En bref : pour la sécurité informatique des conseillers fiscaux, ce qui compte, ce sont les systèmes que le cabinet exploite lui-même. Les grands portails des éditeurs de logiciels relèvent de la responsabilité de ces derniers ; le site web, les formulaires d'envoi de fichiers et les salles de données relèvent de la vôtre. Ils doivent maintenant passer sur un PHP corrigé, avec redémarrage et justificatif écrit.
Quels systèmes des cabinets fiscaux fonctionnent sur PHP
Pour la comptabilité financière et la paie, la plupart des cabinets utilisent des logiciels spécialisés et leurs portails. À côté, des solutions maison apparaissent au fil des ans : un formulaire d'envoi de justificatifs sur le site web, des questionnaires pour l'impôt sur le revenu, une page permettant aux nouveaux salariés des clients de saisir les données de base de la paie, un portail de candidatures ou un Nextcloud exploité en interne pour les gros fichiers.
Ces systèmes fonctionnent presque toujours sur PHP et sont suivis par une agence, une société informatique ou un hébergeur. Ce sont surtout les petits formulaires qui tombent dans l'oubli, parce qu'ils ont été installés un jour et fonctionnent depuis sans problème. Souvent, les justificatifs envoyés restent alors des années dans le dossier d'envoi du serveur web, alors qu'ils sont depuis longtemps traités dans le logiciel du cabinet.
Quelles données sont en jeu
Les cabinets fiscaux traitent des données avec une densité que peu d'autres secteurs atteignent : IBAN et relevés de compte, numéros d'identification fiscale, justificatifs de revenus, registres d'associés et bulletins de paie. Les données de paie contiennent parfois aussi des catégories particulières au sens de l'art. 9 du RGPD, par exemple l'appartenance religieuse pour l'impôt ecclésiastique allemand (Kirchensteuer).
S'y ajoute le secret professionnel : les conseillers fiscaux sont tenus à la confidentialité, et la divulgation non autorisée peut être punissable selon le § 203 StGB (code pénal allemand). Et de nombreuses personnes concernées ne sont pas vos clients, mais leurs salariés. En cas de fuite, le cercle des personnes touchées s'élargit ainsi rapidement.
Sécurité informatique des conseillers fiscaux : ce qu'un incident déclenche concrètement
Une attaque contre un cabinet fiscal a des conséquences typiques, qui diffèrent de celles d'autres secteurs :
- Fraude avec de vraies données : quiconque connaît les factures, les coordonnées bancaires et les interlocuteurs peut envoyer aux clients de fausses demandes de paiement d'une grande crédibilité.
- Pression des délais : si le portail d'envoi tombe en panne en période de dépôt, les justificatifs s'accumulent et les clients se rabattent sur des voies peu sûres comme les e-mails non chiffrés.
- Confiance : les clients comptent sur la confidentialité de leurs finances. Un incident dont ils apprennent l'existence par la presse pèse plus lourd que celui dont le cabinet les informe lui-même de façon factuelle.
Si votre portail d'envoi se trouve sur un serveur dont personne ne peut confirmer l'état des correctifs PHP, déconnectez-le du réseau jusqu'à ce que le correctif et le redémarrage soient prouvés. C'est ce que recommande le BSI (office fédéral allemand de la sécurité des technologies de l'information) pour les serveurs qui ne peuvent pas être mis à jour immédiatement.
Le vide de responsabilité entre société informatique et agence
La société informatique s'occupe du logiciel de cabinet et des postes de travail, l'agence du site web, l'hébergeur du serveur. Qui est responsable de PHP sur le serveur web est rarement indiqué explicitement dans le contrat. Clarifiez-le maintenant et faites-vous confirmer l'état des paquets. Comment interpréter ces indications, le guide Vérifier la version de PHP et l'état des correctifs l'explique.
Les versions corrigées sont PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Si une interface affiche une version plus ancienne, un backport peut malgré tout avoir été appliqué. À l'inverse, une mise à jour sans redémarrage des processus PHP ne suffit pas.
Ce que vos clients devraient savoir maintenant
Les clients réagissent aux informations sur les failles de sécurité par de l'incertitude, surtout lorsqu'ils envoient régulièrement des justificatifs. Une information brève et factuelle instaure alors la confiance : quelles voies s'appliquent actuellement pour l'échange de justificatifs, que le cabinet ne modifie jamais de coordonnées bancaires par e-mail et que les demandes de paiement suspectes devraient faire l'objet d'une vérification par téléphone.
Pour les clients entreprises, une autre consigne est utile : les services de paie et les directions du personnel devraient être particulièrement vigilants face aux demandes concernant des données de salaire ou des coordonnées bancaires modifiées de salariés. Ces tentatives de fraude exploitent volontiers des connaissances issues de cabinets. Savoir si un incident concret exige une information formelle au titre du RGPD est une question distincte, que vous clarifiez avec votre délégué à la protection des données.
Premières heures pour la direction du cabinet
- Recenser tous vos propres systèmes PHP accessibles depuis Internet, y compris les anciens formulaires et les installations de test.
- Pour chaque système, faire confirmer par écrit l'état des correctifs et le redémarrage, ou le désactiver temporairement.
- Sauvegarder les journaux à partir du 20 octobre 2026 et définir une voie de remplacement sûre pour l'échange de justificatifs.
- Informer tôt l'assureur et le délégué à la protection des données. Ce que votre contrat exige, la page consacrée à la cyberassurance l'explique.
Comment PHP SOS aide-t-il concrètement ?
- Nous recensons tous les systèmes PHP du cabinet accessibles de l'extérieur et déterminons lesquels relèvent de l'éditeur de logiciel et lesquels relèvent de vous.
- Dans le cadre de l'aide immédiate PHP2Shell, nous appliquons le correctif ou le faisons appliquer, redémarrons tous les workers et justifions le résultat.
- Nous vérifions les répertoires d'envoi et les bases de données à la recherche de webshells et d'accès inconnus.
- Nous faisons le ménage : ce qui n'est plus utile, nous le désactivons en concertation plutôt que de continuer à le corriger.
- Avec un contrat de maintenance de sécurité, la responsabilité de PHP reste ensuite clairement réglée.
Questions fréquentes
L'échange de pièces via de grands portails logiciels est-il concerné ?
Les portails qu'un éditeur de logiciel exploite dans son propre centre de données relèvent de sa responsabilité. L'éditeur est responsable de leur état de correctifs. Peuvent surtout être concernés les systèmes que votre cabinet exploite lui-même ou via une agence, par exemple les formulaires du site web, les pages d'envoi de fichiers ou un Nextcloud propre.
Pourquoi les données des conseillers fiscaux intéressent-elles autant les attaquants ?
Un cabinet fiscal rassemble les données de nombreuses entreprises et personnes privées : coordonnées bancaires, revenus, numéros d'identification fiscale et données de paie de salariés. Cela permet de préparer des e-mails de fraude crédibles et des usurpations d'identité. Un seul incident touche ainsi souvent des centaines de personnes qui n'ont jamais mandaté directement le cabinet.
Que faire si le portail doit être mis hors ligne en pleine période de dépôt ?
Définissez à l'avance une voie de remplacement pour l'échange de pièces, par exemple une remise chiffrée via un système non concerné. Informez brièvement et sobrement vos clients. Les délais et les éventuelles prorogations, vous les traitez comme d'habitude sur le fond ; un portail mis hors ligne ne remplace pas une concertation à ce sujet.
La cyberassurance paie-t-elle si nous n'étions pas à jour des correctifs ?
Cela dépend des conditions et des obligations de votre contrat. Informez tôt l'assureur et documentez quelle mesure vous avez prise et quand. Seuls l'assureur ou votre courtier peuvent fournir une réponse contraignante.