Comment les fraudeurs utilisent les données divulguées pour personnaliser l’hameçonnage, et comment le repérer

L’ancien conseil pour repérer l’hameçonnage était de chercher les fautes d’orthographe et le « Cher client » générique. Ce conseil perd de son utilité. Les fuites mettent en circulation de vrais noms, adresses, numéros de téléphone et historiques de commandes, et c’est exactement ce qui donne l’impression qu’un message frauduleux vous est vraiment destiné.

Du générique au personnel

Le Centre canadien pour la cybersécurité décrit l’hameçonnage ciblé comme une attaque personnalisée qui inclut des détails sur la cible, comme ses intérêts, ses activités récentes en ligne ou ses achats. Ces détails demandaient autrefois des efforts à recueillir. Aujourd’hui, une seule fuite peut les fournir en masse.

Prenez une fuite typique chez un détaillant. La fuite chez Canadian Tire, par exemple, a exposé des noms, des adresses courriel, des numéros de téléphone et des adresses domiciliaires, avec des données de carte partielles pour certains comptes. Rien de cela ne permet de se connecter ni de dépenser. Mais ensemble, ces données permettent à un fraudeur d’écrire :

• un texto qui utilise votre prénom et mentionne un magasin que vous fréquentez vraiment
• un courriel au sujet d’un « remboursement » sur une carte se terminant par les bons chiffres
• un appel de « l’équipe antifraude de votre banque » qui connaît déjà votre adresse

Le Centre pour la cybersécurité prévient aussi que l’IA générative rend les messages plus réalistes et aide les attaquants à recueillir et analyser l’information publique sur leurs cibles. Les fautes d’orthographe et un ton robotique ne sont plus des indices fiables.

Ça fonctionne

Au cours des six premiers mois de 2026, les Canadiens ont déclaré des pertes d’environ 57,7 millions de dollars liées à l’hameçonnage ciblé, selon le Centre antifraude du Canada, contre plus de 68 millions pour toute l’année 2025. Une bonne partie de ces cas visent des entreprises, en se faisant passer pour des dirigeants ou des fournisseurs afin de détourner des paiements. Le CAFC souligne aussi la fraude du faux enquêteur bancaire, où l’appelant se fait passer pour votre banque ou la police et affirme que votre compte est compromis : environ 28,6 millions de dollars de pertes déclarées pendant les mêmes six mois. Le CAFC estime que seulement 5 % à 10 % des fraudes sont signalées.

Les indices qui fonctionnent encore

Des détails personnels prouvent seulement que quelqu’un a vos détails. Regardez plutôt ce que le message vous demande de faire :

1. C’est urgent. Une échéance, un compte bloqué, un colis sur le point d’être retourné, un débit sur le point de passer. La pression, c’est le but.
2. On veut un code, un mot de passe ou un accès à distance. Le CAFC est clair : ni lui ni la police ne vous demanderont jamais vos renseignements bancaires, vos mots de passe, vos codes de vérification ou un accès à distance à votre appareil. Considérez tout appelant qui le fait comme un fraudeur, peu importe qui il prétend être.
3. On veut que vous déplaciez de l’argent. Un « compte sécuritaire », des frais pour débloquer un remboursement, un paiement en cartes-cadeaux ou en cryptomonnaie.
4. On vous fournit le moyen de répondre. Un lien, un code QR, un numéro de téléphone dans le message. Ce sont les éléments que le fraudeur contrôle.
5. On vous demande de garder le silence. Le CAFC cite le fait de devoir garder une « enquête » confidentielle parmi les signes de la fraude du faux enquêteur bancaire.

Quoi faire plutôt

• Utilisez un moyen que vous trouvez vous-même. Raccrochez et appelez le numéro au dos de votre carte. Tapez l’adresse du magasin dans votre navigateur. Ouvrez l’application directement. Cette seule habitude déjoue la plupart des versions de l’arnaque.
• Ralentissez. Le premier conseil du CAFC est de vérifier de façon indépendante toute demande inattendue avant d’agir. Parlez-en à une personne de confiance si vous sentez de la pression.
• Rendez les détails volés moins utiles. Utilisez des clés d’accès ou une application d’authentification pour vos comptes importants, pour qu’un mot de passe ou un code hameçonné ne suffise pas à lui seul. Notre guide pour verrouiller vos comptes Google et Apple est un bon point de départ.
• Signalez-le. Si vous avez perdu de l’argent ou communiqué des renseignements bancaires, appelez d’abord votre banque. Signalez ensuite la fraude à votre police locale et au Centre antifraude du Canada.

Sources

• Centre canadien pour la cybersécurité, Ne mordez pas à l’hameçon : Reconnaître et prévenir les attaques par hameçonnage (ITSAP.00.101), novembre 2025
• Centre antifraude du Canada, Tendances en matière de fraude – 1er semestre 2026, août 2026
• Centre antifraude du Canada, Fraudeurs qui se présentent comme des agents du CAFC, juillet 2026
• Société Canadian Tire, « Customer Information: October 2025 Cyber Incident » (en anglais)