Le Centre canadien pour la cybersécurité a publié ITSAP.00.080, intitulé « Comment utiliser les services bancaires en ligne de façon sécurisée », dans le cadre de sa série Sensibilisation. Le document est daté d'octobre 2026 et est disponible sur le site du Centre pour la cybersécurité en version Web et en format PDF (810 Ko). Il s'agit d'une orientation destinée au grand public, et non d'un règlement : il ne contient aucune échéance, aucune amende ni aucun seuil. Il s'adresse à quiconque accède à sa banque par un site Web ou une application mobile, ce qui, au Canada, représente la majeure partie de la population adulte et une bonne partie des comptes de médias sociaux de leurs animaux de compagnie.

La publication commence par exposer ce qu'offrent les services bancaires en ligne : un accès en temps réel à l'information financière, avec la possibilité de transférer des fonds, de payer des factures et de gérer des comptes en tout temps par l'intermédiaire d'un site Web ou d'une application mobile. Elle nomme ensuite la contrepartie. Cette même commodité, indique le Centre pour la cybersécurité, « peut également créer des occasions de fraude et d'accès non autorisé ». Des auteurs de menaces peuvent tenter de voler des informations d'identification, de détourner des paiements ou d'amener les clients à autoriser des transactions.

Un point ressort particulièrement pour quiconque conçoit ou exploite des systèmes d'identité. Le Centre pour la cybersécurité mentionne explicitement l'intelligence artificielle, tant dans le domaine bancaire lui-même que dans les arnaques en ligne, comme faisant partie des technologies en évolution qui modifient la façon dont ces risques atteignent les clients. Le bulletin n'entre pas dans le détail des techniques d'IA précises dans le contenu examiné pour ce rapport, mais le fait qu'un document de sensibilisation gouvernemental destiné au grand public mentionne désormais l'IA aux côtés de l'hameçonnage témoigne du caractère généralisé de cette préoccupation.

Le document est structuré en quatre parties : les risques courants liés aux services bancaires en ligne, la façon de protéger ses renseignements bancaires, les mesures à prendre en cas de fraude et une section « En savoir plus » renvoyant à des ressources connexes. L'orientation complète est disponible sur le site du Centre canadien pour la cybersécurité.

En ce qui concerne les risques, le Centre pour la cybersécurité adopte un ton mesuré. Il affirme que les services bancaires en ligne sont « généralement sûrs », puis souligne que des auteurs de menaces peuvent tout de même tenter d'accéder aux comptes de diverses façons et peuvent combiner plusieurs méthodes. Le résultat d'une telle combinaison réussie est décrit comme un accès ou une activité non autorisé sur un compte bancaire. Ce cadrage est important. L'orientation ne traite pas un mot de passe compromis comme la fin de l'histoire. Elle le traite comme une étape dans une chaîne qui comprend également le détournement de paiements et l'incitation du client à autoriser une transaction qu'il n'avait pas l'intention d'effectuer.

La première catégorie de risques abordée dans le bulletin est l'hameçonnage et l'ingénierie sociale. Le Centre pour la cybersécurité les décrit comme des tentatives de manipuler le client pour qu'il divulgue des renseignements sensibles ou autorise des transactions, le contact pouvant arriver par message texte, courriel et d'autres canaux. Autrement dit, l'attaque ne vise pas la pile d'authentification de la banque. Elle vise la personne qui tient le téléphone, laquelle détient aussi, par une fâcheuse coïncidence, l'autorité nécessaire pour cliquer sur « approuver ».

Les sections portant sur les mesures de protection et la réponse à la fraude sont énumérées dans la publication, mais n'étaient pas incluses en intégralité dans le contenu examiné ici, de sorte que ce rapport ne résume pas leurs recommandations précises. Les lecteurs devraient consulter la source directement pour ces informations. Ce qu'on peut affirmer, c'est que le Centre pour la cybersécurité présente l'ensemble de la publication comme une explication des risques courants et des mesures qu'une personne peut prendre pour rester en sécurité, ce qui la place résolument dans la catégorie de l'éducation des consommateurs plutôt que dans celle de la conformité.

Pourquoi un bulletin de sensibilisation destiné aux consommateurs a-t-il sa place dans une publication sur l'IAM? Parce que la personne à qui ce document s'adresse est votre client, et chaque risque qu'il décrit s'inscrit dans un flux que votre équipe gère. Le vol d'identifiants touche la connexion. Le détournement de paiements touche la gestion des bénéficiaires et l'autorisation des transactions. Amener quelqu'un à approuver une transaction touche la conception de votre MFA et de vos notifications push. Qu'un organisme gouvernemental conseille au public d'être prudent est une bonne chose. C'est aussi, lu d'une certaine façon, une note polie indiquant que les contrôles du côté de la banque ne devraient pas reposer sur la prudence du public.

L'aspect encourageant : rien de tout cela n'est nouveau pour les équipes CIAM des institutions financières, et l'évaluation du Centre pour la cybersécurité lui-même est que les services bancaires en ligne sont généralement sûrs. C'est un compliment, mérité au fil d'années de travail peu spectaculaire sur les modèles de détection de fraude et la gestion des sessions. L'aspect acide : le mot « généralement » porte un certain poids dans cette phrase.

Pour les équipes chargées de l'identité et de la sécurité, trois points méritent d'être vérifiés à la lumière de ce bulletin. Premièrement, examinez la façon dont les approbations de transactions sont présentées aux clients dans votre application et si l'invite affiche suffisamment de contexte (montant, bénéficiaire, canal) pour qu'une personne puisse reconnaître une transaction qu'elle n'a pas initiée, puisque l'orientation cible les approbations obtenues par tromperie comme un risque distinct. Deuxièmement, revoyez les contrôles entourant l'ajout ou la modification d'un bénéficiaire et vérifiez si ces événements sont consignés, limités en fréquence et confirmés hors bande, car le détournement de paiements est mentionné séparément du vol d'identifiants. Troisièmement, assurez-vous que vos communications destinées aux clients ne ressemblent pas aux tentatives d'hameçonnage contre lesquelles le Centre pour la cybersécurité met en garde : aucun lien dans les messages textes invitant les gens à se connecter, des identités d'expéditeur cohérentes et une déclaration publiée précisant ce que votre institution ne demandera jamais par courriel ou par message texte.