Ressource gratuite · Pour les cabinets comptables et de tenue de livres · Toronto et le Grand Toronto

La période des impôts, c'est la saison de la fraude. Voici la trousse qui prépare votre équipe.

Trois choses que votre cabinet peut mettre en pratique cette semaine : une procédure « vérifiez avant de payer » pour toute demande de changement bancaire, une carte qui montre à votre équipe comment distinguer la vraie ARC de la fausse, et une liste de contrôle de traitement des données clients que vous ne pouvez pas vous permettre de perdre - NAS, feuillets T, connexions aux portails. Sans remplissage, sans peur, sans barrière de connexion entre vous et la première page utile. Adaptée à la façon dont les cabinets QuickBooks, Xero et CaseWare travaillent réellement.

Une procédure de changement bancaire que votre équipe peut afficher et suivre de la même façon, chaque fois
Une carte des signes d'usurpation de l'identité de l'ARC qui met fin en quelques secondes aux devinettes « est-ce réel ? »
Une liste de contrôle du traitement des données clients pour les NAS, les feuillets T et les portails clients
Conçue pour les cabinets QuickBooks, Xero et CaseWare - et sensible à la LCAP du côté client

Envoyez-moi la trousse modifiable par courriel

Gratuit, sans mur d’inscription. Vous voulez les modèles modifiables ou un coup de main pour le déploiement? Vous n’avez qu’à demander.

Outil 1 - La procédure « vérifiez avant de payer » pour les changements bancaires

Presque chaque perte à six chiffres dans un cabinet commence de la même façon : un courriel demande de changer la destination de l'argent, et quelqu'un lui fait confiance. Voici la routine courte et répétable qui déjoue la quasi-totalité de ces fraudes. Imprimez-la, affichez-la près des bureaux qui déplacent de l'argent, et faites passer chaque changement bancaire ou demande de paiement par cette routine - sans exception, peu importe qui semble demander.

Traitez TOUT changement de coordonnées bancaires, de bénéficiaire, de dépôt de paie ou de destination d'un remboursement de l'ARC comme non vérifié tant que vous ne l'avez pas confirmé hors bande - la demande elle-même n'est jamais la preuve.

Vérifiez en appelant un numéro de téléphone que vous avez déjà au dossier (une facture antérieure, votre lettre de mission, votre fiche de contact) - jamais le numéro, le lien ou l'adresse de réponse du nouveau message.

S'il s'agit d'un changement bancaire d'un fournisseur ou d'un client, relisez à voix haute les nouvelles coordonnées de compte et faites-les confirmer - les attaquants comptent sur le fait que vous lirez le changement à partir de leur courriel sans le relire ensemble.

Appliquez la même règle aux demandes qui semblent provenir d'un associé ou du propriétaire : un texto ou un courriel disant « fais juste passer ça, je suis en réunion » obtient le même rappel, chaque fois. L'urgence est le signe révélateur, pas l'exception.

Dans QuickBooks, Xero ou votre plateforme de paiement, exigez qu'une deuxième personne approuve tout bénéficiaire ou coordonnée bancaire de fournisseur ajouté ou modifié avant le premier paiement.

Intégrez une pause délibérée : aucun changement bancaire ne prend effet la minute même. Une étape de « confirmer et rappeler » de cinq minutes ne coûte rien et stoppe la perte.

Notez qui a vérifié, comment et quand - une note d'une ligne au dossier. Cela protège le cabinet et rend l'habitude visible.

Décidez à l'avance de votre règle pour les demandes en dehors des heures et en pleine période de pointe, quand la garde est la plus basse : la procédure ne se relâche pas en mars, elle importe le plus en mars.

Outil 2 - La carte des signes d'usurpation de l'identité de l'ARC

Le printemps apporte une vague de faux courriels, textos et appels de l'ARC - « remboursement en attente », « compte verrouillé », « avis de vérification », « virement Interac de votre remboursement ». Ils sont conçus pour pousser une personne occupée à cliquer ou à payer précipitamment. Remettez cette carte à tous ceux qui touchent aux dossiers clients ou à la boîte de courriel du cabinet. Le Centre antifraude du Canada et l'ARC publient tous deux ce que la vraie agence fait et ne fait pas - ceci en distille l'essentiel en éléments que votre équipe peut vérifier en quelques secondes.

L'ARC n'exige PAS de paiement par virement électronique, cryptomonnaie, cartes prépayées ou cartes-cadeaux - cette demande à elle seule prouve que c'est une fraude, point final.

L'ARC ne vous envoie PAS de texto ni de courriel avec un lien pour « vous connecter et réclamer votre remboursement » ou « vérifier votre compte ». Les vrais remboursements et avis apparaissent dans Mon dossier / Mon dossier d'entreprise lorsque vous y allez vous-même - tapez l'adresse, ne suivez jamais le lien.

L'ARC ne menace PAS d'arrestation immédiate, d'expulsion ou de police à votre porte pour un solde dû. Les menaces et les comptes à rebours sont la signature du fraudeur, pas celle de l'agence.

Vérifiez l'adresse de l'expéditeur, pas seulement le nom affiché : les vrais courriels de l'ARC proviennent de domaines canada.ca. « cra-refund-secure.com » ou une imitation avec des mots en trop est faux - et un nom affiché convaincant ne prouve rien.

Survolez avant de cliquer : si le texte visible du lien et l'URL de destination réelle ne concordent pas, ne cliquez pas. Sur mobile, appuyez longuement pour prévisualiser le lien.

Soyez le plus vigilant de fin février à avril, quand ces fraudes montent en flèche en même temps que votre charge de travail - et rappelez-vous que les messages du portail sécurisé de l'ARC sont le canal auquel faire confiance, pas un lien inattendu dans la boîte de réception.

En cas de doute, arrêtez et vérifiez au moyen de la ligne des demandes de renseignements des entreprises publiée par l'ARC ou du Centre antifraude du Canada - pas un numéro imprimé dans le message suspect.

Signalez-le, ne le supprimez pas simplement : transférer les fraudes présumées de l'ARC au Centre antifraude du Canada aide tout le monde, et dire à l'équipe « je viens d'en recevoir un » transforme une prise en une mise en garde pour tout le cabinet.

Outil 3 - La liste de contrôle du traitement des données clients (NAS, feuillets T, portails)

Votre cabinet détient les données que les criminels convoitent le plus : NAS, feuillets T, coordonnées bancaires, portraits financiers complets. Une seule boîte de courriel compromise peut discrètement tout exporter - un problème de vie privée en plus de tout dollar perdu. Voici les habitudes concrètes de traitement qui empêchent les données clients de franchir la porte, rédigées pour un vrai cabinet à plein régime, pas pour un manuel de sécurité.

Faites transiter les documents clients par un portail client sécurisé - pas des pièces jointes de courriel. Un NAS ou un feuillet T qui traîne dans une boîte de réception est à une réinitialisation de mot de passe d'un étranger ; un portail le garde derrière une connexion que vous contrôlez.

Activez l'authentification multifacteur pour le courriel, votre portail, QuickBooks/Xero/CaseWare et vos outils de paie - c'est le plus grand obstacle à l'attaque de la « boîte de courriel compromise » qui déclenche la plupart de ces pertes.

N'envoyez jamais un NAS, un numéro de compte complet ou un mot de passe dans le corps d'un courriel ou d'un texto. Si un client vous envoie le sien par courriel, répondez en lui demandant d'utiliser le portail - et ne le répétez pas dans votre réponse.

Donnez à chaque membre du personnel sa propre connexion à chaque système - aucun compte partagé et aucun mot de passe partagé - pour que l'accès puisse être retiré le jour où quelqu'un part et que chaque action soit liée à une personne.

Ne conservez les données clients que le temps nécessaire : sachez où vivent les NAS et les feuillets T, et ayez une routine pour archiver ou supprimer de façon sécuritaire les fichiers dont la durée de conservation est dépassée. Moins de données qui traînent, c'est moins de données à perdre.

Verrouillez le portail client : révisez qui y a accès au moins à chaque saison, retirez les anciens comptes de clients et de personnel, et confirmez qu'un ancien teneur de livres ou un employé saisonnier ne peut plus se connecter.

Du côté de la LCAP, quand vous écrivez aux clients pour recueillir des documents ou envoyer des rappels, gardez vos bases de consentement et de désabonnement en ordre - vos communications clients ne devraient pas ressembler ni se comporter comme les fraudes contre lesquelles vous les mettez en garde.

Décidez, avant la période de pointe, de ce qui se passe dans la première heure si une boîte de courriel ou un portail est compromis : qui vous appelez, comment vous réinitialisez l'accès, et quels clients vous avisez - un plan vaut mieux que l'improvisation au pire moment.

Comment l’utiliser

Conçue pour l'impression : affichez la procédure de changement bancaire près de chaque bureau qui déplace de l'argent, collez la carte des signes de l'ARC là où l'équipe ouvre le courriel, et gardez la liste de contrôle des données clients avec votre accueil de période de pointe. Ceci est une préparation pratique, pas un avis juridique ou fiscal.

Une liste de vérification, c’est un début. Un exercice, ça marque durablement.

L’Exercice d’incendie cybernétique mène ces attaques exactes contre votre équipe - en toute sécurité - pour que les réflexes de cetrousse d’outils deviennent une seconde nature. Trois heures, sur place, avec un plan de 30 jours noté.

Réserver l’exercice d’incendie Voir la page comptabilité et tenue de livres →

Est-ce vraiment gratuit, et quel est le piège ?

C'est véritablement gratuit et véritablement utile en soi - laissez votre courriel et toute la trousse est à vous, à imprimer et à utiliser cette semaine. La partie honnête : c'est un outil papier. Il rend votre équipe plus sûre, mais une liste de contrôle au mur n'équivaut pas au fait que votre équipe ait réellement vécu la fraude une fois. C'est ce qu'ajoute l'Exercice d'intervention cyber - une séance en direct, sur place, où votre cabinet répète ces attaques exactes en toute sécurité, pour que le réflexe « vérifiez avant de payer » soit automatique quand ça compte. La trousse est l'échauffement ; l'exercice est la vraie affaire.

Nous utilisons QuickBooks, Xero et CaseWare - est-ce que cela s'accorde à notre façon de travailler ?

Oui. La procédure et la liste de contrôle sont rédigées autour de la façon dont les cabinets comptables et de tenue de livres déplacent réellement l'argent et traitent les dossiers clients - approbations de bénéficiaires, exécutions de paiements, portails clients, dépôts de paie, et le traitement des NAS et des feuillets T qui accompagne la période des impôts. Quand nous menons l'Exercice d'intervention cyber pour votre cabinet, nous adaptons les scénarios aux outils que votre équipe utilise vraiment, pour que les habitudes s'attachent à votre processus réel, pas à un processus générique.

Comment cela se rattache-t-il à l'Exercice d'intervention cyber ?

La trousse durcit votre paperasse ; l'Exercice d'intervention cyber durcit vos gens. C'est un atelier en direct, d'environ trois heures, sur place, pour toute votre équipe, où un attaquant joué s'en prend à votre cabinet avec un changement bancaire par fausse facture, un leurre d'usurpation de l'identité de l'ARC et une fausse demande d'un associé - en toute sécurité, sans logiciel malveillant, sans vrais paiements, et sans que personne ne soit pointé du doigt. Vous repartez avec un plan de 30 jours avec pointage et un compte rendu pour la direction que vous pouvez montrer à un assureur ou à un client. Si la trousse vous a fait penser « on devrait pratiquer ça », c'est exactement à cela que sert l'exercice.

Plus de ressources dans la bibliothèque de ressources · des questions? contact@bastani.org