In Part 2 of the discussion on fraud management, Andre Blanchard and Ryan Powell examine how fraud threats continue to evolve across phone, email and mobile channels. Building on the previous conversation about impersonation, account takeovers and business email compromise, this episode explores phishing, vishing, device takeovers and the growing role of artificial intelligence in fraud.
Please scroll below for the French transcript.
Intro: Welcome to the CIBC Cash Management Podcast. In Part 1 of our discussion on fraud management, we explored how fraudsters use impersonation tactics, account takeovers and business email compromise scams to target organizations. In today’s discussion, we'll build on our previous conversation by examining phishing and device takeover attacks, the growing role of artificial intelligence in fraud, and the practical steps organizations can take to strengthen their defenses.
Andre Blanchard:
I'm Andre Blanchard. Joining me today is Ryan Powell, Vice President of Fraud Management at CIBC. Ryan works closely with my team and other teams and clients to help identify fraud trends and strengthen awareness around emerging threats.
Ryan, welcome and thank you for joining us.
Ryan Powell:
Thanks, Andre. It's great to be here.
Andre Blanchard:
So let's kick things off, Ryan. Another threat we're hearing more about lately is vishing. What does that actually mean.
Ryan Powell:
Yeah we hear vishing, smishing, phishing. They're all flavors of the same thing. The difference is the channel through which the thread is delivered. So vishing is simply voice phishing, using phone calls to try to obtain passwords, pins or other sensitive details. And the impersonator scams that we talked about earlier are a very common type, but not the only type of phishing.
And it's important, as we think through these, to understand that the fraud may not always present itself as simply as we're describing here. Fraudsters evolve their tactics. They combine their tactics to take advantage of what they know about their target social, economic situations, and any other scenario that could add some legitimacy to it.
And so we see this in tech support scams. As an example, the caller may claim that your account or device has been compromised. They may offer to help. Instead of asking for a pin or a password, they may instruct the person to install a remote access application, they might ask you to visit an unfamiliar website, share your computer screen, forward your phone calls, or otherwise change security settings.
Once that type of access is granted, the fraudster may be able to view confidential information. They may be able to access your email or banking services, and if they initiate transactions that way, they will appear to come from your legitimate device.
Andre Blanchard:
So employees have a big role to play in preventing fraud. What would advice be to those employees on what red flags or warning signs may look like? Right?
Ryan Powell:
Warning signs could include an unsolicited call that creates that urgency or fear we discussed earlier. A request to install software or grant remote control instructions to keep the call secret, pressure to stay on the line while signing in, in addition to the requests for passwords, pins, or other secrets that we talked about earlier.
Caller ID alone should never be treated as proof that the caller is legitimate as fraudsters can misrepresent the phone number that they're calling from.
Andre Blanchard:
And if someone does receive these phone calls, what would you coach them to do?
Ryan Powell:
Again, end the call and do not follow the caller's instructions. Do not install software, click a link, share your screen, disclose credentials or approve an authentication prompt. Contact the organization using a trusted phone number that you already have on file. If the call concerns a work device or your business account, notify your internal security or IT team promptly.
Andre Blanchard:
And hopefully this doesn't take place. But what if a person has already installed the software, clicked on the link, or allowed access?
Ryan Powell:
Act immediately. Again, time is of the essence. Stop interacting with the caller and contact your organization security or IT team and your bank through trusted channels. Follow your organization's incident response instructions, preserve relevant messages and call details, and report any suspicious or unauthorized activity. Do not continue banking or accessing sensitive business systems from an affected device until it has been assessed and secured.
Andre Blanchard:
So, Ryan, my understanding is, you know, fraudsters are getting much more advanced leveraging AI and technology. And often they probably don't use these types of scams in isolation. Right. So what does that kind of look like in the real world?
Ryan Powell:
In the real world, the scams are moving very quickly. They evolve with the technology as we've discussed, and they can be hyper targeted. And what this means is a scam may not present itself quite as clearly as we've discussed here today. It may start in one of these categories, such as a business email compromise or an email asking for a change in access, a change in a payment detail.
But that can evolve to step up to ask you to install software, to ask you to move money. And so it's important to be on the lookout for the general red flags of a call or email that is unsolicited, that is asking you to act with urgency or that simply does not make sense.
Andre Blanchard:
So we talked a lot about computer and email compromises, but our mobile phones also at risk in the same way?
Ryan Powell:
Yes, mobile devices can expose email, text messages, authentication prompts, banking applications and business data. So fraudsters may try to gain screen sharing or remote access capabilities to your mobile phone as well. They may persuade a user to install an application or take over the phone through what we call a SIM related attack.
So employees should protect mobile devices with strong authentication, keep operating systems and applications updated, and treat unexpected prompts or loss of cellular service as reasons to pause and investigate.
Andre Blanchard:
Now, as the expert, if you had one message or a simple message that you would give to businesses for their own employees about vishing and device takeovers, what would it be?
Ryan Powell:
No legitimate security process should depend on an unexpected caller pressuring you to install remote access software, disclose credentials, or approve an action you did not initiate. So always stop, verify independently and then if something goes wrong, escalate quickly.
Andre Blanchard:
So let's talk about something that's very prevalent in the media today. Let's discuss AI and how it is actually part of almost every technology conversation today. Now, is AI changing the fraud landscape? Is that the new fraud battleground?
Ryan Powell:
Certainly. AI is increasing the speed, the scale and sophistication of fraud attempts. Fraudsters can use generative AI to produce very polished phishing emails to research their targets, to personalize messages, even imitating writing styles. They can create synthetic or what we call deepfake audio or video that is very convincing.
And those videos can feature a trusted executive, a supplier, a family member, basically anyone. It can make business email compromise, phishing, smishing, and deceptive websites all the more convincing. And that makes traditional warning signs such as poor grammar, spelling, or an unfamiliar tone much less reliable than they once were.
Andre Blanchard:
So does that mean we need to be a bit more skeptical in what we're hearing or seeing as perhaps a familiar person, and that no longer being enough to validate a request?
Ryan Powell:
Totally. We always say trust, but validate. Voices, images and some video can now be faked very convincingly. The practical response is not to become an expert in detecting every deepfake. It's to slow down again, verify the source independently, and follow established approval processes. A request involving money credentials, access changes or sensitive information should always be verified through a trusted channel.
Andre Blanchard:
Are there any other ways AI can amplify fraud or increase its success rates?
Ryan Powell:
Yes, AI can help fraudsters translate messages, automate outreach to many targets. They can combine publicly available information and quickly adjust a scam based on how the recipient response. Just like all of us are thinking about how we can use AI to make our businesses more efficient, fraudsters are doing that too, so it can be used to create or alter purchase orders, invoices, related payment documents.
Whatever form a request takes, the key is to validate its source and any changed instructions. And if your business is onboarding new clients or partners, particularly with no history or in-person relationship, it's important to be extra vigilant. Be aware of the types of threats we're discussing today and how that shapes your internal policies for extending sales or services on credit advancements and the payment methods you accept.
Because again, fraudsters could be using these tools on documents that they're sending to you.
Andre Blanchard:
So it really does sound like an AI battleground. How can clients leverage it responsibly to help counter fraud attempts?
Ryan Powell:
Clients can look for approved security and treasury tools that use analytics or machine learning to identify unusual activity, to prioritize alerts, and to detect anomalies in payment behavior. They should also use these types of cyber controls to support their email and endpoint security, and really protect their networks.
But technology should reinforce, not replace, strong controls, and that starts with training and awareness. Knowing these threats are out there is the first step in defending against them. Fraudsters often target the human decision point. So the strongest defense is disciplined process controls. Things like dual approvals, transaction limits, segregation of duties and callbacks to trusted numbers to do independent verification.
Human review remains essential, particularly before a high value, urgent or unusual transaction is released, and it's important to test these controls. Without testing, you cannot be certain they are operating as intended.
Andre Blanchard:
So in addition to those human controls, and in your experience, what should businesses consider before adopting an AI based fraud tool?
Ryan Powell:
Well, keep the evaluation practical and aligned with enterprise policies. Start with a very clear use case and involve your fraud, cybersecurity, privacy, legal, risk, procurement, and business owners as appropriate. It's key to understand what data the tool uses, where that data is stored, how the outputs are explained, and how the performance is monitored, and businesses should use approved enterprise tools and avoid entering confidential client employee banking or transaction information into public AI services without authorization and appropriate safeguards.
And just as importantly, businesses should have clear and communicated policies for unapproved tools to make sure their employees are not using tools that do not have these types of safeguards in place.
Andre Blanchard:
Great advice. So, Ryan, what take away about AI and fraud prevention? Would you want the audience to kind of hone in on?
Ryan Powell:
AI is a powerful fraud tool on both offense and defense. It can make scams more convincing, but can also strengthen monitoring and analysis. The strongest defense combines responsibly govern technology with disciplined processes, independent verification, trained employees, and timely escalation.
Andre Blanchard:
So, Ryan, when we step back from all these various fraud types, what are the broader habits businesses should build into their current and existing processes?
Ryan Powell:
There are a few foundational habits that can really make a difference. First, always use trusted access points for banking. That means going to your regular online banking URL through that saved bookmarked link, rather than relying on a search engine result in the moment. Second, treat unsolicited requests with caution, especially if they involve urgency, credentials, software installation, payment changes, or unusual account details.
Third, and this is key build independent verification into your payment and banking processes. If something changes, confirm it through a separate trusted channel. In large organizations, you may have several team members involved in receiving, reviewing, and approving an invoice and then making the payment.
And it's very important that everyone understands who is responsible and conducting that verification. Fourth, design controls so that one person cannot initiate, approve, and release a sensitive payment without the appropriate oversight. Segregation of duties, dual approvals, and proportionate transaction limits can reduce the impact of a single deceptive interaction.
And finally, make sure employees know that if something feels off, they should pause and escalate. A brief delay to verify is far better than a rush decision that leads to a fraud.
Andre Blanchard:
These are all strong messages, especially for those folks and teams that are handling payments day in and day out. So fraud prevention is not just a technology issue. It's a process and awareness issue as well.
Ryan Powell:
Absolutely. Technology plays an important role. But as we said, it should reinforce, not replace awareness controls and consistent verification practices.
Andre Blanchard:
Ryan, thank you for joining us and sharing these practical insights. To our listeners, today. We covered bank impersonation, business email compromise, phishing, mobile phone and computer takeovers, and the growing impact of AI on fraud. So a few takeaways from my side. Be cautious of unexpected calls, texts, emails, videos, or authentication prompts related to banking access, payments or device security.
Do not rely solely on caller ID, a familiar voice or video image, or a polished message as proof of identity. Use only your regular online banking URL, ideally from a saved or bookmarked source. Never provide credentials, pins, token numbers, or authentication codes to an unsolicited caller. Do not install remote access software, share your screen or approve a prompt you did not initiate. Independently verify payment access or security requests using a trusted contact method and established approval process. Use only approved AI tools, protect confidential information and retain human review for sensitive decisions and transactions.
Review account activity and alert prompts if a device, account, or transaction may be compromised. Contact your bank and Internal Security or IT teams immediately. Ryan, thank you again for being here and having this important conversation with us.
Ryan Powell:
Thanks, Andre. I appreciate the opportunity to talk about this, and I encourage businesses to stay vigilant and keep fraud awareness top of mind.
Andre Blanchard:
And thanks to everyone for listening to the CIBC Cash Management Podcast. We hope you found this discussion helpful and practical for your business. Join us again next time for more insights on cash management, payments technology and risk.
Disclaimer:
The materials disclosed on this podcast are for informational purposes only and subject to our Code of Conduct, as well as zero rules. The information and data contained herein has been obtained or derived from sources believed to be reliable, without independent verification by CIBC Capital Markets, and to the extent that such information and data is based on sources outside CIBC Capital Markets, we do not represent or warrant that any such information or data is accurate, adequate or complete, notwithstanding anything to the contrary.
Here in CIBC World Markets, Inc. and or any affiliate thereof shall not assume any responsibility or liability of any nature in connection with any of the contents of this communication. This communication is tailored for a particular audience, and accordingly, this message is intended for such specific audience only.
Any dissemination, redistribution, or other use of this message or the market commentary contained herein by any recipient is unauthorized. This communication should not be construed as a research report. The services, securities and investments discussed in this report may not be available to nor suitable for all investors.
Nothing in this communication constitutes a recommendation, offer or solicitation to buy or sell any specific investments discussed herein. Speakers on this podcast do not have any actual, implied, or apparent authority to act on behalf of any issuer mentioned in this podcast. The commentary and opinions expressed herein are solely those of the individual speakers, except where the author expressly states them to be.
The opinions of CIBC World Markets, Inc. The speakers may provide short term trading views or ideas on issuers, securities, commodities, currencies, or other financial instruments, but investors should not expect continuing analysis, views or discussion relating to those instruments discussed herein.
Any information provided herein is not intended to represent an adequate basis for investors to make an informed investment decision, and is subject to change without notice. CIBC Capital Markets as a trademark brand name. Ottawa which Canadian Imperial Bank of Commerce CIBC. Its subsidiaries and affiliates provide products and services to our customers around the world.
For more information about these legal entities, as well as the products and services offered by CIBC Capital Markets, please visit www.cibccm.com.
---
Intro : Bienvenue au balado de Gestion de trésorerie CIBC. Dans la première partie de notre discussion sur la gestion de la fraude, nous avons examiné comment les fraudeurs utilisent des tactiques d’usurpation d’identité, les prises de contrôle de comptes et les arnaques de compromission des courriels d’entreprise pour cibler des organisations. Au cours de la discussion d’aujourd’hui, nous nous appuierons sur notre conversation précédente en examinant l’hameçonnage et les attaques par prise de contrôle d’appareils, le rôle croissant de l’intelligence artificielle dans la fraude et les mesures pratiques que les organisations peuvent prendre pour renforcer leurs défenses.
Andre Blanchard :
Je m’appelle Andre Blanchard. Ryan Powell, vice-président, Gestion des risques de fraude à la Banque CIBC, se joint à moi aujourd’hui. Ryan travaille en étroite collaboration avec mon équipe et d’autres équipes et clients pour aider à repérer les tendances en matière de fraude et à renforcer la sensibilisation aux menaces émergentes.
Ryan, bienvenue et merci d’être avec nous.
Ryan Powell :
Merci, Andre. C’est un plaisir d’être ici.
Andre Blanchard :
Lançons le bal, Ryan. Une autre menace dont nous entendons parler davantage ces derniers temps estl’hameçonnage vocal. Qu’est-ce que cela signifie réellement?
Ryan Powell :
Oui, nous entendons parler de filoutage, de l’hameçonnage par message texte et de l’hameçonnage par téléphone. Ce sont toutes des variantesde la même chose. La différence réside dans le canal de communication utilisé. L’hameçonnage vocal est simplement de lhameçonnage par la voix, en utilisant des appels téléphoniques pour essayer d’obtenir des mots de passe, des NIP ou d’autres renseignements de nature délicate. Les arnaques par usurpation d’identité dont nous avons parlé plus tôt sont très courantes, mais ce n’est pas le seul type d’hameçonnage.
En y réfléchissant, il est important de comprendre que la fraude n’est pas toujours aussi simple que celle que nous décrivons ici. Les fraudeurs font évoluer leurs tactiques. Ils combinent leurs tactiques pour tirer parti de ce qu’ils savent sur la situation sociale et économique de leur cible et sur tout autre scénario qui pourrait ajouter de la légitimité.
Nous le voyons dans les arnaques de soutien technologique. À titre d’exemple, l’appelant peut prétendre que votre compte ou votre appareil a été compromis. Il peut offrir de l’aide. Au lieu de demander un NIP ou un mot de passe, il peut demander à la personne d’installer une application d’accès à distance, de visiter un site Web inconnu, de partager votre écran d’ordinateur, de transmettre vos appels téléphoniques ou de modifier autrement les paramètres de sécurité.
Une fois ce type d’accès accordé, le fraudeur pourrait être en mesure de consulter des renseignements confidentiels. Il pourrait être en mesure d’accéder à vos courriels ou à vos services bancaires, et s’il amorce des opérations de cette façon, elles sembleront provenir de votre appareil légitime.
Andre Blanchard :
Les employés ont donc un rôle important à jouer dans la prévention de la fraude. Quels conseils donneriez-vous à ces employés sur les signaux d’alerte ou les signes avant-coureurs?
Ryan Powell :
Les signes avant-coureurs peuvent comprendre un appel non sollicité qui crée cette urgence ou cette peur dont nous avons discuté plus tôt. Une demande d’installation de logiciel ou d’octroi d’instructions de télécommande pour garder l’appel secret, une pression pour rester en ligne pendant l’ouverture de session, en plus des demandes de mots de passe, de NIP ou d’autres secrets dont nous avons parlé plus tôt.
L’identification de l’appelant à elle seule ne doit jamais être traitée comme une preuve que l’appelant est légitime, car les fraudeurs peuvent déformer le numéro de téléphone à partir duquel ils appellent.
Andre Blanchard :
Si quelqu’un reçoit ces appels téléphoniques, que lui conseilleriez-vous de faire?
Ryan Powell :
Encore une fois, mettez fin à l’appel et ne suivez pas les directives de l’appelant. N’installez pas de logiciel, ne cliquez pas de lien, ne partagez pas votre écran, ne divulguez pas les identifiants et n’approuvez pas un message d’authentification. Communiquez avec l’organisation au moyen d’un numéro de téléphone de confiance qui figure déjà au dossier. Si l’appel concerne un appareil de travail ou votre compte d’entreprise, informez-en rapidement votre équipe Sécurité interne ou votre équipe des TI.
Andre Blanchard :
J’espère que cela ne se produira pas. Mais que se passe-t-il si une personne a déjà installé le logiciel, cliqué sur le lien ou autorisé l’accès?
Ryan Powell :
Agissez immédiatement. Encore une fois, le temps presse. Cessez d’interagir avec l’appelant et communiquez avec l’équipe de sécurité de votre organisation ou de TI et votre banque par l’intermédiaire des canaux de confiance. Suivez les instructions d’intervention en cas d’incident de votre organisation, conservez les messages et les renseignements pertinents sur l’appel et signalez toute activité suspecte ou non autorisée. Ne poursuivez pas vos opérations bancaires ou n’accédez pas aux systèmes d’entreprise sensibles à partir d’un appareil touché tant qu’ils n’ont pas été évalués et sécurisés.
Andre Blanchard :
Ryan, je crois comprendre que les fraudeurs sont de plus en plus avancés et tirent parti de l’IA et de la technologie. Souvent, ils n’utilisent probablement pas ces types d’arnaques de façon isolée. À quoi cela ressemble-t-il dans le monde réel?
Ryan Powell :
Dans le monde réel, les arnaques évoluent très rapidement. Ils évoluent avec la technologie, comme nous en avons discuté, et ils peuvent être hyperciblés. Cela signifie qu’une arnaque pourrait ne pas se présenter aussi clairement que nous en avons discuté aujourd’hui. Elle peut commencer dans l’une de ces catégories, comme une compromission des courriels d’entreprise ou un courriel demandant un changement d’accès ou un changement de renseignements sur un paiement.
Mais cela peut évoluer pour vous demander d’installer un logiciel et de virer des fonds. Il est donc important de rester à l’affût des signaux d’alerte généraux d’un appel ou d’un courriel non sollicité qui vous demande d’agir rapidement ou qui n’a tout simplement aucun sens.
Andre Blanchard :
Nous avons beaucoup parlé de compromission des ordinateurs et des courriels, mais nos téléphones mobiles sont également à risque de la même façon?
Ryan Powell :
Oui, les appareils mobiles peuvent exposer les courriels, les messages textes, les demandes d’authentification, les applications bancaires et les données d’entreprise. Les fraudeurs peuvent aussi essayer d’obtenir des capacités de partage d’écran ou d’accès à distance à votre téléphone mobile. Il peut persuader un utilisateur d’installer une application ou de prendre le contrôle du téléphone au moyen de ce que nous appelons une attaque liée à la carte SIM.
Les employés doivent donc protéger les appareils mobiles au moyen d’une authentification solide, tenir à jour les systèmes d’exploitation et les applications, et traiter les demandes imprévues ou la perte de service cellulaire comme des raisons de faire une pause et d’enquêter.
Andre Blanchard :
Maintenant, en tant qu’expert, si vous aviez un seul message ou un message simple que vous donneriez aux entreprises pour leurs propres employés au sujet de l’hameçonnage vocal et des prises de contrôle d’appareils, quel serait-il?
Ryan Powell :
Aucun processus de sécurité légitime ne doit dépendre d’un appelant inattendu qui exerce des pressions sur vous pour que vous installiez un logiciel d’accès à distance, divulguiez les identifiants ou approuviez une mesure que vous n’avez pas amorcée. Arrêtez toujours, vérifiez de façon indépendante, puis, en cas de problème, soumettez le cas à un autre palier d’intervention rapidement.
Andre Blanchard :
Parlons maintenant de quelque chose qui est très courant dans les médias aujourd’hui. Discutons de l’IA et de la façon dont elle fait partie de presque toutes les conversations sur la technologie aujourd’hui. L’IA change-t-elle le contexte de la fraude? S’agit-il du nouveau champ de bataille de la fraude?
Ryan Powell :
Certainement. L’IA accélère la vitesse, l’ampleur et la sophistication des tentatives de fraude. Les fraudeurs peuvent utiliser l’IA générative pour produire des courriels d’hameçonnage très soignés afin de rechercher leurs cibles, de personnaliser les messages, voire d’imiter les styles d’écriture. Ils peuvent créer des enregistrements ou des vidéos synthétiques ou hypertrucages qui sont très convaincants.
Ces vidéos peuvent mettre en vedette un cadre supérieur de confiance, un fournisseur, un membre de la famille, essentiellement, n’importe qui. Cela peut rendre la compromission des courriels d’entreprise, l’hameçonnage par message texte et les sites Web trompeurs d’autant plus convaincants. Cela rend les signes avant-coureurs traditionnels, comme une mauvaise grammaire, une mauvaise orthographe ou un ton inconnu, beaucoup moins fiables qu’auparavant.
Andre Blanchard :
Cela signifie-t-il que nous devons être un peu plus sceptiques à l’égard de ce que nous entendons ou voyons en tant que personne familière, et que cela n’est plus suffisant pour valider une demande?
Ryan Powell :
Tout à fait. Nous parlons toujours de confiance, mais il faut valider. Les voix, les images et certaines vidéos peuvent maintenant être falsifiées de façon très convaincante. La réponse pratique n’est pas de devenir un expert dans la détection de chaque hypertrucage. Il s’agit de ralentir de nouveau, de vérifier la source de façon indépendante et de suivre les processus d’approbation établis. Une demande concernant des identifiants de fonds, des changements d’accès ou des renseignements de nature délicate doit toujours être vérifiée au moyen d’un canal de confiance.
Andre Blanchard :
Y a-t-il d’autres façons pour l’IA d’amplifier la fraude ou d’augmenter ses taux de réussite?
Ryan Powell :
Oui, l’IA peut aider les fraudeurs à traduire des messages et à automatiser la communication avec de nombreuses cibles. Ils peuvent combiner des renseignements accessibles au public et ajuster rapidement une arnaque en fonction de la réponse du destinataire. Comme nous réfléchissons tous à la façon dont nous pouvons utiliser l’IA pour rendre nos activités plus efficaces, les fraudeurs le font également, alors elle peut être utilisée pour créer ou modifier des bons de commande, des factures et des documents de paiement connexes.
Quelle que soit la forme qu’une demande prend, la clé est de valider sa source et toute instruction modifiée. Si votre entreprise accueille de nouveaux clients ou partenaires, en particulier sans antécédents ni relation en personne, il est important d’être très vigilant. Soyez au courant des types de menaces dont nous discutons aujourd’hui et de la façon dont elles façonnent vos politiques internes visant à étendre les ventes ou les services sur des avances de crédit et les modes de paiement que vous acceptez.
Encore une fois, les fraudeurs pourraient utiliser ces outils sur des documents qu’ils vous envoient.
Andre Blanchard :
Cela ressemble vraiment à un champ de bataille de l’IA. Comment les clients peuvent-ils en tirer parti de façon responsable pour lutter contre les tentatives de fraude?
Ryan Powell :
Les clients peuvent rechercher des outils de sécurité et de trésorerie approuvés qui utilisent l’analyse ou l’apprentissage machine pour repérer les activités inhabituelles, établir l’ordre de priorité des alertes et détecter les anomalies dans le comportement des paiements. Ils devraient aussi utiliser ces types de cybercontrôles pour assurer la sécurité de leurs courriels et de leurs points d’extrémité, et vraiment protéger leurs réseaux.
Toutefois, la technologie doit renforcer, et non remplacer, des contrôles solides, et cela commence par la formation et la sensibilisation. Savoir que ces menaces existent est la première étape pour les contrer. Les fraudeurs ciblent souvent le point de décision humain. La défense la plus solide est donc le contrôle rigoureux des processus. Des éléments comme les approbations doubles, les limites d’opérations, la séparation des responsabilités et les rappels à des numéros de confiance pour effectuer une vérification indépendante.
L’examen humain demeure essentiel, en particulier avant qu’une opération à valeur élevée, urgente ou inhabituelle, soit effectuée, et il est important de mettre à l’essai ces contrôles. Sans effectuer d’essais, vous ne pouvez pas être certain qu’ils fonctionnent comme prévu.
Andre Blanchard :
En plus de ces contrôles humains, et selon votre expérience, que devraient envisager les entreprises avant d’adopter un outil de lutte contre la fraude fondé sur l’IA?
Ryan Powell :
Il faut que l’évaluation demeure pratique et conforme aux politiques de l’entreprise. Commencez par un cas d’utilisation très clair et faites appel à votre équipe de fraude, à la cybersécurité, à la protection des renseignements personnels, à Affaires juridiques, à Gestion du risque, à l’approvisionnement et aux propriétaires d’entreprise, au besoin. Il est essentiel de comprendre les données que l’outil utilise, l’endroit où ces données sont stockées, la façon dont les résultats sont expliqués et la façon dont le rendement est surveillé, et les entreprises doivent utiliser des outils d’entreprise approuvés et éviter d’entrer des renseignements confidentiels sur les opérations ou les services bancaires des employés des clients dans les services publics d’IA sans autorisation et sans mesures de protection appropriées.
Fait tout aussi important, les entreprises doivent avoir des politiques claires et communiquées pour les outils non approuvés afin de s’assurer que leurs employés n’utilisent pas d’outils qui n’ont pas ce type de mesures de protection en place.
Andre Blanchard :
Excellents conseils. Ryan, qu’est-ce que vous retenez de l’IA et de la prévention de la fraude? Q’aimeriez-vous que l’auditoire se concentre sur?
Ryan Powell :
L’IA est un outil de fraude puissant pour l’offensive et la défense. Cela peut rendre les arnaques plus convaincantes, mais cela peut aussi renforcer la surveillance et l’analyse. La défense la plus solide combine une technologie de gouvernance responsable et des processus rigoureux, une vérification indépendante, des employés formés et une soumission à un autre palier d’intervention en temps opportun.
Andre Blanchard :
Ryan, lorsque nous prenons du recul par rapport à ces divers types de fraudes, quelles sont les habitudes plus générales que les entreprises devraient intégrer à leurs processus actuels?
Ryan Powell :
Quelques habitudes de base peuvent vraiment changer les choses. Tout d’abord, utilisez toujours des points d’accès de confiance pour les services bancaires. Cela signifie que vous devez accéder à votre adresse URL habituelle des Services bancaires en ligne au moyen de ce lien enregistré dans vos favoris, plutôt que de vous fier à un résultat du moteur de recherche sur le moment. Deuxièmement, traitez les demandes non sollicitées avec prudence, surtout si elles sont urgentes, les identifiants, l’installation de logiciels, les changements apportés aux paiements ou les renseignements inhabituels sur le compte.
Troisièmement, il est essentiel d’intégrer une vérification indépendante à vos processus de paiement et bancaires. Si quelque chose change, confirmez-le au moyen d’un canal de confiance distinct. Dans les grandes organisations, plusieurs membres de l’équipe peuvent participer à la réception, à l’examen et à l’approbation d’une facture, puis au paiement.
Il est très important que tout le monde comprenne qui est responsable et effectue cette vérification. Quatrièmement, il faut concevoir les contrôles de façon à ce qu’une seule personne ne puisse pas amorcer, approuver et libérer un paiement de nature délicate sans la surveillance appropriée. La séparation des responsabilités, les doubles approbations et les limites d’opérations proportionnelles peuvent réduire l’incidence d’une seule interaction trompeuse.
Enfin, assurez-vous que les employés savent que si quelque chose cloche, ils doivent s’arrêter et soumettre le cas à un autre palier d’intervention. Un court délai de vérification est bien préférable à une décision urgente qui mène à une fraude.
Andre Blanchard :
Ce sont tous des messages forts, en particulier pour les personnes et les équipes qui traitent des paiements jour après jour. La prévention de la fraude n’est donc pas seulement un problème technologique. C’est également un problème de processus et de sensibilisation.
Ryan Powell :
Absolument. La technologie joue un rôle important. Toutefois, comme nous l’avons dit, cela devrait renforcer, et non remplacer, les contrôles de sensibilisation et les pratiques de vérification uniformes.
Andre Blanchard :
Ryan, merci d’avoir été des nôtres et de nous avoir fait part de ces observations pratiques. À nos auditeurs, aujourd’hui, nous avons couvert l’usurpation d’identité dans les banques, la compromission des courriels d’entreprise, l’hameçonnage, les prises de contrôle de téléphones mobiles et d’ordinateurs et l’incidence croissante de l’IA sur la fraude. Voici quelques points à retenir de mon côté. Méfiez-vous des appels, des messages textes, des courriels, des vidéos ou des demandesd’authentification imprévus liés à l’accès aux services bancaires, aux paiements ou à la sécurité des appareils.
Ne vous fiez pas uniquement à l’identification de l’appelant, à une image vocale ou vidéo familière ou à un message soigné comme preuve d’identité. Utilisez uniquement votre adresse URL habituelle des Services bancaires en ligne, idéalement à partir d’une source enregistrée ou ajoutée à vos favoris. Ne fournissez jamais d’identifiants, de NIP, de numéros de jeton ou de codes d’authentification à un appelant non sollicité. N’installez pas de logiciel d’accès à distance, ne partagez pas votre écran et n’approuvez pas un message que vous n’avez pas amorcé. Vérifiez de façon indépendante les demandes d’accès aux paiements ou de sécurité à l’aide d’une méthode de prise de contact de confiance et du processus d’approbation établi. Utilisez uniquement les outils d’IA approuvés, protégez les renseignements confidentiels et conservez un examen humain pour les décisions et les opérations de nature délicate.
Passez en revue les opérations au compte et les messages d’alerte si un appareil, un compte ou une opération pourrait être compromis. Communiquez immédiatement avec votre banque et vos équipes Sécurité interne ou Technologie de l’information. Ryan, merci encore d’être ici et d’avoir cette conversation importante avec nous.
Ryan Powell :
Merci, Andre. Je suis heureux d’avoir l’occasion d’en parler, et j’encourage les entreprises à rester vigilantes et à garder la sensibilisation à la fraude à l’esprit.
Andre Blanchard :
Merci à tous d’avoir écouté le balado de Gestion de trésorerie CIBC. Nous espérons que vous avez trouvé cette discussion utile et pratique pour votre entreprise. Joignez-vous à nous de nouveau la prochaine fois pour en savoir plus sur la gestion de trésorerie, la technologie des paiements et le risque.
Mention juridique :
Les documents divulgués dans ce balado sont à titre informatif seulement et sont assujettis à notre Code de conduite, ainsi qu’aux règles OCRI. Les renseignements et les données contenus dans le présent document ont été obtenus ou tirés de sources jugées fiables, sans vérification indépendante par Marchés des capitaux CIBC, et dans la mesure où ces renseignements et données sont fondés sur des sources à l’extérieur de Marchés des capitaux CIBC, nous ne déclarons pas et ne garantissons pas que ces renseignements ou données sont exacts, adéquats ou complets, nonobstant toute disposition contraire.
Ici, Marchés mondiaux CIBC inc. et ses sociétés affiliées ne doivent assumer aucune responsabilité de quelque nature que ce soit à l’égard du contenu de la présente communication. Cette communication est adaptée à un public en particulier et, par conséquent, ce message est destiné à ce public en particulier seulement.
La diffusion, la rediffusion ou toute autre utilisation du présent message ou des commentaires sur le marché contenus dans le présent message par un destinataire est non autorisée. Cette communication ne doit pas être considérée comme un rapport de recherche. Les services, les titres et les placements dont il est question dans le présent rapport peuvent ne pas être offerts à tous les investisseurs et ne pas convenir à tous.
Rien dans la présente communication ne constitue une recommandation, une offre ou une sollicitation d’achat ou de vente de placements précis abordés aux présentes. Les intervenants de ce balado n’ont pas l’autorisation réelle, implicite ou apparente d’agir au nom d’un émetteur mentionné dans ce balado. Les commentaires et les opinions exprimés dans le présent document sont uniquement ceux des intervenants individuels, sauf si l’auteur les indique expressément.
Les opinions de Marchés mondiaux CIBC inc. Les conférenciers peuvent fournir des points de vue ou des idées de négociation à court terme sur des émetteurs, des titres, des marchandises, des devises ou d’autres instruments financiers, mais les investisseurs ne doivent pas s’attendre à une analyse, à des points de vue ou à des discussions continues sur les instruments abordés aux présentes.
Les renseignements fournis dans le présent document ne constituent pas une base suffisante pour permettre aux investisseurs de prendre une décision de placement éclairée et peuvent changer sans préavis. Marchés des capitaux CIBC en tant que marque de commerce. Ottawa, Banque Canadienne Impériale de Commerce (« CIBC »). Ses filiales et sociétés affiliées offrent des produits et des services à nos clients partout dans le monde.
Pour en savoir plus sur ces entités juridiques, ainsi que sur les produits et services offerts par Marchés des capitaux CIBC, veuillez visiter www.cibccm.com.