cette communication ne doit pas être considérée comme un rapport de recherche. Les services, les titres et les placements dont il est question dans le présent rapport peuvent ne pas être offerts à tous les investisseurs et ne pas convenir à tous.
Rien dans la présente communication ne constitue une recommandation, une offre ou une sollicitation d’achat ou de vente de placements précis abordés aux présentes. Les intervenants de ce balado n’ont pas l’autorisation réelle, implicite ou apparente d’agir au nom d’un émetteur mentionné dans ce balado. Les commentaires et les opinions exprimés dans le présent document sont uniquement ceux des intervenants individuels, sauf si l’auteur les indique expressément.
Les opinions de Marchés mondiaux CIBC inc. Les conférenciers peuvent fournir des points de vue ou des idées sur les opérations à court terme sur les émetteurs, les titres, les marchandises, les devises ou d’autres instruments financiers, mais les investisseurs ne doivent pas s’attendre à une analyse, à des points de vue ou à des discussions continues sur les instruments abordés aux présentes.
Les renseignements fournis ici ne visent pas à constituer une base adéquate pour que les investisseurs puissent prendre une décision de placement éclairée, et peuvent changer sans préavis. Marchés des capitaux CIBC est une marque de commerce sous laquelle la Banque Canadienne Impériale de Commerce (« CIBC ») est une marque de commerce. Ses filiales et sociétés affiliées offrent des produits et des services à nos clients partout dans le monde.
Pour en savoir plus sur ces entités juridiques, ainsi que sur les produits et services offerts par Marchés des capitaux CIBC,veuillez visiter www.cibccm.com.