Le calendrier des pompiers détourné : faux collecteurs, dons en ligne et données des donateurs

La tournée des calendriers est le poumon financier de nombreuses amicales : c'est elle qui finance les sorties, le matériel de confort, les moments de cohésion. Longtemps purement physique, en porte-à-porte avec une enveloppe d'espèces, elle se modernise. De plus en plus d'amicales proposent un paiement par carte, un QR code de don, voire une cagnotte en ligne.

Cette modernisation est une bonne nouvelle pour la collecte, mais elle déplace le risque. À l'ancien danger de l'enveloppe perdue ou volée s'ajoutent désormais des menaces numériques : usurpation d'identité de l'amicale, détournement des liens de paiement, captation des données bancaires des donateurs, vol du fichier des contributeurs.

Or l'amicale, en tant qu'association loi 1901, est responsable du traitement des données qu'elle collecte et du sérieux de ses canaux de paiement. Un incident peut ternir durablement la confiance des habitants, fragiliser la collecte de l'année suivante, et exposer l'association à des griefs.

Le premier risque est aussi le plus ancien, mais il prend une ampleur nouvelle. Des individus se présentent au domicile des habitants en se faisant passer pour des sapeurs-pompiers de l'amicale, calendrier sous le bras, et encaissent des dons. L'argent ne parvient jamais à l'association.

Le préjudice est double. D'abord pour les habitants escroqués. Ensuite pour l'image de l'amicale : une fois la fraude découverte, la méfiance s'installe, et les vraies tournées en pâtissent. Certains escrocs vont plus loin et utilisent un terminal de paiement ou un lien de don frauduleux, captant au passage les coordonnées bancaires des victimes.

L'amicale n'est en principe pas l'auteure de la fraude, mais elle subit le contrecoup. Et si l'on découvre qu'un de ses propres outils numériques a été compromis (page de don piratée, QR code substitué), sa responsabilité peut être discutée. La parade passe par la communication officielle, l'identification claire des collecteurs et la sécurisation des canaux de paiement.

Pour rassurer les habitants, l'amicale a intérêt à communiquer chaque année sur les dates officielles de la tournée et sur le seul moyen de paiement en ligne légitime. Tout ce qui sort de ce cadre doit être présenté comme suspect.

Dès qu'un don peut se faire par carte, l'amicale s'expose aux mêmes menaces que n'importe quel petit commerce en ligne. Trois scénarios reviennent :

1. Le détournement du lien de paiement. Un attaquant remplace le QR code de don affiché sur les supports de l'amicale, ou crée une fausse page imitant celle de l'association. Les dons partent vers le compte de l'escroc, et les donateurs livrent leurs données bancaires.
2. Le phishing ciblant les donateurs. Les contributeurs reçoivent un faux courriel « de l'amicale » réclamant une confirmation de paiement ou un complément de don, et saisissent leurs identifiants sur un site frauduleux.
3. La compromission du compte de collecte. Si les identifiants de la cagnotte ou du compte de l'amicale sont volés, les fonds collectés peuvent être détournés avant même d'être reversés.

Ces incidents ne relèvent plus du simple vol d'espèces : ils touchent des données personnelles et financières, et déclenchent une obligation de réaction. Gérer une telle crise — notification, communication, sécurisation, parfois indemnisation — a un coût qu'une petite association absorbe difficilement seule. C'est l'objet d'une assurance cyber, qui finance la réponse à incident et accompagne l'amicale dans la tempête.

On l'oublie souvent : dès que l'amicale conserve une liste de donateurs avec leurs noms, adresses, courriels ou coordonnées bancaires, elle constitue un traitement de données personnelles. À ce titre, elle est responsable de leur protection au sens du RGPD, au même titre qu'une entreprise.

Cette responsabilité implique plusieurs devoirs :

• ne collecter que les données nécessaires et informer les donateurs de l'usage qui en est fait ;
• sécuriser le fichier (accès restreint, mots de passe solides, support protégé) ;
• en cas de fuite de données, réagir et, selon la gravité, notifier l'autorité de contrôle et les personnes concernées.

Imaginez le fichier des donateurs de plusieurs années, stocké sur l'ordinateur d'un bénévole, dérobé à la suite d'une attaque ou d'un vol de matériel. L'amicale doit alors gérer une crise qu'elle n'a ni les moyens ni les compétences d'affronter seule : analyser l'étendue de la fuite, prévenir les personnes, restaurer la confiance, se prémunir contre d'éventuelles réclamations. Une assurance cyber mobilise les experts (juristes, techniciens, communicants) et prend en charge les frais de cette gestion de crise.

Quelques mesures simples réduisent fortement l'exposition de l'amicale, sans renoncer à la modernisation de la collecte :

• Identifiez clairement vos collecteurs et communiquez officiellement sur les dates et les modalités de la tournée, pour couper l'herbe sous le pied des faux collecteurs.
• N'utilisez qu'un canal de paiement en ligne officiel, contrôlé par l'amicale, et affichez-le sans ambiguïté sur vos supports.
• Protégez les identifiants de la cagnotte et du compte de collecte par des mots de passe robustes et une double authentification.
• Limitez et sécurisez le fichier des donateurs : accès restreint, sauvegarde, suppression des données inutiles.
• Sensibilisez les bénévoles au phishing et aux QR codes substitués, qui sont les portes d'entrée les plus fréquentes.

La technique ne fait pas tout : même une amicale prudente peut être visée par une attaque ou une usurpation. La couverture cyber vient absorber l'incident lorsqu'il survient, en prenant en charge la réponse, les frais et l'accompagnement. Et parce que la collecte mobilise aussi du matériel — ordinateurs, terminaux, supports —, pensez à protéger ces outils ; le détail des garanties utiles à votre structure figure sur la fiche amicale des sapeurs-pompiers.