La victime d’une « fraude du président » est en partie dédommagée par Desjardins

Une société de transport par camionnage a été victime d’un hameçonnage sophistiqué du type « fraude du président » en juin 2020. Dans une décision récente rendue par la Cour supérieure du Québec, l’institution financière a été jugée « partiellement » responsable de la perte de l’entreprise victime de la fraude.

Groupe TYT est une entreprise œuvrant dans le transport de marchandises par camion établie à Drummondville. Le groupe compte environ 225 employés. Il détient plusieurs comptes à la Caisse Desjardins de Drummondville. Cette dernière de même que la Fédération des caisses Desjardins du Québec sont les défenderesses dans la poursuite intentée par le transporteur, qui leur réclamait plus de 1,5 million de dollars (M$). Faute de mention à cet égard dans la décision du tribunal, on ne peut que présumer que le transporteur n’était pas assuré contre ce type d’événement relevant de la cybersécurité.

Le compte-chèques de l’entreprise, ouvert depuis 2011, est intégré à la plateforme en ligne AccèsD. Lors des cinq transferts associés à la fraude ayant eu lieu en juin 2020, le compte est également lié à une marge de crédit. Au plus fort de la pandémie de COVID-19, alors que l’activité économique tourne au ralenti, la société éprouve des problèmes de liquidité. En avril 2020, Groupe TYT obtient un prêt de 1,5 million de dollars du gouvernement fédéral.

En se faisant passer pour le président de TYT, Patrick Turcotte, les fraudeurs ont amené la chef comptable Line Blais à effectuer les transferts. Un faux intermédiaire se présentant comme un avocat à l’emploi de Deloitte, Me Didier Ferguson, parle aussi à Mme Blais, laquelle est astreinte à la confidentialité. Le prétexte des transferts est une offre publique d’achat (OPA) confidentielle qui nécessite ces virements d’argent vers l’Asie.

La comptable en viendra à fournir aux fraudeurs des renseignements financiers sur les soldes bancaires et la limite quotidienne autorisée pour effectuer des virements électroniques internationaux. Fort de cette connaissance, les fraudeurs donnent les instructions requises à Mme Blais pour procéder aux transferts, qui ont lieu du 8 au 15 juin 2020. Les cinq transferts totalisent 1,75 M$ américains, soit environ 2,36 M$ canadiens.

Dès le 9 juin, une analyste du département Sécurité Prévention Fraude de Desjardins contacte la comptable au sujet des deux premiers virements. En raison des réponses de la comptable de TYT, les fonds qui étaient gelés sont virés. Les 3^e et 4e virements ne font pas l’objet d’un suivi par l’institution financière, car ils impliquent le même bénéficiaire, en l’occurrence la société Quintian Bozai Trading Co.

Le 15 juin, le cinquième et dernier virement est effectué vers la Chine. Comme il s’agit d’un nouveau bénéficiaire, une autre analyste de Desjardins évalue sa légitimité. Le virement a lieu quand même. La fraude est découverte le 16 juin 2020.

Insatisfaite des réponses de Desjardins, Groupe TYT demande l’intervention du cabinet Dentons. Les deux derniers virements sont récupérés, mais pour les trois premiers, les fonds sont définitivement perdus. La perte du transporteur est de 1 063 044 $ US, soit environ 1,43 million de dollars canadiens.

Long procès

Durant le procès qui a nécessité une dizaine de journées d’audience à Drummondville en novembre et décembre 2025, les parties ont fait entendre plusieurs experts relativement aux mesures de sécurité associées aux transactions électroniques, incluant les contrôles internes de part et d’autre. Le litige en devient plus complexe à trancher, ce qui explique la longueur de la décision rendue le 11 mai 2026 par le juge David Roberge, qui compte 68 pages et 438 paragraphes.

Desjardins allègue que la comptable a menti en faisant des déclarations fausses ou inexactes en lien avec les transferts en litige et, en conséquence, elle estime que la victime ne sera pas indemnisée en raison de ce comportement répréhensible. Ce premier moyen de défense est rejeté par le tribunal.

La comptable visée par la fraude du président a été « manipulée par des fraudeurs et n’a pas tiré profit de sa mauvaise conduite », selon le juge Roberge. Si les déclarations de Mme Blais constituent un volet de l’analyse, elles ne suffisent pas à occulter la révision de l’ensemble de la conduite des parties, incluant celle de Desjardins.

Groupe TYT allègue que Desjardins a eu un comportement fautif dans le cadre des vérifications sur les transferts électroniques internationaux. Pour sa défense, Desjardins affirme que les renseignements transmis par l’entreprise ne laissaient présager aucune fraude.

Le tribunal conclut que la responsabilité de Desjardins est engagée envers Groupe TYT, notamment en raison de la première intervention faite par Sindy Madore le 9 juin 2020.

L’alerte

Au moment des faits, Mme Blais occupe le poste de chef comptable depuis février 2020 à la suite du départ en congé de maternité d’une collègue. Le courriel reçu par le faux président le 8 juin 2020 lui demande de suivre les directives de Me Ferguson et le fraudeur lui souligne le caractère prioritaire et confidentiel de l’opération. Les deux premiers virements sont interceptés par le système Firco mis en place chez Desjardins depuis 2018.

L’algorithme détecte les transactions bancaires irrégulières et une alerte est suivie d’une intervention humaine chez Desjardins et, selon le cas, d’une procédure d’analyse. Les scénarios de fraude à éliminer visent principalement celle du faux fournisseur, celle du faux président et celle de l’employé fraudeur.

La première conversation entre Sindy Madore et Line Blais n’est pas enregistrée. Leurs témoignages divergent sur des éléments importants. La comptable explique que Mme Madore se présente comme travaillant au département de sécurité de Desjardins et lui demande si le premier transfert est relié à de la marchandise reçue de la part d’un nouveau fournisseur. Pour ne pas faire avorter l’OPA et suivre les directives du soi-disant patron et de Me Ferguson, la comptable confirme que oui et dit avoir eu des échanges verbaux avec le fournisseur.

Mme Blais témoigne qu’il n’a jamais alors été question de la possibilité d’une « fraude du président » et que Mme Madore n’a pas abordé le sujet. Le tribunal note qu’en fonction de l’historique des transactions dans le compte de Groupe TYT, il y a pourtant des indicateurs que ces virements du 8 et du 9 juin dérogent du profil habituel de l’entreprise.

Dans la soirée du 9 juin, la comptable demande à l’expéditeur du courriel de la rassurer. Ce dernier lui réitère l’importance de suivre les consignes de Me Ferguson et mentionne avoir signé un financement externe qui viendra compenser les virements à l’international. Il ajoute que seul l’avocat est autorisé à discuter du dossier de vive voix avec elle.

Deux autres virements sont faits le 10 et le 11 juin. Encore une fois interceptés par le système Firco, ils sont autorisés par Desjardins, vu les vérifications antérieures faites concernant les mêmes parties à la transaction. Le 15 juin, Me Ferguson envoie à la comptable ce qui apparaît comme une confirmation d’un virement international en transit. Le cinquième versement a lieu le même jour.

Après la découverte de la fraude le 16 juin 2020, les parties réclament l’intervention des enquêteurs spécialisés en cybercriminalité de la Sûreté du Québec. L’enquête ne permet pas d’identifier les fraudeurs. Le dossier est fermé.

Partage de la responsabilité

La « fraude du président » est bien connue des institutions financières depuis au moins 2015, indique le juge Roberge. Le dossier requiert principalement de déterminer si Desjardins a effectué des vérifications raisonnables eu égard aux transferts électroniques en litige, pour détecter et prévenir le risque de « fraude du président ».

La plateforme AccèsD offre la possibilité de requérir une double signature pour les vérifications électroniques, selon le seuil monétaire souhaité. La convention associée au compte de Groupe TYT ne le prévoit pas. Des activités de sensibilisation à la cybersécurité sont faites occasionnellement, car l’entreprise a été l’objet d’une cyberattaque en 2018. De son côté, Desjardins dispose de deux équipes distinctes pour traiter et analyser les transactions soulevant un risque de fraude. La trousse CyberEco traite expressément de la « fraude du président » et de ses caractéristiques.

Le tribunal rappelle que dans le contexte d’une action en dommages, son rôle se limite à évaluer si la conduite des parties est conciliable avec la norme du comportement raisonnable. Il est acquis que l’obligation de prudence et de diligence de l’institution financière est accrue dans le contexte d’un transfert électronique de fonds.

La jurisprudence citée par les parties recense deux cas en matière de « fraude du président » soit l’affaire Alfagomma c. HSBC Bank, tranchée en avril 2022, et l’affaire Concessions Caravane 1986 c. Toronto Dominion Bank, en mai 2020. Le tribunal note toutefois que dans ces deux précédents, le tribunal n’a pas eu à analyser la teneur des vérifications faites par la banque, car rien n’avait été fait pour valider la légitimité de la transaction, contrairement au présent dossier.

Conduite prudente et diligente

Le tribunal analyse la conduite des parties et conclut que « Desjardins n’a pas adopté une conduite raisonnablement prudente et diligente dans le cadre des transferts électroniques en litige ». Les cinq transferts en litige ont été interceptés par le système automatisé Firco de Desjardins. L’institution financière « était éveillée » et devait vérifier la légitimité des virements. « La question est de savoir si les mesures prises étaient raisonnables. »

L’intervention de Mme Madore auprès de Mme Blais, en date du 9 juin 2020, est centrale au présent litige, selon tribunal. Le juge détermine que la première a omis « de fournir des explications suffisantes sur les caractéristiques de la fraude du président et de poser des questions précises » à la comptable. Ce faisant, le scénario de la « fraude du président » a été évacué. Il n’existe pas d’enregistrement de la discussion du 9 juin et les témoignages des deux personnes concernées se contredisent sur quelques points.

La version des faits de la comptable lors du procès est cohérente avec sa déclaration à la police lors de la période contemporaine à la perte et aussi à son interrogatoire préalable. Dans le cas de l’analyste de Desjardins, ses souvenirs de la conversation sont plus flous, ce qui est normal vu qu’elle en tient plusieurs chaque jour dans le cadre de son travail.

La preuve montre que la discussion entre les deux femmes s’oriente rapidement vers des questions de sécurité relativement aux transactions associées à un fournisseur. Alors que Mme Madore a participé à des centaines d’interventions du genre, l’expérience de Mme Blais est unique et son souvenir a certainement été cristallisé après la découverte de la fraude. L’analyste s’est limitée à demander à la comptable si elle avait « parlé à quelqu’un » et elle a déduit « par la bande » qu’il s’agissait du fournisseur.

Avec une intervention mieux ciblée, l’analyste aurait compris que la comptable avait parlé avec un avocat, et non à un fournisseur, et que les instructions provenaient par courriel du présumé Turcotte. Ces irrégularités constatées, la fraude aurait été découverte plus rapidement. En raison du flou de la note contemporaine de l’analyste et de l’appréciation des témoignages, le tribunal conclut que la version de la comptable est plus crédible.

Une trousse utile

La trousse CyberEco contient « un exemple de courriel quasi identique à celui transmis à Blais par le soi-disant Turcotte ». Cette information n’a jamais été mentionnée aux représentants de Groupe TYT. « L’analyste de Desjardins se devait de fournir des explications suffisantes sur les caractéristiques de la fraude du président et de poser des questions ciblées, notamment clarifier qui donnait les instructions », indique le tribunal. L’analyste a orienté ses questions vers une fraude du faux fournisseur. Par un effet d’entonnoir, la possibilité d’une « fraude du président » a été prématurément escamotée.

Les montants des transferts internationaux et leur destination en Asie étaient « vraiment hors norme » par rapport aux transactions antérieures de Groupe TYT. Desjardins a manqué à son obligation de prudence pour les deux premiers virements, même si les réponses de la comptable lui ont fait conclure que les transactions étaient légitimes. La preuve ne démontre pas qu’un appel de l’analyste auprès d’un autre dirigeant du transporteur aurait permis de révéler la fraude.

Le tribunal est d’avis qu’il était téméraire pour Desjardins de libérer les fonds les 10 et 11 juin 2020 sur la base d’un seul critère, soit l’identité du bénéficiaire, sans autre forme d’analyse et dans le contexte où des transferts internationaux irréguliers se multiplient chaque jour au compte de Groupe TYT.

Concernant la formation des analystes et la procédure d’intervention en vigueur chez Desjardins en juin 2020, au paragraphe 210, le tribunal conclut que l’institution financière « a manqué à son obligation de fournir une formation appropriée à Madore en matière de détection des fraudes bancaires ». En dépit de l’absence d’expérience pratique de Mme Madore, aucune procédure n’était établie quant aux démarches à accomplir par les analystes lors de leurs interventions visant à valider la légitimité des transactions. Desjardins ne pouvait omettre l’un et l’autre sans encourir sa responsabilité dans le présent dossier, précise le tribunal.

Le tribunal rejette cependant les autres moyens avancés par la demanderesse concernant la sécurité de la plateforme AccèsD et la conduite de l’institution financière après la découverte de la fraude.

Le 19 juin 2020, alors que Groupe TYT a encore bon espoir de récupérer les 2e et 3e transferts, elle demande à Desjardins de partager les frais des démarches du cabinet Dentons. L’institution financière refuse le 23 juin, mais Dentons a déjà mis fin à ces efforts dès le 22 juin, en raison du temps écoulé. Le tribunal n’y voit pas de manquement à une conduite raisonnable de la part de l’institution financière. Le tribunal rejette la réclamation de Groupe TYT pour les honoraires de Dentons.

La contribution de l’entreprise

Desjardins allègue que la seule cause des dommages du tranporteur repose sur sa propre négligence. Mme Blais n’est pas une fraudeuse, mais une employée dupée, rappelle le juge Roberge. Il y a lieu de croire qu’une discussion plus approfondie avec une analyse bien qualifiée chez Desjardins aurait éveillé la comptable au stratagème utilisé et changé le résultat. Les deux premiers transferts auraient été bloqués et les autres n’auraient jamais eu lieu.

Le tribunal conclut que la comptable n’a pas fait preuve de crédulité fautive ni d’aveuglement volontaire, car elle a entretenu des doutes et posé des questions qui ont été habilement contournées par les fraudeurs. Desjardins énumère une longue liste de reproches à son égard, mais le tribunal estime que plusieurs de ces allégations relèvent d’une vision rétrospective des événements.

Là où le bât blesse pour la demanderesse, ce sont les déclarations de la comptable faites aux analystes de Desjardins qui ne reflètent pas la réalité et sont même fausses et trompeuses à certains égards. La comptable reconnaît qu’en faisant de telles déclarations, elle voulait éviter le blocage ou la suspension des transferts par Desjardins. Ces déclarations fautives emportent la responsabilité de TYT.

Le tribunal est d’avis que l’entreprise a fait preuve de négligence en n’implantant aucune segmentation des tâches impliquant la comptable. En juin 2020, elle avait toutes les autorisations requises pour effectuer les cinq virements sans aucune forme de contre-vérification. Son supérieur ignorait même la nature des transactions que Mme Blais pouvait faire via la plateforme AccèsD.

Le tribunal conclut que Groupe TYT a droit à 25% du montant total du quantum, établi à 1 427 027,62 $, soit la somme correspondant aux trois premiers virements à laquelle on ajoute 75% de frais bancaires lors des cinq transactions. Le juge Roberge rappelle qu’il s’agit là d’un exercice discrétionnaire qui implique de comparer la gravité des fautes et leur impact causal.

En raison des lacunes de gouvernance interne de l’entreprise et des déclarations trompeuses de la comptable, la part de responsabilité de TYT est plus élevée que celle découlant des manquements de Desjardins, selon le tribunal. La demanderesse a droit à un montant de 356 756,90 $.

Les intérêts et l’indemnité additionnelle seront calculés à partir du 30 juin 2020, date de la mise en demeure faite à la défenderesse. Seule la Fédération est condamnée à rembourser ce montant, la Caisse Desjardins de Drummondville n’ayant commis aucune faute. Le tribunal limite aussi la réclamation de TYT à 25% des frais de justice et d’expertise.