Le courriel est arrivé à 18 h 40, mercredi. Objet : « eStatement is available ». Expéditeur : « Canada RA ». Déjà, ça part mal — chez nous, c'est l'ARC, pas la « RA ». Le message, bilingue et bien tourné, m'annonce que l'Agence du revenu du Canada a traité ma déclaration 2025 et qu'un remboursement a été approuvé. Il suffit de cliquer sur un lien pour consulter mon « Refund Disbursement Statement » et confirmer mes informations de dépôt.
Bien sûr. Et le petit chaperon rouge n'a qu'à suivre le loup dans le bois.
L'anatomie de la bête
Plutôt que de supprimer le courriel, je l'ai passé à Claude, en-têtes complets. C'est là que ça devient intéressant. Sous le vernis, la mécanique est grossière :
teal-ticking-seabird.us.customerio.build — un « oiseau de mer turquoise qui fait tic-tac ». L'ARC a des adresses en cra-arc.gc.ca, pas des noms d'oiseaux.edocument-reader.es — un domaine espagnol. Mon remboursement d'impôt canadien passe par Madrid, ben voyons.Et la règle d'or, que l'ARC répète elle-même : elle n'envoie jamais de courriel avec un lien vous demandant des renseignements personnels ou financiers. Jamais. Quand vous avez du courrier, elle vous avise, et vous allez le lire vous-même dans Mon dossier, en tapant l'adresse dans votre navigateur.
Signaler, ça prend quinze minutes
Supprimer le courriel, c'est bien. Le signaler, c'est mieux — chaque signalement aide à faire fermer ces comptes et protège le prochain sur la liste. Petit détail savoureux : l'ancienne adresse de signalement de l'ARC ne fonctionne plus. Mon premier envoi m'est revenu en pleine face. Voici les canaux qui fonctionnent, en juillet 2026 :
spam@fightspam.gc.ca. Les en-têtes complets sont préservés, et c'est ce que les enquêteurs veulent voir.Frapper à la porte du serveur
Les gouvernements enquêtent, mais lentement. Pour couper l'herbe sous le pied du fraudeur, il y a plus direct : avertir la compagnie dont il utilise les serveurs. Notre pêcheur n'envoyait pas ses millions de courriels de son sous-sol — il passait par Customer.io, une plateforme de marketing américaine tout à fait légitime, relayée par Mailgun.
Et voici le plus beau : la plateforme signe ses envois. Dans les en-têtes
du courriel, une ligne indiquait noir sur blanc où dénoncer les abus :
X-Report-Abuse-To: badactor@customer.io.
Juste à côté, les numéros d'identification internes du compte expéditeur.
Le fraudeur avait laissé sa carte d'affaires dans ses propres en-têtes.
Il suffisait de la lire.
Alors Claude m'a rédigé un courriel en anglais, sobre et technique : la date, le faux avis de l'ARC, le lien piégé, et surtout les identifiants internes du compte — de quoi permettre à leur équipe de le retrouver en quelques secondes. Message original en pièce jointe, pour préserver les en-têtes. Envoyé.
« Cinq minutes plus tard : accusé de réception, billet #266388 ouvert. Ces plateformes ne niaisent pas avec ça — leur réputation d'expéditeur en dépend. Le compte du fraudeur ne fera pas long feu. »
C'est ça, la différence entre supprimer un pourriel et le signaler : dans un cas, le fraudeur continue sa pêche. Dans l'autre, on lui coupe la ligne, les hameçons, pis le moteur de la chaloupe.
Pourquoi je prends la peine
Moi, j'ai flairé l'arnaque en dix secondes. Mais je pense à Robert, mon retraité de Longueuil qui vit avec 2 200 $ par mois. Un « remboursement approuvé » de l'ARC, quand chaque dollar compte, c'est une carotte cruelle. Ces courriels sont conçus pour les gens fatigués, pressés, ou qui espèrent une bonne nouvelle. C'est de la pêche au filet : ils en envoient des millions, il suffit que quelques-uns mordent.
Alors la prochaine fois qu'un courriel trop beau atterrit dans votre boîte : ne cliquez pas, regardez l'adresse de l'expéditeur, et prenez quinze minutes pour le signaler. Le fraudeur, lui, compte sur le fait que vous ne le ferez pas.