Un avis de cotisation révisé absent de Mon dossier est une arnaque

La liste d’arnaques de l’Agence du revenu du Canada marque actuellement un courriel comme nouveau. Il dit que votre déclaration de revenus contient des erreurs, et il vous demande de télécharger un avis de cotisation révisé pour vérifier des montants qui semblent inexacts, incomplets ou incompatibles avec vos dossiers. Il dit aussi que cet avis n’est pas dans Mon dossier ni sur le site de l’ARC, et que vous n’avez qu’un court délai pour le télécharger et l’enregistrer à partir d’un lien dans le courriel.

Cette dernière affirmation est le signe. Un vrai avis de cotisation, et un vrai avis de nouvelle cotisation si l’ARC modifie vraiment votre déclaration, se trouve dans votre compte de l’ARC. Le courriel ne vous remet pas l’avis.

Ce que fait le vrai courriel

Si vous avez choisi le courrier électronique, l’ARC envoie un courriel lorsqu’il y a quelque chose de nouveau à lire dans Mon dossier. Sa propre description de ces courriels dit que le nom de l’expéditeur est « Canada Revenue Agency / Agence du Revenu du Canada ». Le message ne demande pas de renseignements personnels ou financiers, n’exige pas une carte prépayée ou une carte-cadeau, et ne vous menace pas d’arrestation.

Les avis de cotisation et les avis de nouvelle cotisation font partie des lettres que vous pouvez ouvrir dans ce courrier. L’avis en ligne et l’avis papier sont tous les deux officiels. L’avis en ligne ne contient pas de chèque ni de talon de paiement. Rien dans ce processus n’est un fichier à enregistrer depuis le courriel avant la fin d’un minuteur, et rien n’y est indisponible dans Mon dossier.

La page sur les avis dit que l’ARC envoie un avis de nouvelle cotisation seulement lorsque la déclaration cotisée est modifiée. Si l’ARC a trouvé des erreurs, cet avis arrive une fois la nouvelle cotisation terminée. Vous le lisez ensuite dans Mon dossier, ou sur papier si c’est encore ainsi que vous recevez le courrier. Vous n’allez pas le chercher par un lien parce que quelqu’un a dit que le compte ne l’a pas.

À quoi sert l’arnaque

L’alerte de l’ARC dit que la pression sert à vous faire cliquer sur un lien ou un bouton et à remettre des renseignements que l’expéditeur peut détourner. Elle dit aussi que le téléchargement lui-même peut être un logiciel malveillant, ce qui augmente le risque que quelqu’un entre dans l’ordinateur. L’alerte ne nomme pas un virus en particulier et ne donne pas un nombre de signalements. Traitez les deux risques comme l’ARC les énonce : des renseignements, et un fichier qu’il ne faut pas ouvrir.

Un message qui connaît déjà votre nom n’est pas une preuve. Un avis de cotisation est un document que les gens attendent, et c’est pourquoi le déguisement fonctionne. Ce qui ne colle pas, c’est « celui-ci n’est pas dans votre compte, alors utilisez notre lien, et dépêchez-vous ».

Quoi faire

1. Ne cliquez pas, n’ouvrez pas la pièce jointe et ne répondez pas. C’est la liste de l’ARC, dans cet ordre.
2. Ouvrez le compte vous-même. Tapez canada.ca dans la barre d’adresse, ou utilisez un signet que vous avez créé plus tôt. Connectez-vous et regardez le Courrier. Si une vraie nouvelle cotisation existe, elle s’y trouve. Si le courrier est vide, le courriel n’était pas de l’ARC.
3. Utilisez les numéros de l’ARC si vous voulez encore parler à quelqu’un. Pour les particuliers, l’ARC publie le 1-800-959-8281 dans les provinces et le 1-866-426-1527 dans les territoires. N’appelez pas un numéro arrivé dans le courriel.
4. Si vous avez déjà ouvert le fichier ou saisi un mot de passe dans le lien, cessez d’utiliser cet ordinateur pour le compte. Connectez-vous depuis un téléphone ou un autre appareil, en tapant l’adresse, et vérifiez si votre courriel, votre adresse ou votre dépôt direct a été modifié. Si la pièce jointe s’est exécutée, traitez-la comme tout autre téléchargement inattendu. Notre note sur le vol de session explique pourquoi un nouveau mot de passe ne suffit pas au ménage.
5. Signalez-le depuis la page d’arnaques de l’ARC, qui est aussi l’endroit où se trouve cette alerte. Le signalement aide à tenir la liste à jour. Il ne retire pas le courriel des boîtes des autres à lui seul.

Une vraie lettre de l’ARC peut encore dire que vous devez de l’argent ou qu’une déclaration a changé. Vous réglez cela dans le compte, sur la page de paiement de l’ARC, ou en appelant le numéro ci-dessus. Vous ne le réglez pas par virement Interac, cryptomonnaie, carte prépayée ou carte-cadeau. La page d’arnaques de l’ARC dit qu’elle n’accepte pas de paiement de cette façon.

Sources

• Agence du revenu du Canada, « Recognize a scam » (en anglais), « Notice of assessment phishing scam »
• Agence du revenu du Canada, « Email notifications from the CRA » (en anglais)
• Agence du revenu du Canada, « Notices of assessment » (en anglais)
• Agence du revenu du Canada, « Find out if it’s really the CRA contacting you » (en anglais)