Un faux courriel, un vrai paiement… et une dette à payer deux fois?

Comment la fraude fonctionne-t-elle?

Le fraudeur peut créer une adresse presque identique à celle du créancier, prendre le contrôle d'une véritable boîte courriel ou intercepter une chaîne de messages. Il reproduit le ton des échanges, joint une facture réelle et remplace les instructions de paiement. Les indices sont parfois subtils : une lettre de plus dans le nom de domaine, un compte situé dans une autre province ou un autre pays, un nouveau bénéficiaire, une urgence inhabituelle ou une demande de contourner la procédure normale.

Exemple. Une entreprise doit 40 000 $ à un fournisseur habituel. Le jour précédant l'échéance, elle reçoit un message lui demandant de payer une « filiale » dans un nouveau compte. La facture jointe est exacte, mais le bénéficiaire et la banque ont changé. Sans vérification indépendante, le virement est envoyé au fraudeur. La question devient alors : ce paiement libère-t-il l'entreprise de sa dette?

Le paiement au fraudeur est-il libératoire?

En principe, le paiement doit être fait au créancier ou à une personne autorisée à le recevoir pour lui, conformément à l’article 1557 du Code civil du Québec. L’article 1559 prévoit toutefois que le paiement fait de bonne foi au créancier apparent peut être valable. Cette exception ne repose pas uniquement sur la sincérité du débiteur : sa croyance doit aussi être objectivement légitime, compte tenu des circonstances.

La jurisprudence québécoise montre que le résultat dépend fortement des faits. Dans Ronsco inc. c. MWL Brasil Rodas & Eixos Ltda², un paiement de 210 000 $ US effectué à une société inconnue, au Japon, n’a pas libéré le débiteur : des anomalies auraient dû l’inciter à procéder à des vérifications élémentaires. À l’inverse, dans 3014703 Canada inc. (Acorr) c. Spiritueux Iberville inc³., le tribunal a retenu que les instructions provenaient, en apparence, de la directrice de crédit avec laquelle le débiteur traitait habituellement et que la conduite du créancier avait contribué à créer cette apparence en négligeant d’assurer l’intégrité de ses infrastructures informatiques. Ces décisions ne créent donc pas une règle automatique : chaque dossier doit être analysé dans son contexte.

Ce que la Cour examinera

• L'origine de l'apparence : les motifs de croire à l'autorité du tiers émanaient-ils du créancier légitime ou seulement du fraudeur?
• La bonne foi et la prudence du débiteur : a-t-il agi comme une personne raisonnable placée dans les mêmes circonstances?
• Les signaux d'alarme : changement soudain de bénéficiaire, compte à l'étranger, adresse courriel légèrement différente, urgence, incohérence de montant ou de ton.
• La valeur et le caractère inhabituel de l'opération : plus la somme ou le risque est élevé, plus les vérifications attendues sont importantes.
• La relation antérieure : s'agissait-il d'un interlocuteur connu, autorisé et habituel, ou d'une nouvelle personne?
• La conduite du créancier : sécurité de ses systèmes, contrôle des accès, procédures de paiement, avis transmis aux clients et réaction après la survenance d'un cyberincident.
• La preuve disponible : courriels complets, en-têtes techniques, journaux d'accès, politiques internes, appels de validation et démarches auprès des banques.

Débiteur et créancier : des obligations qui se répondent

Pour le débiteur, la bonne foi, à elle seule, ne suffit pas toujours. Une simple instruction reçue par courriel peut être insuffisante lorsqu’elle modifie un processus établi. Un appel au numéro déjà connu du fournisseur, effectué sans utiliser les coordonnées indiquées dans le message suspect, peut éviter une perte majeure. À défaut, le débiteur risque de devoir payer une seconde fois, puis de tenter de récupérer les fonds auprès du fraudeur, de sa banque ou de son assureur, un processus qui peut s’avérer coûteux et chronophage.

Pour le créancier, il ne suffit pas toujours d’affirmer que le courriel était frauduleux. Sa propre conduite peut être scrutée : ses pratiques ont-elles permis à un tiers de paraître autorisé? Avait-il sécurisé ses comptes, limité les droits d’accès, activé l’authentification multifacteur et instauré une procédure claire pour les changements bancaires? A-t-il conservé les traces utiles et réagi rapidement? Une négligence causale peut engager sa responsabilité ou influer sur la répartition du préjudice.

Le rôle possible des banques et des assureurs

Une institution financière n’a pas à s’immiscer dans toutes les affaires de son client. Elle est toutefois tenue d’agir avec prudence et diligence. Lorsque des indices sérieux auraient éveillé les soupçons d’un banquier raisonnable — montants inhabituels, transferts successifs vers de nouveaux bénéficiaires, destinations sans lien avec les activités du client ou contournement des contrôles internes — elle peut devoir suspendre l’opération et effectuer des vérifications. Sa responsabilité ne découle donc pas du seul fait qu’une fraude a réussi; il faut établir qu’elle a commis une faute qui a facilité la perpétration de la fraude.

Les protections d’assurance varient considérablement. Une police de cyberrisques, de fraude, de détournement ou de criminalité peut couvrir certains événements, mais les définitions, exclusions, franchises, obligations de notification et exigences de contrôle doivent être examinées rapidement. Un retard dans l’avis donné à l’assureur ou l’absence de mesures de sécurité promises au contrat peut compliquer voire compromettre le droit à l’indemnisation.

Prévenir plutôt que plaider : les bons réflexes

• Pour le débiteur : valider tout changement de coordonnées bancaires par un second canal fiable; utiliser un numéro de téléphone déjà connu; imposer une double approbation selon le montant; comparer le nom du bénéficiaire, le pays, la banque et la facture; conserver la preuve des vérifications.
• Pour le créancier : activer l'authentification multifacteur; limiter et revoir les accès; protéger les noms de domaine voisins; formaliser les changements bancaires; avertir clairement les clients de la procédure; surveiller les paiements attendus et documenter les incidents.
• En cas de fraude : communiquer immédiatement avec les institutions financières pour tenter un rappel ou un gel; préserver les courriels et leurs en-têtes; aviser l'assureur et les autorités compétentes; éviter de modifier ou supprimer les appareils et journaux pertinents; consulter rapidement un avocat.

Ce qu'il faut retenir : Agissez rapidement! Un paiement détourné par courriel ne règle pas automatiquement la dette. La Cour examinera la vigilance du débiteur, l'apparence créée ou entretenue par le créancier, les anomalies de la transaction, les contrôles de sécurité et la réaction des banques et des assureurs. Les premières heures sont souvent déterminantes pour récupérer les fonds et préserver la preuve.

‍

- Avec la précieuse collaboration de Valencia Mupesse Mbelu, stagiaire en droit.