Professionnel du chiffre, vous êtes le garant des données sensibles de vos clients, et cela fait de vous une cible de choix pour les cyberattaques. 👾 Hameçonnage, virus, piratage de compte… À l’ère du tout numérique, les menaces qui planent sur les cabinets comptables se multiplient et sont de plus en plus sophistiquées. Alors, comment s’en protéger ? Quels réflexes adopter ? Décryptage des stratégies incontournables pour renforcer la cybersécurité des experts-comptables. 🛡️

L’essor de la cybercriminalité, un défi pour les cabinets comptables

60 % des cyberattaques visent les petites et moyennes entreprises selon l’ANSSI (Agence nationale de la sécurité des systèmes d’information). Malheureusement, les cabinets comptables ne sont pas épargnés.

Et pour cause, dans le cadre de vos missions, vous manipulez quotidiennement des informations financières et personnelles très sensibles. Précieuses pour vos clients, ces données sont aussi une mine d’or pour les cybercriminels, qui cherchent à exploiter la moindre faille dans votre système de sécurité. Or, une cyberattaque réussie peut être lourde de conséquences pour votre activité. 💥 Fuite d’informations sensibles, perturbation de l’activité, dommages matériels, frais de récupération des données…mais aussi et surtout, la perte de confiance de vos clients et l’impact sur votre réputation.

Il est donc crucial de prendre conscience des risques auxquels vous êtes exposés et de mettre en place des stratégies de sécurité adaptées. Tour d’horizon des principales cyberattaques auxquelles vous devez être préparé.

‍

L’usurpation d’identité ou « spoofing »

Très répandue, la technique du spoofing consiste à trafiquer son identité réelle pour se faire passer pour une personne de confiance (administration publique, client, collaborateur du cabinet…). L’objectif, comme pour toute cyberattaque, est de récupérer des données sensibles et/ou vous faire réaliser une action malveillante (comme un virement bancaire, par exemple). De très nombreuses formes d’usurpation existent : adresse mail, site, numéro de téléphone…

La fraude au président

Exemple courant de spoofing, la fraude au président consiste à usurper l’identité du véritable président de votre cabinet pour vous demander d’effectuer un virement urgent. La somme transférée est bien sûr destinée à un compte bancaire frauduleux.

La fraude au RIB

Autre arnaque malheureusement très courante auprès des cabinets comptables et de leurs clients : la fraude au détournement de RIB. Le cybercriminel va pirater votre boîte mail, ou celle de l’un de vos clients, par exemple, pour intercepter les différents messages échangés. Ciblant les mails contenant des pièces jointes, et particulièrement un RIB, il va ensuite remplacer le vrai RIB par un faux, pour détourner les paiements vers son propre compte. Autre procédé tout aussi efficace, le hacker va usurper votre identité ou celle de l’un de vos partenaires d’affaires pour prévenir d’un soi-disant changement de RIB. Si les modifications sont faites sans vérifications complémentaires, les prochaines transactions seront ainsi réalisées vers le compte bancaire frauduleux.

L’hameçonnage ou « Phishing »

Technique de manipulation désormais classique, le Phishing fonctionne comme un appât (d’où son nom). Les cyberattaquants envoient des mails ou SMS semblant fiables et imitant ceux d’une institution ou d’une entreprise, dans le but de récupérer des informations confidentielles (le plus souvent des identifiants de connexion et des mots de passe). Ces messages contiennent généralement une pièce jointe infectée d’un logiciel malveillant ou un lien vers une fausse page web imitant un site réel (celui d’une banque, par exemple).

Les « malwares »

Dérivé de « malicious software », ce terme est utilisé pour désigner tout logiciel contenant du code malveillant. Virus, cheval de Troie, rançongiciels… 👾 Les malwares sont conçus pour infiltrer, espionner et/ou endommager n’importe quel système informatique. En tant qu’expert-comptable, en raison du volume considérable de données traitées et des partages de fichiers récurrents avec vos clients (généralement par mail), vous êtes particulièrement exposé à ce type de menaces. Il suffit d’un téléchargement inapproprié, d’une pièce jointe ou d’une clé USB vérolée, d’un clic sur un lien vers une page internet piégée…

‍

Gagnez du temps avec vos obligations LAB

‍

Les rançongiciels ou « ransomwares »

Type de malwares justement très répandus, les rançongiciels sont des programmes qui cryptent les données d’un ordinateur ou d’un réseau et exigent le paiement d’une rançon pour les déverrouiller. À la clé, la perte de vos données, mais aussi et surtout une paralysie totale de toute activité, avec l’impossibilité d’accéder aux fichiers comptables et aux bases de données des clients. Et malheureusement, ce type de cyberattaque est en constante augmentation, c’est même le principal vecteur de cybercriminalité (+30 % en 2023 selon le dernier rapport de l’ANSSI !).

Les attaques de la chaîne d'approvisionnement

Les cybercriminels ciblent de plus en plus les fournisseurs ou partenaires des cabinets comptables pour obtenir un accès indirect aux données sensibles. On parle aussi d’attaque de tiers. En guise d’illustration, on se souviendra sans mal de l’attaque massive subie par Coaxis qui avait lourdement impacté la profession. Cette entreprise de services numériques hébergeait en effet les données clients de nombreux cabinets comptables et avait été victime d’une attaque par ransomware fin 2023. L’inaccessibilité des fichiers avait entraîné une forte perturbation de l’activité et notamment l’impossibilité de réaliser les déclarations fiscales et sociales dans les temps.

Les attaques par force brute

Redoutables pour forcer l'accès à vos comptes, les attaques par force brute se basent sur des programmes automatisés, conçus pour tester toutes les combinaisons possibles de mots de passe ou de clés, jusqu’à trouver la bonne. Si vos codes de connexion sont faibles ou réutilisés sur plusieurs comptes, vous êtes particulièrement vulnérable à ce type d'attaque.

Les attaques par déni de service (DDOS)

Une attaque DDOS vise à saturer un site ou un serveur par un afflux massif de connexions jusqu’à le rendre indisponible. Dépendant fortement de l’accès continu à des services en ligne (logiciels cloud, plateformes de télédéclaration…), les cabinets comptables peuvent être ciblés par ces cyberattaques dans le but de perturber, voire paralyser complètement leurs activités.

Les attaques par rebond ciblé

L’attaque par rebond consiste pour le cybercriminel à passer par un intermédiaire pour accéder à sa cible finale. Le principe est simple : le hacker prend le contrôle d’un ou plusieurs systèmes tiers puis utilise ces intermédiaires pour attaquer sa véritable cible (et ainsi masquer son identité). Cette technique est de plus en plus utilisée pour cibler les structures de très grande envergure, généralement bien protégées et donc difficiles à attaquer frontalement.

Comment sécuriser les données comptables ?

En tant que professionnel du chiffre, vous êtes soumis à des obligations strictes en matière de protection des informations sensibles de vos clients, notamment dans le cadre du Règlement Général sur la Protection des Données (RGPD). Cette réglementation va bien au-delà de la simple gestion des données, puisqu’elle englobe aussi la sécurité de vos systèmes d'information. 🛡️Pour rester en conformité et garantir la sécurité des données comptables, voici les principales stratégies à adopter :

Le chiffrement des données. Utilisez des solutions de cryptage robustes pour préserver l’intégrité et la confidentialité de toutes les données sensibles, que ce soit au repos (stockées sur vos serveurs ou dans le cloud) ou en transit (lors des échanges avec vos clients ou partenaires).
L’installation de logiciels de sécurité. Les antivirus et les pare-feux sont les bases incontournables de toute stratégie de cybersécurité. Choisissez un antivirus professionnel qui offre une protection en temps réel contre une large gamme de menaces, et configurez-le pour effectuer des analyses régulières de vos systèmes. Le pare-feu, en complément, permet de contrôler le trafic entrant et sortant de votre réseau pour bloquer toute tentative d’intrusion. Bien sûr, pour une protection optimale, ces outils doivent être mis à jour régulièrement et installés sur tous les appareils du cabinet, y compris les appareils mobiles.
Le contrôle des accès aux données sensibles. Adoptez le principe du moindre privilège, en n'accordant à chaque utilisateur que les accès strictement nécessaires à ses fonctions.
La réalisation d’audits de sécurité. Planifiez régulièrement des audits de sécurité (portant sur vos systèmes informatiques, mais aussi sur vos process organisationnels). Ils permettront d’identifier les potentielles vulnérabilités avant qu’elles ne soient exploitées par des cybercriminels. Après chaque audit, établissez un plan d’action pour corriger les failles identifiées.

La mise en place de sauvegardes. Les sauvegardes régulières de vos systèmes d’information sont cruciales pour la continuité d’activité du cabinet en cas d'incident. Dans l’idéal, adoptez la fameuse règle 3-2-1 : trois copies de vos données, sur deux types de supports différents, dont une copie hors site. Et bien sûr, testez régulièrement la restauration de vos sauvegardes pour vous assurer que tout fonctionne correctement.

‍

9 infos clés sur les opérations atypiques

‍

Les bonnes pratiques de cybersécurité à adopter

Quelques actions simples peuvent éviter un incident de sécurité préjudiciable pour le cabinet. Suivez le guide pour une cybersécurité à toute épreuve ! 💻🔐

Former et sensibiliser les équipes

Vous l’aurez compris, la faille humaine constitue le principal danger en matière de sécurité informatique. Vos collaborateurs représentent donc la première ligne de défense contre les cybermenaces. Organisez des formations régulières sur les techniques d’attaque les plus courantes (comme le phishing et les ransomwares) et les bonnes pratiques à adopter pour s’en protéger. Des exercices de simulation d’incident permettront aussi de tester et renforcer la vigilance et les réflexes de vos équipes. 🥷

Mettre en place une charte informatique

Indispensable pour guider vos collaborateurs dans la protection des données sensibles, une charte informatique claire et bien structurée doit notamment prévoir :

Les conditions d’utilisation de tous les appareils connectés au réseau de votre cabinet. Cela inclut les ordinateurs, les imprimantes, mais aussi tous les autres périphériques pouvant accéder à vos systèmes d’information (smartphone, tablette…).
Les modalités d’utilisation personnelle de ces équipements. Comme la possibilité, ou non, de consulter certains sites internet, de faire des téléchargements, d'installer de nouvelles applications.
Les bonnes pratiques en matière de sécurité. L’obligation de verrouiller son ordinateur lorsque l’on quitte son poste de travail, l’utilisation de mots de passe robustes différents d’un compte à un autre, et régulièrement renouvelés…font partie des réflexes indispensables à adopter au quotidien.
La gestion des droits d’accès aux données. Attribuez des niveaux d’accès différents en fonction des besoins des équipes, et n’oubliez pas de prévoir la procédure applicable lors du départ d’un collaborateur (restitution du matériel, suppression des comptes et accès…).

Sélectionner des prestataires de confiance

Vos fournisseurs et partenaires peuvent être des points d'entrée pour les cybercriminels. Vous devez donc être particulièrement vigilant dans le choix des prestataires retenus et vous assurer qu’ils appliquent des standards de sécurité élevés. Avant tout engagement, n’hésitez pas à demander un Plan d’assurance sécurité (un document à la fois technique et juridique qui formalise l’ensemble des mesures de sécurité qui seront mises en œuvre par le prestataire pour protéger vos données et systèmes d'information). Intégrez également des clauses spécifiques dans vos contrats pour définir un certain nombre d’obligations en matière de protection des données.

Renforcer les mots de passe

Exit l’indétrônable « 123456 », mot de passe le plus utilisé en France alors qu’il est déchiffrable en moins d’une seconde par un hacker ! 💥 Pour assurer la sécurité de vos données, il est indispensable de choisir des mots de passe complexes et uniques pour chaque utilisation, d'au moins 12 caractères, mélangeant majuscules, minuscules, chiffres et caractères spéciaux. Dans l’idéal, prévoyez une politique de changement régulier des mots de passe (tous les 2 ou 3 mois, par exemple).

Maintenir les systèmes à jour

Les mises à jour sont longues et tombent parfois pile au mauvais moment lorsque l’on manque de temps. Ne les reportez pas pour autant, elles sont essentielles pour corriger les failles de sécurité et vous protéger contre les nouvelles menaces. 🛡️ Lorsque c’est possible, configurez les mises à jour automatiques, particulièrement pour les systèmes d'exploitation et les logiciels de sécurité. Et pour ne pas interrompre ou perturber les opérations du cabinet, prévoyez simplement des fenêtres de maintenance régulières en dehors de toute activité (en pleine nuit par exemple).

Souscrire une cyberassurance

Parce que les mesures de sécurité et de prévention ne suffisent pas toujours, une assurance cyber vous offre une protection financière en cas d’incident. Les différentes polices couvrent généralement les coûts de récupération des données et de restauration des systèmes. 📜 Et selon le niveau de protection souscrit, les éventuelles poursuites juridiques et pertes de revenus liées à l’interruption d’activité peuvent aussi être prises en charge.

Créer un plan de continuité et de reprise d’activité

Ce document permet de maintenir les activités essentielles de l’entreprise, même en cas d’incident majeur (qu’il s’agisse d’une cyberattaque, d’une panne matérielle, ou de tout autre sinistre). Identifiez les opérations indispensables à votre activité (comme la facturation ou les prises de commandes clients). Définissez ensuite des stratégies de continuité et les actions à entreprendre immédiatement après une attaque. Cela peut inclure la migration vers des services en cloud pour assurer la disponibilité des données, un protocole de communication d’urgence, des procédures de restauration des données critiques, etc.

‍

En définitive, ce guide illustre l'importance de la cybersécurité pour les experts-comptables. L'évolution constante des cybermenaces oblige les cabinets comptables à prendre des mesures proactives et robustes pour se protéger des attaques potentiellement dévastatrices. De l'identification des risques à l'adoption de stratégies de défense multicouches, en passant par la sensibilisation des employés, chaque aspect de la cybersécurité joue un rôle crucial pour préserver l'intégrité et la confiance au sein de l'industrie comptable. Ce guide a pour vocation de servir de point de départ pour renforcer la cybersécurité de votre structure, mais le chemin vers une sécurité informatique infaillible reste un effort continu et adaptatif. Mettre en œuvre les meilleures pratiques et rester informé des nouveaux risques doit devenir une partie intégrante de la culture de votre entreprise pour protéger non seulement vos datas, mais également la réputation

‍