Les comptables : cibles de choix pour les cybercriminels

Les cabinets comptables gèrent chaque jour des volumes considérables de données financières, fiscales et personnelles. Cette réalité en fait des cibles particulièrement attractives pour les cybercriminels, qui voient dans ces structures une mine d’informations exploitables. Selon le baromètre CESIN, 49 % des entreprises ont subi au moins une cyberattaque significative, et les cabinets comptables ne font pas exception. L’attaque de Coaxis, qui a touché plus de 1 000 cabinets et affecté environ 350 000 entreprises, illustre brutalement l’ampleur du risque. Face à cette menace croissante, comprendre les vulnérabilités, adopter les bons réflexes et mettre en place des outils adaptés n’est plus une option : c’est une nécessité absolue.

Comprendre la vulnérabilité des cabinets comptables face aux cyberattaques

Une cible structurellement exposée

Les cabinets comptables présentent un profil de risque élevé pour une raison simple : ils concentrent, au sein de systèmes souvent insuffisamment protégés, des données d’une valeur exceptionnelle. Numéros de comptes bancaires, bilans financiers, données fiscales, informations personnelles de dirigeants… L’ensemble de ces données constitue un trésor pour les cybercriminels. Or, la majorité des cabinets sont des structures de taille modeste, avec des ressources informatiques limitées et peu de personnel dédié à la sécurité.

Des systèmes informatiques souvent vieillissants

Beaucoup de cabinets comptables utilisent encore des logiciels anciens, parfois non mis à jour, qui présentent des failles connues et exploitables. L’ANSSI rappelle régulièrement que les systèmes non patchés représentent l’un des vecteurs d’attaque les plus courants. À cela s’ajoute une infrastructure réseau parfois défaillante, avec des accès distants mal sécurisés, notamment depuis la généralisation du télétravail.

Le facteur humain, premier maillon faible

Les erreurs humaines restent la principale porte d’entrée des cyberattaques. Parmi les comportements à risque les plus fréquents :

• L’ouverture de pièces jointes malveillantes reçues par e-mail (phishing)
• L’utilisation de mots de passe faibles ou réutilisés sur plusieurs services
• Le clic sur des liens frauduleux imitant des plateformes officielles
• Le partage de fichiers sensibles via des canaux non sécurisés
• L’absence de vérification de l’identité des interlocuteurs en cas de demande urgente

Ces comportements, souvent anodins en apparence, peuvent ouvrir la voie à des attaques dévastatrices. La vigilance individuelle est donc aussi importante que les outils techniques.

Comprendre ces vulnérabilités structurelles permet de mieux cerner pourquoi les cybercriminels orientent si délibérément leurs efforts vers les professionnels de la comptabilité.

Les raisons pour lesquelles les experts-comptables sont ciblés

Des données financières d’une valeur exceptionnelle

Un cabinet comptable détient, pour chacun de ses clients, un ensemble de données stratégiques : bilans, liasses fiscales, bulletins de salaire, coordonnées bancaires, statuts juridiques. Ces informations permettent à un cybercriminel de commettre des fraudes fiscales, des virements frauduleux ou des usurpations d’identité à grande échelle. La valeur marchande de ces données sur le dark web est considérable, ce qui justifie l’intérêt croissant des hackers pour ce secteur.

Un accès privilégié aux systèmes de nombreuses entreprises

Les experts-comptables sont souvent connectés aux systèmes d’information de leurs clients : logiciels de paie, plateformes bancaires, outils de gestion. Compromettre un cabinet, c’est potentiellement accéder aux données de dizaines, voire de centaines d’entreprises clientes. Ce phénomène de rebond, appelé attaque par la chaîne d’approvisionnement, est particulièrement redouté par les autorités de cybersécurité.

Une perception erronée du risque

Beaucoup de professionnels de la comptabilité estiment, à tort, que leur taille ou leur discrétion les protège. Cette illusion de sécurité conduit à des investissements insuffisants en matière de protection informatique. Or, selon l’ANSSI, environ 60 % des cyberattaques ciblent les petites et moyennes entreprises, catégorie dans laquelle se trouvent la grande majorité des cabinets comptables.

Ces motivations claires pour les attaquants ont des répercussions concrètes et souvent dramatiques pour les cabinets qui en sont victimes.

Les conséquences dévastatrices d’une cyberattaque sur un cabinet comptable

Des pertes financières immédiates et durables

Une cyberattaque entraîne des coûts directs considérables : rançons exigées par les attaquants, frais de remédiation, coûts de restauration des systèmes, honoraires d’experts en cybersécurité. Mais les pertes indirectes sont souvent plus lourdes encore : arrêt de l’activité, perte de clients, baisse du chiffre d’affaires, voire fermeture définitive du cabinet dans les cas les plus graves.

Une atteinte irrémédiable à la réputation

La relation entre un expert-comptable et ses clients repose sur une confiance absolue. Une fuite de données compromet instantanément cette relation. Les clients lésés peuvent engager la responsabilité civile du cabinet, et la réputation construite sur des années peut s’effondrer en quelques jours. Dans un secteur où le bouche-à-oreille joue un rôle déterminant, les conséquences réputationnelles sont souvent irréversibles.

Des impacts juridiques et réglementaires

En cas de violation de données personnelles, le cabinet est tenu de notifier la CNIL dans un délai de 72 heures. Le non-respect de cette obligation expose à des sanctions financières importantes. Par ailleurs, les clients touchés peuvent engager des poursuites judiciaires. Les conséquences légales d’une cyberattaque mal gérée peuvent ainsi s’étaler sur plusieurs années.

• Sanctions de la CNIL pouvant atteindre 4 % du chiffre d’affaires mondial
• Poursuites civiles des clients victimes de fuites de données
• Résiliation des contrats d’assurance professionnelle
• Mise en cause de la responsabilité pénale dans certains cas

Ces conséquences multidimensionnelles imposent une prise de conscience collective au sein des équipes, bien au-delà du seul responsable informatique.

Adopter une culture de la cybersécurité au sein des équipes comptables

Faire de la sécurité une affaire de tous

La cybersécurité ne peut pas reposer uniquement sur les épaules d’un prestataire informatique externe. Chaque collaborateur du cabinet doit être considéré comme un acteur de la sécurité. Cela implique de diffuser une culture du risque numérique à tous les niveaux hiérarchiques, des associés aux assistants comptables, en passant par les fonctions administratives.

Former régulièrement les équipes

La formation est le pilier central d’une culture de cybersécurité efficace. Elle doit être régulière, pratique et adaptée aux réalités du métier comptable. Les thèmes prioritaires à aborder incluent :

• La reconnaissance des tentatives de phishing et de spear phishing
• Les bonnes pratiques en matière de gestion des mots de passe
• Les règles de partage sécurisé des documents financiers
• La gestion des accès et des droits selon les profils
• Les comportements à adopter en cas d’incident suspect

Des simulations d’attaques, comme des campagnes de faux phishing en interne, permettent de tester et d’ancrer ces réflexes dans la pratique quotidienne.

Instaurer des procédures claires et documentées

Une culture de la cybersécurité se traduit aussi par des procédures écrites, connues de tous et régulièrement mises à jour. Un plan de réponse aux incidents, une charte informatique et une politique de gestion des accès sont des documents fondamentaux que tout cabinet devrait posséder. Leur existence réduit le temps de réaction en cas d’attaque et limite les dommages.

Cette culture collective constitue le socle sur lequel reposent toutes les mesures techniques de protection des données sensibles.

Les mesures essentielles pour protéger les données financières sensibles

Chiffrement et sauvegarde : les fondamentaux

Le chiffrement des données est une mesure incontournable pour tout cabinet comptable. Il garantit que, même en cas d’accès non autorisé, les informations restent illisibles pour l’attaquant. Toutes les données sensibles doivent être chiffrées, qu’elles soient stockées localement ou dans le cloud. En parallèle, une politique de sauvegarde rigoureuse doit être mise en place, selon la règle du 3-2-1 : trois copies des données, sur deux supports différents, dont une hors site.

Gestion des accès et authentification renforcée

L’accès aux données financières doit être strictement contrôlé. Chaque collaborateur ne doit avoir accès qu’aux informations nécessaires à son travail, selon le principe du moindre privilège. L’authentification à deux facteurs (2FA) doit être systématiquement activée sur tous les outils métiers, les messageries professionnelles et les accès distants.

Mise à jour systématique des systèmes

Les mises à jour logicielles et systèmes ne doivent jamais être reportées. Elles corrigent des failles de sécurité connues que les cybercriminels exploitent activement. Un calendrier de mise à jour régulier, supervisé par un responsable désigné, est indispensable. Cela concerne :

• Les systèmes d’exploitation des postes de travail
• Les logiciels comptables et de paie
• Les navigateurs web et clients de messagerie
• Les équipements réseau (routeurs, pare-feux)

Ces mesures de protection des données doivent s’inscrire dans une stratégie globale de sécurisation des systèmes d’information du cabinet.

Comment sécuriser efficacement les systèmes d’information des cabinets

Segmenter le réseau informatique

La segmentation du réseau consiste à diviser l’infrastructure informatique en zones distinctes, de sorte qu’une compromission d’un segment ne se propage pas à l’ensemble du système. Un réseau dédié aux données clients, séparé du réseau utilisé pour la navigation internet, réduit considérablement la surface d’attaque. Cette approche est recommandée par l’ANSSI pour toutes les structures manipulant des données sensibles.

Sécuriser les accès distants

Le télétravail a multiplié les points d’entrée potentiels dans les systèmes des cabinets. L’utilisation d’un réseau privé virtuel (VPN) professionnel est indispensable pour chiffrer les communications entre les collaborateurs à distance et les serveurs du cabinet. Les connexions via des réseaux Wi-Fi publics doivent être strictement interdites sans VPN actif.

Mettre en place un plan de continuité d’activité

Un plan de continuité d’activité (PCA) permet au cabinet de maintenir ses opérations essentielles en cas d’attaque. Il doit prévoir :

• Les procédures de basculement vers des systèmes de secours
• Les contacts d’urgence internes et externes (prestataires, ANSSI, CNIL)
• Les délais de restauration acceptables pour chaque type de donnée
• Les modalités de communication vers les clients en cas d’incident

Ce plan doit être testé régulièrement pour s’assurer qu’il est opérationnel le jour où il sera réellement nécessaire.

Pour mettre en œuvre cette stratégie de sécurisation, les cabinets disposent aujourd’hui d’un arsenal d’outils spécialisés qu’il convient de connaître et de déployer.

Les outils indispensables pour renforcer la sécurité informatique en comptabilité

Les solutions antivirus et EDR

Un antivirus professionnel de nouvelle génération, couplé à une solution EDR (Endpoint Detection and Response), permet de détecter et de neutraliser les menaces en temps réel sur l’ensemble des postes de travail du cabinet. Ces outils analysent les comportements suspects, et non plus seulement les signatures de virus connues, ce qui les rend efficaces contre les attaques inédites. L’installation sur l’ensemble du parc informatique, y compris les ordinateurs portables des collaborateurs en télétravail, est impérative.

Les gestionnaires de mots de passe

L’utilisation d’un gestionnaire de mots de passe professionnel permet de générer, stocker et partager des identifiants complexes de manière sécurisée. Plus aucun collaborateur n’a d’excuse pour utiliser un mot de passe faible ou réutilisé. Ces outils permettent également de révoquer rapidement les accès d’un collaborateur qui quitte le cabinet, limitant ainsi les risques liés aux départs.

Les solutions de sauvegarde et de chiffrement

Des logiciels de sauvegarde automatisée, couplés à des solutions de chiffrement de bout en bout, garantissent l’intégrité et la confidentialité des données même en cas d’incident. Les sauvegardes doivent être stockées sur des supports externes déconnectés du réseau principal, ou dans des environnements cloud sécurisés et conformes au RGPD.

Les pare-feux et systèmes de détection d’intrusion

Un pare-feu professionnel, correctement configuré, filtre les flux entrants et sortants du réseau du cabinet. Associé à un système de détection d’intrusion (IDS), il permet d’identifier rapidement toute activité anormale. Ces équipements réseau constituent la première ligne de défense périmétrique du cabinet.

Ces outils techniques ne dispensent pas les cabinets de respecter un cadre légal et réglementaire de plus en plus exigeant en matière de cybersécurité.

Les obligations légales et réglementaires en matière de cybersécurité pour les comptables

Le RGPD, une obligation incontournable

Le règlement général sur la protection des données (RGPD) impose aux cabinets comptables, en tant que responsables de traitement, de mettre en œuvre des mesures techniques et organisationnelles appropriées pour protéger les données personnelles de leurs clients. En cas de violation de données, la notification à la CNIL est obligatoire dans un délai de 72 heures. Le non-respect du RGPD expose à des amendes pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial.

Les recommandations de l’ANSSI

L’Agence nationale de la sécurité des systèmes d’information publie des guides pratiques et des référentiels de sécurité adaptés aux petites structures. Le guide d’hygiène informatique de l’ANSSI liste 42 mesures fondamentales que tout cabinet devrait mettre en œuvre. Ces recommandations, bien que non contraignantes, constituent une référence reconnue en cas de litige ou d’audit.

Les obligations spécifiques aux experts-comptables

En tant que membres d’une profession réglementée, les experts-comptables sont soumis à des obligations déontologiques de confidentialité qui renforcent les exigences légales générales. L’Ordre des experts-comptables a émis des recommandations spécifiques en matière de sécurité informatique. Par ailleurs, les cabinets qui traitent des données de paiement doivent se conformer à la norme PCI-DSS. Les principales obligations à respecter incluent :

• La tenue d’un registre des activités de traitement des données
• La réalisation d’analyses d’impact (DPIA) pour les traitements à risque élevé
• La désignation d’un délégué à la protection des données (DPO) si nécessaire
• La mise en place de clauses contractuelles avec les sous-traitants numériques
• La notification des violations de données dans les délais légaux

Les cabinets comptables se trouvent ainsi au carrefour de multiples exigences légales qui font de la cybersécurité une obligation à part entière de l’exercice de leur profession.

Les cabinets comptables ne peuvent plus ignorer la réalité d’un environnement numérique hostile. La richesse des données qu’ils détiennent, combinée à des ressources de protection souvent insuffisantes, en fait des cibles privilégiées des cybercriminels. Des statistiques alarmantes, des attaques retentissantes comme celle de Coaxis, et un cadre réglementaire de plus en plus contraignant envoient un message sans ambiguïté : la cybersécurité est désormais une composante stratégique de la gestion d’un cabinet. Former les équipes, déployer les bons outils, respecter les obligations légales et structurer une réponse aux incidents ne sont pas des options réservées aux grandes structures. Ce sont des impératifs qui conditionnent la survie et la crédibilité de tout professionnel de la comptabilité à l’ère numérique.