Récemment, des fraudeurs ont piraté des dizaines de milliers de comptes de contribuables. Il semble y avoir eu une atteinte à la sécurité à l’ARC (Agence du revenu du Canada), ce qui a mené au versement de millions de dollars en faux remboursements à ces escrocs. Quelle était la faille de sécurité? Comment est-ce arrivé? Et que fait l’ARC pour régler le problème? Voici ce que nous avons trouvé.
Comment le piratage s’est-il produit?
Des renseignements confidentiels sur des contribuables, y compris des identifiants de production électronique, ont été piratés pendant la période des impôts 2024. Les pirates ont ensuite utilisé ces identifiants pour accéder à des centaines de comptes de l’ARC. Une fois cet accès non autorisé obtenu, ils ont :
- modifié les renseignements de dépôt direct de plusieurs comptes de contribuables;
- soumis de fausses déclarations de revenus et de fausses demandes;
- obtenu de l’ARC plus de 6 millions de dollars en faux remboursements.
Où était la faille de sécurité?
Une enquête a révélé que bon nombre des comptes piratés avaient un point commun : la société canadienne de préparation de déclarations de revenus H&R Block. H&R Block et l’ARC affirment toutes deux qu’il n’y a eu aucune intrusion dans leurs systèmes. Bien des questions restent sans réponse. S’il n’y a eu aucune atteinte à la sécurité des systèmes ou des données, comment ces faux paiements ont-ils pu être versés? Qui est derrière tout ça? Que fait-on pour éviter que ça se reproduise? Personne ne se manifeste pour donner des réponses. L’ARC dit ne pas avoir réussi à identifier les pirates ni à les localiser. En somme, le public canadien, c’est-à-dire les contribuables, a reçu peu d’information sur ce qui est arrivé à son argent, et les pirates n’ont pas été traduits en justice.
Un historique d’atteintes et de versements de l’argent des contribuables
L’Agence du revenu du Canada (ARC) a l’obligation de signaler les « atteintes substantielles » au Commissariat à la protection de la vie privée, qui fait ensuite rapport directement au Parlement. Le Commissariat a indiqué au Parlement que l’ARC avait été piratée 71 fois au cours de la seule année se terminant en mars 2024, c’est-à-dire de mars 2023 à mars 2024. À titre de comparaison, 42 atteintes au total avaient été signalées au cours des trois années précédentes. C’est une hausse importante des atteintes substantielles en seulement un an. Et ce n’est que le nombre officiellement divulgué dans le rapport de juin 2024.
Un reportage d’enquête a révélé que l’ARC avait admis plus de 31 000 atteintes « substantielles » à la vie privée de mars 2020 à décembre 2023. C’est beaucoup, beaucoup plus que les 71 ou 42 atteintes présentées au Parlement. Ce nouveau chiffre touche plus de 62 000 contribuables canadiens, mais le rapport parlementaire n’en faisait aucune mention. Le Commissariat et l’ARC ont tous deux affirmé que l’ARC avait déclaré ce nouveau chiffre après la période de déclaration. Si les 31 000 atteintes substantielles couraient jusqu’en décembre 2023, et que le nouveau rapport portait sur la période de mars 2023 à mars 2024, comment a-t-on pu omettre ce chiffre après la période de déclaration pour tout l’exercice financier? Les vrais chiffres figureront-ils dans le rapport de 2025? Seul le temps nous le dira.
Et l’histoire des fraudeurs qui ciblent l’ARC ne s’arrête pas là. Au début de 2024, la Cour canadienne de l’impôt a rendu public un affidavit auparavant scellé qui décrivait comment des fraudeurs avaient volé 37 millions de dollars de l’argent des contribuables à l’ARC. Dans un autre cas, en novembre 2023, l’ARC a admis avoir versé plus de 63 millions de dollars en « faux » remboursements d’impôt.
Comment le gouvernement du Canada et l’ARC ont-ils réagi?
La ou le ministre du Revenu national, à qui l’on a demandé une estimation du montant d’argent des contribuables disparu, a indiqué que l’ARC était « incapable de fournir l’information », car « il n’existe aucun moyen systématique d’estimer le montant de tous les paiements injustifiés ».
L’ARC a mis en place certaines mesures de sécurité pour aider à prévenir l’accès non autorisé aux comptes des contribuables, dont l’authentification multifacteur (AMF) obligatoire. Cela semble être une mesure solide et positive, dans la bonne direction. Il est aussi maintenant obligatoire d’avoir une adresse courriel au dossier. L’ARC peut ainsi aviser les titulaires de compte de tout changement apporté à leur compte. Cela peut aider les contribuables à repérer rapidement les problèmes et à se protéger. Si vous recevez un courriel qui mentionne des changements à votre compte que vous n’avez pas faits, communiquez immédiatement avec l’ARC.
L’ARC a aussi commencé à effectuer des vérifications et des analyses régulières des identifiants et des mots de passe des profils « à risque ». Enfin, elle a mis en place un programme appelé Identity Protection Services (IPS) pour examiner et résoudre les cas de vol d’identité, ce qui aide les victimes à retrouver l’accès à leur compte.
Que pouvez-vous faire?
En tant que contribuable au Canada, vous pouvez prendre quelques mesures pour protéger vos comptes de l’ARC :
- Surveillez régulièrement vos comptes en ligne pour repérer toute activité suspecte, comme des changements que vous n’avez pas faits ou auxquels vous ne vous attendiez pas.
- Protégez votre compte en utilisant l’AMF (authentification multifacteur) et en choisissant des mots de passe sûrs qui ne sont pas faciles à « deviner ».
- Mettez à jour vos questions de sécurité et gardez les réponses confidentielles. Idéalement, il devrait s’agir de renseignements que les fraudeurs ou les voleurs d’identité ne peuvent pas trouver en faisant des recherches sur vous en ligne.
- Vérifiez vos coordonnées personnelles et gardez-les à jour. Cela comprend votre numéro de téléphone et votre adresse.
- Si vous avez donné accès à votre compte à des applications externes, par exemple à des entreprises de préparation de déclarations, et que vous ne voulez plus qu’elles y aient accès, vous pouvez révoquer cet accès dans votre compte de l’ARC.
- Signalez à l’ARC toute activité suspecte dans votre compte.
Ce qu’il faut retenir
Des dizaines de milliers de contribuables canadiens se sont fait pirater leur compte de l’ARC pendant la période des impôts 2024. Les pirates ont volé des millions de dollars appartenant aux contribuables. Dans ce cas précis, l’ARC maintient qu’elle n’a pas été piratée. Pourtant, elle a bel et bien signalé 71 « atteintes substantielles » pour l’année se terminant en 2024. Seulement 42 atteintes avaient été signalées au cours des trois années précédentes.
Un reportage a révélé que l’ARC avait admis un nombre beaucoup plus élevé : 31 000 atteintes substantielles touchant 62 000 contribuables canadiens. Le rapport parlementaire de 2024 n’en faisait aucune mention. L’ARC fait face à ce problème depuis un bon moment, comme en témoignent une fraude de 37 millions de dollars au début de 2024 et de faux remboursements d’impôt totalisant 63 millions de dollars en novembre 2023.
Protégez votre compte en utilisant l’AMF ainsi que des identifiants et des mots de passe sûrs. Gardez vos coordonnées à jour, et ne donnez pas d’accès non autorisé à des applications externes, sauf si c’est nécessaire. Restez à l’affût et faites preuve de vigilance pour vous protéger contre les arnaques. Vérifiez régulièrement vos comptes, surtout si l’argent se fait rare. Vous avez des dettes? Communiquez avec l’un de nos conseillers en crédit qualifiés pour obtenir des conseils. Ils vous aideront à établir une stratégie de désendettement adaptée à votre situation.