Leur compte vidé par des fraudeurs, les banques s'en lavent les mains

Des Québécois victimes de virements bancaires vers l’étranger sans leur autorisation trouvent de plus en plus difficile de convaincre leur institution bancaire qu’il s’agit d’une fraude. 

Geneviève Desrosiers, de Montréal, tente depuis des mois de récupérer les 15 000 $ disparus de son compte de la BMO.

 

«Ils [les fraudeurs] ont fait un premier virement de 7450 $ au nom de Felipe Marin Benito, un montant en euros», relate-t-elle à l’émission J.E, qui sera diffusée ce soir à 21 h 30 sur les ondes de TVA.  

Les fraudeurs ont utilisé une nouvelle fonction de l’application mobile offerte aux clients de cette banque depuis un peu plus d’un an, «Virement de fonds global BMO». La banque affirme que ce type de virement permet d’envoyer de l’argent dans une cinquantaine de pays à peu de frais, de manière sécuritaire.  

M^me Desrosiers a alerté la BMO dès qu’elle a vu le transfert suspect. «Quand j’ai appelé, ils m’ont dit : ‘‘ça fait juste une heure que c’est fait [...] On ne peut pas l’intercepter parce que c’est marqué approuvé”.» 

Une semaine plus tard, elle constate un autre transfert de 7500 $. 

«Un nouveau nom, en Espagne encore une fois. J’ai appelé la banque et j’ai dit : ‘‘dépêchez-vous de l’intercepter, ce n’est pas encore déposé’’. Ils l’ont laissé aller!», déplore-t-elle.

• Écoutez le segment judiciaire avec Félix Séguin où il discute de J.E en début de segment diffusé chaque jour en direct 8 h 35 via QUB radio 

Refus de rembourser

La BMO refuse de lui rembourser les 15 000 $, car elle soutient que les transactions proviennent de l’adresse IP de Mme Desrosiers. Elle refuse aussi de lui remettre son rapport d’enquête, ce que s’explique mal l’expert en sécurité informatique Éric Parent. 

«Il y a plein de manœuvres qui pourraient permettre de falsifier cette information-là [à propos de l’adresse IP]», dit-il.

Pourtant, Geneviève Desrosiers a rempli les obligations du contrat qui la lie à sa banque, selon l’avocate Sylvie de Bellefeuille, d’Option consommateur.  

«C’est plus facile de prouver quelque chose qu’on a fait, que quelque chose qu’on n’a pas fait», déplore-t-elle. 

Plus chanceuse

Une autre consommatrice, Marie Aubry, cliente de la Banque Nationale, dit avoir été victime d’un stratagème similaire.

«Toutes mes économies, 8500 $, qui seraient parties en Angleterre. Il y a eu six virements au total», rapporte-t-elle. 

Même si elle a longtemps cru ne jamais revoir la couleur de son argent, M^me Aubry a eu plus de chance que M^me Desrosiers. Lorsque nous avons contacté par courriel l’Association des banquiers canadiens, qui représente l’industrie au pays, M^me Aubry a reçu quelques heures plus tard un appel de la Banque Nationale.

«On m’a annoncé qu’il y a trop de choses inexplicables et qu’ils allaient rembourser intégralement mes pertes», relate-t-elle.  

BMO, de son côté, va perdre une très bonne cliente en M^me Desrosiers. 

«Moi, j’ai mon fonds de pension, mon REER, mon prêt hypothécaire, ma marge de crédit, ma carte de crédit, j’ai tout avec eux. Ils sont prêts à perdre une cliente pour 15 000 $!», déplore-t-elle.

Ils déjouent la double identification

Les fraudeurs peuvent maintenant déjouer l’identification à deux facteurs, utilisée par les banques comme mesure de sécurité supplémentaire. 

C’est exactement ce qui semble s’être produit dans les cas de M^me Aubry et de M^me Desrosiers. 

Cette dernière s’est rendue jusqu’à l’ombudsman de la BMO pour défendre sa cause, sans succès. L’ombudsman affirme que «trois codes d’accès unique lui ont été envoyés par message texte au numéro de téléphone qui figure dans son dossier et qu’elle les a saisis correctement». Bref, qu’il y a eu une double autorisation de M^me Desrosiers pour chacune des transactions, ce qu’elle nie avec véhémence. 

Dans le cas de Marie Aubry, la Banque Nationale affirme aussi que c’est son appareil et ses mots de passe qui ont servi à la double autorisation et donc permis la transaction.

Dark web

Pour l’expert Éric Parent, les fraudeurs ont sans doute mis la main sur l’adresse courriel liée à ses comptes. 

«Quelqu’un compromet vos courriers électroniques. Il peut entrer dans votre système bancaire. Et on peut demander d’envoyer le fameux code [pour l’identification à deux facteurs] par email.»  

Selon Mathieu Lavoie, de Flare, une entreprise utilisant l’intelligence artificielle pour surveiller l’empreinte numérique de ses clients, le dark web (ou web clandestin) peut faciliter beaucoup la vie des fraudeurs. 

Sur cette plateforme, il nous a montré qu’il est possible pour un fraudeur d’acheter le mot de passe principal lié à un compte bancaire, ce qui permet ensuite d’ajouter un numéro de téléphone ou un courriel de son choix pour l’authentification à deux facteurs.