Cyberrisque : l'angle mort des courtiers

Tous les Canadiens ont déjà entendu le terme cybercriminalité, mais la plupart le considèrent comme une préoccupation relevant du service des technologies de l'information.

Malheureusement, ce qui est le plus souvent perdu de vue dans les discussions sur la cybersécurité ou la cybercriminalité, c'est que les attaques les plus efficaces dans le contexte actuel n'ont pratiquement rien à voir avec la technologie.

L'ingénierie sociale — soit la pratique consistant à manipuler des personnes pour les amener à faire quelque chose qu'elles n'auraient pas fait autrement — est désormais la principale menace pour les Canadiens. Ce ne sont ni les logiciels malveillants, ni les vulnérabilités de type zero-day, ni les techniques d'intrusion sophistiquées. Il s'agit plutôt d'un appel téléphonique, d'un message texte ou d'un courriel qui ressemble en tous points à celui envoyé par votre banque.

Les chiffres le confirment. Selon le rapport statistique annuel 2024 du Centre antifraude du Canada, les Canadiens ont déclaré des pertes liées à la fraude totalisant 638 millions de dollars cette année-là. Le Centre estime toutefois que ces signalements ne représentent que de 5% à 10% des pertes réellement subies.

Ces attaques fonctionnent non pas parce que les Canadiens sont négligents ou naïfs, mais parce qu'ils sont humains. Elles exploitent ce qui nous est familier, notre confiance, le sentiment d'urgence, notre instinct d'aider les autres, notre crainte d'avoir des ennuis, et elles le font avec une sophistication croissante.

L'escroc qui appelle une personne âgée en prétendant représenter l'Agence du revenu du Canada ne cherche pas à pirater quoi que ce soit. Il tente de l'effrayer pour l'amener à prendre une mauvaise décision avant qu'elle n'ait le temps de réfléchir. Et cette stratégie fonctionne plus souvent qu'elle ne le devrait.

À cela s'ajoute le fait que les outils utilisés par les cybercriminels sont devenus extrêmement accessibles. Ils sont si faciles à déployer à grande échelle que le ciblage des ménages ordinaires est devenu monnaie courante. Il n'est pas nécessaire de disposer d'une organisation sophistiquée pour lancer une campagne d'hameçonnage, ni d'une expertise technique pour se faire passer pour une banque, un organisme gouvernemental ou un petit-enfant en détresse. Il suffit d'un modèle de message, d'une liste d'adresses courriel et de la certitude raisonnable qu'en lançant le filet assez largement, quelqu'un finira par mordre à l'hameçon.

Ce changement transforme complètement la donne. Si l'attaque vise la confiance d'une personne plutôt qu'une faille dans un système, aucune défense technologique ne peut y répondre. Aucune mise à jour logicielle ne corrige un moment de panique. Aucun pare-feu n'empêche un virement bancaire que le titulaire du compte effectue de son plein gré.

Nous avons plutôt besoin d'une meilleure sensibilisation, de meilleures habitudes et de conseils calmes et éclairés de la part des professionnels en qui les gens ont déjà confiance. Mais où sont passés ces professionnels?

Une conversation que l'industrie évite depuis trop longtemps

Appelons les choses par leur nom : il s'agit d'un angle mort. Pendant des années, les professionnels à qui les Canadiens confient leurs finances — leurs conseillers, leurs courtiers et leurs planificateurs financiers — ont considéré que le cyberrisque relevait de quelqu'un d'autre. Cette position pouvait se défendre lorsque les produits étaient peu développés et les données limitées. Ce n'est plus le cas aujourd'hui.

Les choses ont changé. Les professionnels doivent commencer à réfléchir à ce que représente l'exposition de leurs clients aux cyberrisques. Pensons aux identifiants de leur compte de placement volés à la suite d'une campagne d'hameçonnage. À leur identité utilisée pour produire une déclaration de revenus frauduleuse. À un parent âgé qui transfère de l'argent à un fraudeur après que celui-ci a passé trois mois à bâtir une fausse relation par téléphone. Ou encore au compte de courriel d'une petite entreprise compromis, ce qui amène un fournisseur à effectuer le paiement de biens ou de services dans le compte bancaire d'un fraudeur.

Ces événements peuvent avoir des conséquences dévastatrices pour les Canadiens et, en l'absence d'une police d'assurance contre les cyberrisques, il est peu probable que ces pertes soient couvertes.

Les risques sont bien réels, et les moyens de s'en protéger le sont désormais tout autant. Connaître les deux n'est plus une option : cela fait maintenant partie du travail. Un conseiller qui n'est pas en mesure de parler des risques de cybercriminalité auxquels son client est exposé et de lui proposer de véritables solutions laisse un vide que quelqu'un d'autre comblera.

Tout courtier qui mérite les honoraires qu'il perçoit n'attendra pas que le client aborde le sujet. Il le soulèvera lui-même, acceptera les trente secondes de malaise qui suivront et aura cette conversation avant que les fraudeurs ne le fassent. Pour bien des conseillers, il pourrait s'agir de la conversation la plus importante de l'année.

Le cyberrisque est arrivé à maturité

La cyberassurance destinée aux particuliers n'est plus un produit de niche. Il s'agit désormais d'un produit d'assurance légitime et fonctionnel qui couvre des pertes devenues courantes pour les Canadiens. Alors, pourquoi le Canadien moyen possède-t-il une assurance habitation, une assurance automobile et une assurance vie, mais presque rien pour le protéger contre le risque qui est le plus susceptible de perturber sa situation financière cette année?

La question n'est plus de savoir si cette protection est pertinente, mais pourquoi si peu de personnes en bénéficient et qui est responsable de cette lacune.

La réponse comporte trois volets. D'abord, il y a le manque de sensibilisation. Ensuite, l'association de longue date entre le cyberrisque et les services informatiques des entreprises. Enfin, le fait que l'industrie n'a pas toujours facilité l'ouverture de cette conversation.

Il n'y a désormais plus aucune excuse pour éviter le sujet. Les produits sont meilleurs, les données sont plus claires et, franchement, les clients sont déjà inquiets. De plus, le coût réel de ces fraudes est plusieurs fois supérieur à ce que les Canadiens déclarent effectivement. Les Canadiens placent déjà la fraude et le vol d'identité devant le vol de véhicule, les introductions par effraction et la criminalité de rue parmi leurs principales préoccupations. Ils s'inquiètent exactement de ce qui devrait les inquiéter. La véritable question est de savoir si leurs conseillers ou courtiers en font autant.