Un assureur a évité de verser une réclamation de près de trois millions de dollars après que la Cour supérieure du Québec ait été appelée à trancher ce que couvrait une fraude informatique et une fraude par transfert de fonds dans un contrat d’assurance.
Un cabinet d’avocats estime d’ailleurs que ce cas fera jurisprudence en matière de couverture des cas de fraude par ingénierie sociale.
La juge Suzanne Courchesne a tranché en faveur de Chubb dans une cause qui l’opposait à l’entreprise Future Electronics. Cette dernière avait subi une fraude par courriel lui causant une perte de 2,7 M$ américains.
Des fraudeurs avaient réussi à duper des employés de Future Electronics en se faisant passer pour un fournisseur de l’entreprise. Ils ont alors fait cinq transferts d’argent entre décembre 2016 et en janvier 2017 vers des comptes créés dans diverses banques asiatiques plutôt que dans le compte du fournisseur légitime. Tout s’est passé par courriel, peut-on lire dans le jugement de la juge Courchesne.
Future Electronics a demandé à Chubb de couvrir sa perte comme s’il s’agissait d’une fraude informatique, jugeant que le libellé de la police d’assurance lui donnait couverture. Chubb était d’avis contraire.
Le tribunal a ainsi été appelé à trancher à savoir si la police d’assurance était assez claire en ce qui a trait la garantie contre la fraude informatique ou contre la fraude par transfert de fonds.
La police indiquait que la fraude informatique était couverte sous certaines conditions. Future Electronics prétextait qu’elle était couverte, puisque les transferts de fonds se sont faits par le biais de systèmes informatiques. Sans ordinateur, il ne pouvait donc y avoir de fraude, affirmait-elle aussi. Chubb, de son côté, disait que ce sont les employés qui ont autorisé le transfert de fonds et qu’il ne s’agissait donc plus d’une fraude informatique.
La juge Courchesne a tranché en faveur de l’interprétation de Chubb. Ce sont les employés qui ont été utilisés par les fraudeurs pour commettre leur crime. Ce n’était pas le système informatique, affirme la juge.
La Cour supérieure affirme aussi, contrairement à ce que demandait Future, que la garantie contre la fraude par transfert de fonds ne s’applique pas dans ce cas. Ce type de fraude « désigne les instructions frauduleuses écrites, électroniques, télégraphiques, par câble, par télétype ou par téléphone, adressé à une institution financière ordonnant à cette institution de transférer, de payer ou de livrer de l’argent ou des titres à partir de tout compte tenu par un assuré auprès de cette institution, à l’insu de l’assuré », stipule la police d’assurance de Chubb citée par la juge.
Future affirmait aussi que les employés ne savaient pas que les instructions étaient frauduleuses. Elle affirme que c’est pour cette raison la garantie devait s’appliquer.
Or, la juge Courchesne affirme que les employés étaient « au courant et informés des paiements effectués à partir du compte bancaire de Future, car ils ont expressément autorisé et consenti à de tels virements monétaires ».
Pourquoi ce cas pourrait-il faire jurisprudence ?
La cause a retenu l’attention de deux avocats.
Maurice Charbonneau, avocat chez Trivium Avocats, en retient que pour qu’il y ait fraude informatique, un fraudeur doit utiliser un système informatique pour voler directement de l’argent appartenant à l’assurée.
Il ajoute que la garantie de transferts de fonds ne s’applique alors que lorsqu’un tiers est approché par des fraudeurs pour que les virements soient effectués sans que l’assuré le sache. « Elle ne s’applique pas quand c’est l’assurée elle-même qui change le destinataire des virements », précise-t-il.
Dominic Dupoy, avocat chez Norton Rose Fulbright, en tire la même conclusion. « De l’avis de la Cour, l’avenant relatif à la fraude par ingénierie sociale couvrait expressément le transfert volontaire de fonds par l’assuré à la suite d’un stratagème frauduleux élaboré par un tiers ayant usurpé l’identité d’un fournisseur légitime. Dans sa décision, la Cour s’est appuyée sur le fait que les scénarios de fraude par ingénierie sociale décrits dans la documentation remise à l’assuré avec l’avenant étaient très semblables aux faits en l’espèce », écrit-il dans une analyse qu’il a faite de la décision et dont le Portail de l’assurance a obtenu copie.
M. Dupoy indique que cette décision est une première et qu’elle fera jurisprudence, car elle vient définir clairement les différences entre les trois types de fraudes concernés, explique-t-il. « Alors que la cyberfraude continue de se répandre partout dans le monde, le jugement rendu par la Cour supérieure du Québec fournit des indications utiles sur la question de savoir si les sinistres découlant de cyberfraudes peuvent faire l’objet d’une couverture d’assurance et, dans l’affirmative, sur les couvertures applicables. »
