Cyberattaque en cabinet comptable : ce que ça coûte vraiment au dirigeant

En décembre 2023, l’hébergeur Coaxis se fait attaquer par un rançongiciel. Résultat : 1 200 cabinets comptables se retrouvent privés d’accès à leurs logiciels de production, à leurs mails, à leurs dossiers. 350 000 entreprises clientes impactées. Il faudra un mois complet pour que le service redevienne totalement opérationnel. Un mois en pleine période de clôtures et de télédéclarations.

La plupart des dirigeants de cabinet voient ce genre d’histoire comme un problème informatique. C’est une partie du sujet. Mais ce n’est plus le cœur du sujet.

Les cabinets comptables sont devenus des cibles prioritaires

Les pirates savent exactement pourquoi ils visent votre cabinet. Vous détenez les résultats financiers de vos clients, leurs listes de fournisseurs, leurs coordonnées bancaires, leurs mots de passe d’accès à des portails administratifs, leurs informations stratégiques. Tout ce qui peut se revendre ou servir à lancer d’autres attaques.

Concrètement, quatre types d’attaques reviennent systématiquement :

Le rançongiciel, qui chiffre vos données et exige une rançon pour vous rendre l’accès. C’est ce qui a frappé Coaxis. Même si vous payez, rien ne garantit que vous récupérerez vos fichiers.

Le phishing ciblé (spearphishing), où un pirate se fait passer pour un client, un banquier, voire vous-même auprès d’un collaborateur. L’ANSSI en voit passer tous les jours. Un mail qui ressemble à s’y méprendre à une alerte Urssaf, DGFiP ou Greffe, et votre collaborateur clique.

L’infostealer, un logiciel discret qui aspire identifiants, mots de passe, historiques de navigation, données bancaires, sans rien bloquer. Personne ne voit rien. Il repart avec tout.

L’attaque par rebond, où le pirate ne s’intéresse pas à vous, mais à vos clients. Il entre dans votre système parce que votre protection est plus faible que celle d’un grand groupe, puis il utilise vos accès pour taper vos clients. Et comme vous avez leurs identifiants pour faire des télédéclarations, vous devenez la porte d’entrée.

Selon le baromètre 2024 du Cesin, une entreprise française sur deux a subi au moins une cyberattaque dans l’année. 60 % passent par du phishing.

Ce qui a changé : la responsabilité personnelle du dirigeant

Pendant longtemps, une cyberattaque en cabinet, c’était un souci informatique. On appelait le prestataire, on remettait en route, on serrait les dents.

Aujourd’hui, les tribunaux regardent autre chose : est-ce que vous, dirigeant, avez agi avec la diligence qu’on attend d’un chef d’entreprise face à un risque connu.

L’article L.225-251 du Code de commerce et l’article 32 du RGPD posent une obligation claire : le dirigeant doit mettre en place des mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque. Pas une sécurité parfaite, mais une démarche proactive, documentée, proportionnée.

La jurisprudence récente a précisé ce qu’on attend concrètement :

• une politique de sécurité formalisée
• des ressources humaines et financières cohérentes
• des audits et tests réguliers
• un processus de gestion des incidents
• la sensibilisation des collaborateurs
• des mesures techniques adaptées aux risques identifiés

Si rien de tout ça n’est en place le jour de l’attaque, vous vous exposez à trois niveaux de risques.

Civil : action de la société, des associés, ou d’un client lésé. Les préjudices (coûts de remédiation, pertes d’exploitation, atteinte à la réputation, dommages subis par les clients) peuvent être réclamés directement sur votre patrimoine personnel si une faute de gestion est caractérisée.

Pénal : mise en danger d’autrui, négligence caractérisée en matière de protection des données (article 226-17 du Code pénal), défaut de notification d’une violation, amendes pouvant atteindre plusieurs centaines de milliers d’euros, peines d’emprisonnement dans les cas graves, interdiction de gérer.

Réglementaire : sanctions CNIL, qui peuvent aller jusqu’à 4 % du chiffre d’affaires mondial pour les violations RGPD. Ça touche le cabinet, mais ça rejaillit sur le dirigeant.

Et sur l’assurance RCMS (Responsabilité Civile des Mandataires Sociaux), beaucoup de polices comportent des exclusions spécifiques sur les incidents cyber, surtout en cas de négligence caractérisée. Autrement dit, si vous n’avez rien fait en amont, votre assurance peut refuser de vous couvrir.

Le jour où vous vendez votre cabinet, la cybersécurité devient un sujet

Dans la cession de cabinets, la cybersécurité n’est pas encore un critère d’évaluation central. Les audits se concentrent sur les risques sociaux, fiscaux, et sur le portefeuille clients. Pas sur la protection des systèmes.

Mais la tendance bascule. Laurent Charrier, associé chez Viou & Gouron (spécialiste de la cession de cabinets comptables), le dit clairement : avoir une cybersécurité à l’état de l’art ne va pas faire grimper la valorisation, mais des failles trop visibles peuvent la faire baisser.

Entre deux cabinets équivalents, un acquéreur va vite faire la différence :

• celui qui n’a pas de politique de mots de passe, des antivirus obsolètes, des sauvegardes dans un tiroir à côté du serveur
• celui qui a investi dans une protection correcte, des sauvegardes testées, des collaborateurs sensibilisés

Le premier va se retrouver avec une décote ou une négociation dure sur la garantie de passif. Le second passe sans friction.

Le point à retenir : la cybersécurité ne vous rapporte pas d’argent au moment de vendre, mais son absence vous en coûte.

Ce qu’il faut faire, concrètement

Pas besoin d’un plan à six chiffres ni d’un RSSI en interne. Pour un cabinet de 5 à 30 personnes, trois chantiers suffisent à sortir de la zone rouge :

Sensibiliser les équipes. La majorité des attaques passent par un collaborateur qui clique. Une session d’une demi-journée par an, avec des exemples concrets (fraude au président, spoofing d’administration, fausse facture), réduit drastiquement le risque.

Auditer les vulnérabilités une fois par an. Pas un audit de 40 pages. Un état des lieux sur les basiques : qui a accès à quoi, comment sont gérés les mots de passe, où sont les sauvegardes, sont-elles testées, quelle est la protection des postes.

Mettre en place le minimum technique. Sauvegardes externalisées et testées, protection des postes modernisée, double authentification sur les accès sensibles, gestion propre des départs de collaborateurs. Rien de révolutionnaire, mais ça suffit à ne pas être la cible facile.

Six entreprises sur dix victimes de cyberattaques ne survivent pas. Pour un cabinet comptable qui vit de la confiance de ses clients sur des données sensibles, l’équation est simple : vous investissez un peu chaque année pour ne pas avoir à investir beaucoup un jour, sur un dossier judiciaire ou une cession compromise.

Si vous voulez qu’on regarde ensemble où en est votre cabinet sur ces trois chantiers, sans engagement et sans jargon, je vous propose un échange de 30 minutes.

Sources :

• Agiris, “Cyberattaque en cabinet comptable : exemples les plus courants”, mai 2025
• Cabinet Mirabile Avocat, “Responsabilité juridique des dirigeants face aux cyberattaques”, septembre 2025
• Viou & Gouron, “La cybersécurité, un nouveau sujet lors de la cession d’un cabinet”
• Paris Tronchet Assurances, “Cybersécurité : la responsabilité du dirigeant”, octobre 2024

À propos d’Altevia Tech

Altevia Tech accompagne les TPE et PME d’Occitanie sur leur informatique et leur cybersécurité. Infogérance, supervision, sauvegardes, protection des postes, gouvernance des risques : tout ce qui doit tourner sans que le dirigeant ait à y penser, avec une alerte claire quand un sujet mérite son attention. La conviction du cabinet : l’informatique doit être un outil de pilotage, pas une source de stress. Pas de jargon, pas de sur-engineering, des offres lisibles et un interlocuteur qui connaît votre dossier.

À propos de l’auteur

François Thevenot a passé 15 ans dans la tech, notamment chez HP et Foxit, avant de créer Altevia Tech pour aider les PME d’Occitanie à gérer leur informatique et leur cybersécurité. Son constat, après des années sur le terrain : des dirigeants débordés, des prestataires IT qui ne rappellent pas, des risques sous-estimés jusqu’à l’incident. Sa mission consiste à remettre de la clarté et du bon sens dans tout ça, avant que ça coûte cher.