Hameçonnage et IA au travail : vérifier les demandes avant d’agir

Le nouveau risque : une demande qui semble normale

Le réflexe le plus dangereux est celui-ci : « Le message a l’air d’être vrai, donc je vais l’exécuter rapidement. » Les fraudeurs cherchent précisément à réduire le temps de réflexion. Ils peuvent invoquer une paie qui doit partir avant midi, une urgence auprès d’une personne dirigeante, une mise à jour de dossier, un problème de sécurité ou l’arrivée imminente d’un nouveau membre du personnel.

Traitez toute demande inhabituelle portant sur un paiement, un accès ou des renseignements personnels comme une demande à confirmer. Utilisez une coordonnée déjà connue, un portail interne vérifié ou une conversation en personne. Un compte de messagerie peut être compromis et une voix peut être imitée; ne vous fiez pas uniquement à l’apparence du message. La CAI le rappelle dans son actualité du 8 octobre 2026 : des courriels, voix, vidéos ou codes QR peuvent paraître légitimes sans l’être.

Quatre règles simples à rendre visibles

1. Arrêtez avant d’agir

L’urgence est un signal à vérifier, pas une raison de contourner les contrôles. Une courte pause évite qu’une demande exceptionnelle devienne une erreur coûteuse.

2. Validez autrement

Un échange dans le même fil de courriels ne constitue pas une vérification indépendante. Pour une opération sensible, utilisez une coordonnée connue et appliquez les contrôles prévus. Ne communiquez jamais un mot de passe ou un code d’authentification pour répondre à une demande inattendue.

3. Limitez ce qui circule

Les dossiers de personnel, les coordonnées bancaires, les informations médicales, les documents d’assurance, les candidatures et les éléments de gestion de performance doivent être traités avec prudence. Avant de transmettre un document, demandez-vous si l’ensemble des renseignements est nécessaire et si le destinataire est autorisé à les recevoir.

4. Signalez même sans dommage apparent

Une tentative doit être portée à l’attention des personnes désignées. Elle n’est pas automatiquement un incident de confidentialité. En présence de motifs de croire qu’un incident de confidentialité impliquant des renseignements personnels s’est produit, faites évaluer les faits, préserver les éléments utiles et appliquer le processus prévu.

Vos procédures disent-elles clairement qui vérifie et qui reçoit les signalements

Qui confirme un changement bancaire? Quel canal utiliser si le courriel habituel est suspect? À qui signaler une demande inhabituelle? Exact RH peut vous aider à clarifier les rôles, les procédures et les outils de protection des renseignements personnels, en coordination avec les personnes responsables de vos opérations et de vos TI, selon le mandat convenu.

La formation utile se pratique dans des situations réelles

La sensibilisation doit correspondre aux risques et aux fonctions. De courtes mises en situation peuvent compléter la formation : demande de paiement par message texte, changement bancaire, lien suspect ou code QR. Cette fréquence et ce format sont des recommandations opérationnelles, pas une règle annuelle universelle imposée par la Loi 25.

Besoin d’une formation Loi 25 pour votre équipe

Vos RH, votre personnel administratif et vos gestionnaires manipulent-ils les mêmes renseignements? Savent-ils quoi faire lorsqu’une demande paraît crédible, mais inhabituelle? Nous pouvons former votre équipe aux pratiques de protection des renseignements personnels et adapter les exemples à ses fonctions. Les objectifs, le contenu et le format sont précisés avec vous. Pour les contrôles techniques, la démarche se coordonne avec votre ressource TI ou en cybersécurité.

Pour une démarche plus large, consultez notre accompagnement Loi 25 et protection des renseignements personnels.

Le rôle du gestionnaire : rendre la prudence acceptable

Une équipe n’appliquera pas une procédure de validation si elle craint d’être perçue comme lente, rigide ou méfiante. Les gestionnaires doivent donc répéter un message clair : il est toujours acceptable de prendre le temps de vérifier une demande qui concerne de l’argent, un accès ou des renseignements personnels.

Évitez de décourager les signalements par une réaction de blâme automatique. Examinez la procédure, les accès, le délai imposé et la formation. Pour le régime privé québécois, un incident exige des mesures raisonnables et une consignation au registre. Lorsque le risque de préjudice sérieux est présent, les avis requis doivent être faits avec diligence, sous réserve des exceptions applicables. Une tentative ou un clic, pris isolément, ne permet pas de conclure. Loi sur la protection des renseignements personnels dans le secteur privé, art. 3.5 à 3.8.

Une capsule complémentaire d’Exact RH

Pour prolonger la réflexion sur les accès et les outils numériques. Cette capsule traite des agents IA; elle ne remplace pas une procédure de réponse à l’hameçonnage.