La cybersécurité d’un expert-comptable protège ses propres outils, mais aussi les données, les paiements et l’activité de dizaines, voire de centaines de clients. Une boîte mail compromise, un accès trop large ou une sauvegarde inutilisable peut interrompre les déclarations, détourner un règlement ou servir de point d’entrée vers d’autres entreprises. La priorité est de réduire les risques les plus probables et de préparer une reprise rapide.
Pourquoi les cabinets comptables attirent les cybercriminels
Un cabinet concentre des informations particulièrement recherchées : données fiscales et sociales, coordonnées bancaires, pièces d’identité, bulletins de paie, comptes annuels, prévisions de trésorerie et accès à des plateformes métiers. Leur valeur ne tient pas seulement à leur confidentialité. Ces informations permettent aussi de construire des fraudes crédibles en se faisant passer pour un dirigeant, un client ou le cabinet lui-même.
La dématérialisation élargit la surface d’attaque : messagerie, portail client, logiciel de production comptable, outils de paie, stockage cloud, télétravail, appareils mobiles et prestataires informatiques deviennent autant de points à sécuriser. L’attaque contre Coaxis, qui a touché plus de 1 000 cabinets et environ 350 000 entreprises par ricochet, illustre les conséquences possibles d’une dépendance à la chaîne d’approvisionnement.
La confiance, un levier de fraude particulièrement efficace
Les échanges réguliers entre le cabinet et ses clients fournissent aux fraudeurs de nombreux repères. Un courriel qui reprend le ton habituel d’un collaborateur, une demande urgente de changement de RIB ou une fausse relance de paiement peut sembler légitime. Le risque augmente lorsque les interlocuteurs privilégient la rapidité à une vérification par un canal indépendant, par exemple un appel vers un numéro déjà connu.
Reconnaître les attaques qui désorganisent le plus un cabinet
| Menace | Signal d’alerte | Impact possible | Réflexe immédiat |
|---|---|---|---|
| Phishing ou usurpation | Lien inattendu, urgence, domaine proche du vrai | Vol d’identifiants et accès à la messagerie | Ne pas cliquer, signaler et changer les accès compromis |
| Fraude au RIB | Modification de coordonnées bancaires par e-mail | Détournement de paiement | Confirmer par téléphone auprès d’un contact connu |
| Ransomware | Fichiers chiffrés, extensions inconnues, postes ralentis | Arrêt des logiciels et indisponibilité des dossiers | Isoler le poste ou le compte concerné |
| Prestataire compromis | Comportement anormal d’un outil ou alerte de l’éditeur | Propagation vers plusieurs cabinets et clients | Appliquer les consignes du prestataire et contrôler les accès |
Phishing, spoofing et fraude au président : le piège de l’apparence
Le phishing cherche à obtenir un mot de passe, à faire ouvrir une pièce jointe malveillante ou à faire valider une connexion frauduleuse. Le spoofing ajoute une usurpation d’identité : l’adresse affichée, le nom du dirigeant ou la signature semblent familiers. Dans une fraude au président, le message met en scène une urgence hiérarchique et demande un virement confidentiel. Un double contrôle doit empêcher qu’une demande de paiement soit exécutée sur la seule base d’un courriel.
Le ransomware ne vise pas seulement les fichiers
Un rançongiciel peut chiffrer des dossiers, mais aussi interrompre les accès au cloud, aux boîtes mail et aux logiciels nécessaires aux échéances fiscales et sociales. Les sauvegardes connectées en permanence peuvent elles aussi être atteintes. L’enjeu ne consiste donc pas seulement à empêcher l’infection. Le cabinet doit pouvoir maintenir les opérations critiques et restaurer des données saines dans un délai maîtrisé.
Construire des défenses simples avant de chercher des outils complexes
Les mesures les plus efficaces sont celles qui réduisent immédiatement les conséquences d’un compte compromis. Activez l’authentification multifacteur sur la messagerie, les logiciels cloud, les accès distants et les comptes administrateurs. Des mots de passe uniques, conservés dans un gestionnaire, évitent qu’une fuite sur un service externe ouvre les accès à l’ensemble du cabinet.
- Attribuez les droits selon le principe du moindre privilège : un collaborateur ne doit accéder qu’aux dossiers nécessaires à sa mission.
- Supprimez sans délai les comptes des personnes qui quittent le cabinet et revoyez les droits lors des changements de fonction.
- Appliquez les mises à jour des systèmes, logiciels métiers, navigateurs et antivirus selon un processus clairement identifié.
- Utilisez un antivirus avec protection en temps réel et un pare-feu pour contrôler les flux entrants et sortants.
- Chiffrez les données sensibles au repos comme en transit, notamment lors des échanges avec les clients.
- Sécurisez le télétravail avec des appareils gérés, un verrouillage automatique, un réseau Wi-Fi fiable et l’interdiction des partages non validés.
La sécurité dépend aussi de l’organisation quotidienne. Une règle claire sur les droits d’accès doit s’accompagner d’un suivi des dossiers, des départs de collaborateurs, des échanges avec l’informatique et des accès accordés aux prestataires. Cartographier ces passages de relais révèle souvent les angles morts : boîte mail générique sans responsable, accès conservé par un ancien prestataire ou lien de partage qui ne devrait jamais rester actif. Cette vérification rend la politique de sécurité plus concrète et plus facile à appliquer.
Sauvegarder ne suffit pas : il faut savoir restaurer
La règle 3-2-1 fournit une base solide : conserver 3 copies des données, sur 2 supports différents, dont 1 copie hors site. Une copie isolée ou hors ligne réduit le risque qu’un ransomware la chiffre en même temps que les systèmes de production. Il faut surtout planifier des tests de restauration. Une sauvegarde n’est utile que si le cabinet connaît son intégrité, le délai de remise en service et la personne chargée de l’opération.
RGPD et NIS2 : clarifier les responsabilités sans généraliser
Le RGPD impose de protéger les données personnelles avec des mesures adaptées aux risques. Lorsqu’une violation est susceptible d’engendrer un risque pour les droits et libertés des personnes, le cabinet doit l’évaluer, la documenter et, si nécessaire, la notifier à la CNIL dans les 72 heures. Selon la gravité de l’incident, les personnes concernées peuvent également devoir être informées. Les sanctions peuvent atteindre 4 % du chiffre d’affaires annuel mondial.
La directive NIS2 renforce les exigences de cybersécurité pour certaines entités selon leur taille, leur secteur et leur qualification. Elle ne s’applique pas automatiquement à tous les cabinets d’expertise comptable. Un cabinet doit toutefois examiner son exposition indirecte : exigences contractuelles d’un client concerné, dépendance à un fournisseur critique ou participation à une chaîne de services essentielle. Un conseil juridique ou un spécialiste peut confirmer le statut applicable et les obligations qui en découlent.
Préparer les premières heures d’un incident
Un plan de réponse limite les décisions improvisées lorsqu’une attaque survient. Il doit préciser qui décide, qui contacte le prestataire informatique, qui conserve les preuves et qui informe les clients. Le plan de continuité d’activité organise le maintien des opérations essentielles. Le plan de reprise d’activité décrit la restauration progressive des outils et des données.
- Isoler les postes, comptes ou accès suspects sans effacer les éléments utiles à l’analyse.
- Qualifier l’incident avec un prestataire compétent : périmètre touché, données exposées et services indisponibles.
- Réinitialiser les identifiants concernés, fermer les accès anormaux et corriger la faille identifiée.
- Restaurer depuis des sauvegardes vérifiées, puis surveiller l’environnement avant le retour à la normale.
- Documenter les décisions, analyser les obligations de notification et communiquer avec transparence.
Un audit de sécurité et un test de vulnérabilité permettent de hiérarchiser les actions avant l’incident. Pour structurer la démarche, les ressources de Cybermalveillance.gouv.fr, de l’ANSSI, de la CNIL et du CNOEC constituent des points de départ utiles. Une formation régulière, idéalement une à deux fois par an avec des simulations de phishing, aide chaque collaborateur à repérer les signaux d’alerte et à réagir correctement.
