Juste pour rire victime d’une fraude par courriel

Juste pour rire a subi une fraude classique par courriel à un bien mauvais moment, avant d’encaisser des millions en pertes et de se placer à l’abri de ses créanciers. De février à avril 2023, l’entreprise s’est fait dérober 813 657 $, démontrent des documents judiciaires restés confidentiels jusqu’à maintenant.

Gestion Juste pour rire a obtenu en janvier une ordonnance pour identifier le détenteur du compte de la Banque TD où sont allés les fonds détournés.

Le type de fraude dont la société a été victime repose sur l’usurpation du courriel d’un dirigeant, d’un gestionnaire ou d’un fournisseur clé d’une entreprise.

Dans le cas de Juste pour rire, le suspect inconnu, baptisé « John Doe » dans le cadre des procédures, a imité les courriels d’employées de L’Équipe Spectra et du Groupe CH (« spoofing », en anglais). Ces deux entreprises appartiennent à la famille Molson, actionnaire du producteur de contenus humoristiques.

Dans le cadre d’ententes internes, Juste pour rire sous-contractait des services de gestion à Spectra et une autre entreprise appartenant aux Molson, evenko.

Contrôleuse appâtée

En février 2023, la contrôleuse des finances de Juste pour rire reçoit un courriel paraissant provenir d’une employée de Spectra. Il contient des instructions pour modifier les procédures pour tous les paiements à evenko. À l’avenir, les fonds doivent aller dans un nouveau compte à la Banque TD, selon le message.

Le courriel est aussi envoyé en copie conforme (« cc ») à deux employées du Groupe CH inc., impliquées dans la gestion de ces entreprises.

Mais le message provient d’un fraudeur, pas de Spectra. Il a créé une adresse au nom d’une employée responsable des comptes recevables au sein de la société. Le nom de domaine imite celui de l’entreprise : « @equipespectras.com », avec un s en plus, au lieu d’« @equipespectra ».

Le courriel est aussi envoyé en copie conforme (« cc ») à deux fausses adresses imitant celles de gestionnaires du Groupe CH, qui contrôle Spectra.

Les virements commencent

La différence avec les vraies adresses est subtile, et la contrôleuse de Juste pour rire n’y voit que du feu. Après le changement des données bancaires d’evenko dans le système, Juste pour rire lui fait trois paiements : un premier de 8623 $ en février, un deuxième de 209 $ en mars, mais surtout, un troisième paiement de 804 825 $, en avril. Ce transfert de fonds doit couvrir les frais de gestion que le spécialiste de l’humour doit à evenko pour 2022.

Juste pour rire découvre la fraude en mai 2023 quand Le Groupe CH lui demande si ses frais de gestion – en retard d’un mois – seront bientôt versés.

Quelques minutes plus tard, la contrôleuse répond au Groupe CH que les fonds ont bien été payés au prétendu compte d’evenko à la Banque TD le 13 avril, mentionne la requête de Juste pour rire pour obtenir son ordonnance Norwich.

La directrice principale des finances du Groupe CH répond alors que ce compte ne lui appartient pas.

« À ce moment, Juste pour rire réalise qu’elle a été victime d’une fraude, initiée par le courriel frauduleux quelques mois plus tôt, le 23 février 2023 », selon le document de cour.

Blocage du compte

Juste pour rire demande ensuite à son institution financière, la Banque Nationale, d’enquêter sur le cheminement des fonds et dépose une plainte à la police de Montréal, qui ouvre une enquête.

L’ordonnance Norwich pour identifier qui se cache derrière le compte de la TD a bien été accordée. La Presse n’a toutefois pas été en mesure de consulter le dossier en temps utile pour obtenir des détails.

La requête demande aussi une ordonnance pour bloquer le compte, mais les documents disponibles ne disent pas si la cour a rendu une ordonnance en ce sens.

L’avocat interne de Juste pour rire, Paul Morissette, a d’abord dirigé La Presse vers Patrick Lapierre du cabinet Blakes pour obtenir les détails, mais celui-ci affirme n’avoir reçu « aucune instruction » de nous parler.

Le patron de l’entreprise, Alain Boucher, n’a pas rappelé.

Un classique

Le détournement qu’a subi Juste pour rire est un cas classique de fraude, où le criminel réussit à convaincre un gestionnaire clé ou un fournisseur de lui transférer des fonds, dit Patrick Mathieu, fondateur du HackFest, une communauté d’experts en cybersécurité.

« Quand les fraudeurs commencent, ils n’ont pas besoin d’avoir de connaissances, explique-t-il. Généralement, ils vont faire beaucoup beaucoup d’appels téléphoniques et beaucoup de courriels bidon pour savoir qui fait quoi, comment, connaître les horaires… Évidemment, tu peux utiliser LinkedIn pour trouver qui administre l’entreprise… »

Les fraudeurs peuvent par exemple se faire passer pour des clients ou pour des fournisseurs ayant des problèmes pour se faire payer. Ils pourront ainsi savoir qui est responsable de ces questions. « Ça peut être sur des mois », dit Patrick Mathieu.

Il souligne que les entreprises peuvent aisément déjouer ce genre de stratagèmes par des mesures simples, comme de confirmer les changements de comptes bancaires avec la personne responsable au téléphone, ou en répondant à un vieux courriel.

« C’est un manque de précautions de base », déplore-t-il.

Rien pour aider Juste pour rire, qui a subi cette fraude au début de son annus horribilis, avant de se placer sous la protection de la Loi sur les arrangements avec les créanciers des compagnies.

En 2023, le groupe que chapeaute Gestion Juste pour rire a perdu 7,9 millions de dollars, après avoir empoché un profit de 1,1 million l’année précédente.