Données clients exposées: l’alerte pour les fiduciaires

Le piratage d’une fiduciaire vaudoise rappelle brutalement une réalité que beaucoup d’entreprises préfèrent repousser: les données comptables, fiscales et salariales sont une cible de premier choix. Selon Le Temps, une fiduciaire basée à Yverdon-les-Bains a vu des données de clients publiées sur le dark web, dont plus de 100 000 dossiers représentant quelque 220 Go. Le lot comprendrait des informations relatives à des particuliers, des entreprises, des institutions, des communes et même le dossier d’un conseiller d’Etat.

Pour les dirigeants de PME, les indépendants et les fiduciaires, l’affaire dépasse le fait divers informatique. Elle touche au cœur de la relation de confiance: déclarations fiscales, comptes annuels, fiches de salaire, pièces d’identité, coordonnées bancaires, correspondances avec les autorités. Lorsqu’un tel patrimoine informationnel sort du périmètre de l’entreprise, la question n’est plus seulement technique. Elle devient comptable, juridique, organisationnelle et commerciale.

Une fiduciaire, coffre-fort fiscal devenu cible

D’après Le Temps, le groupe d’extorsion numérique BravoX, associé à des attaques par ransomware, a revendiqué début juillet le piratage de la fiduciaire vaudoise. Le 18 juillet, les données auraient été mises en ligne sur un site clandestin. En début de semaine, ce site affichait déjà près de 250 téléchargements, selon un spécialiste du dark web cité par le journal.

Le dark web désigne une partie d’internet qui n’est pas accessible par les moteurs de recherche usuels et qui nécessite des outils spécifiques. Il peut servir à des usages légitimes, mais il est aussi utilisé pour diffuser ou vendre des informations volées. Pour une PME dont les documents se retrouvent dans ce type d’environnement, le dommage ne se limite pas à la confidentialité perdue: les informations peuvent être réutilisées pour des tentatives d’escroquerie, d’usurpation d’identité, de fraude au président, de phishing ciblé ou de pression sur des partenaires.

La fiduciaire touchée a indiqué au Temps avoir réagi après un problème de connexion à son serveur. Selon son directeur, le prestataire informatique a isolé les systèmes concernés, supprimé les accès compromis et restauré les données à partir d’une sauvegarde externe. La société affirme aussi qu’aucun échange n’a eu lieu avec les auteurs de l’attaque et qu’aucune rançon n’a été payée.

Ce récit met en évidence un point essentiel pour toutes les entreprises: la sauvegarde n’est pas un détail d’exploitation, mais une assurance de survie. Une sauvegarde externe, testée et isolée du système principal, peut faire la différence entre une reprise maîtrisée et une paralysie durable. Encore faut-il savoir qui déclenche le plan d’urgence, qui communique avec les clients, qui qualifie l’incident et quels documents doivent être conservés pour retracer les décisions.

La LPD transforme la fuite de données en dossier de direction

En Suisse, la protection des données n’est plus seulement une affaire de bonnes pratiques. Le dossier de recherche rappelle que la loi sur la protection des données révisée en 2023 impose aux entreprises de signaler les violations graves de données personnelles. Pour une fiduciaire, la notion de données personnelles est particulièrement large: un dossier client peut combiner informations fiscales, situation familiale, rémunération, patrimoine, dettes, coordonnées, contrats de travail et échanges avec des administrations.

Le premier réflexe ne devrait donc pas être de minimiser l’incident, mais de le qualifier correctement. Quelles données sont concernées? S’agit-il de personnes physiques, d’entreprises individuelles, d’employés de sociétés clientes, de bénéficiaires économiques? Les données sont-elles simplement inaccessibles, ou ont-elles été copiées et publiées? Les réponses déterminent les obligations d’annonce, la communication aux personnes touchées et les mesures de réduction du risque.

Un autre cadre s’ajoute pour certaines organisations. Depuis le 1er avril 2025, les exploitants d’infrastructures critiques doivent annoncer les cyberattaques à l’Office fédéral de la cybersécurité dans les 24 heures suivant leur détection, selon les informations de l’OFCS relatives à la loi sur la sécurité de l’information et à l’ordonnance sur la cybersécurité. Toutes les PME ne sont pas automatiquement concernées par cette obligation spécifique. La qualification d’infrastructure critique doit être examinée au cas par cas, notamment selon l’activité, le rôle dans une chaîne d’approvisionnement ou la fonction exercée pour des tiers.

Pour une fiduciaire, même lorsque l’obligation d’annonce à l’OFCS ne s’applique pas directement, la logique est la même: documenter vite, décider vite, informer de manière cohérente. Dans une crise cyber, les premières heures servent à limiter l’extension de l’attaque, mais aussi à éviter les erreurs de communication. Un courrier trop vague inquiète les clients; un courrier trop affirmatif peut devenir problématique si l’analyse forensique révèle ensuite un périmètre plus large.

Factures, salaires, TVA: l’effet domino dans les dossiers clients

La particularité d’une fiduciaire est de détenir des données qui appartiennent économiquement et opérationnellement à d’autres. Une PME peut avoir externalisé sa comptabilité, ses salaires, ses décomptes TVA ou sa fiscalité, mais elle reste exposée lorsque les informations nécessaires à ces prestations fuitent. Le risque n’est donc pas uniquement celui de la fiduciaire attaquée: il se propage à ses clients, à leurs collaborateurs, parfois à leurs fournisseurs et à leurs clients finaux.

Dans les salaires, par exemple, un dossier peut révéler des rémunérations, des coordonnées personnelles ou des informations administratives sensibles. En comptabilité, des factures et extraits peuvent dessiner les relations commerciales d’une entreprise, ses prix, ses marges, ses difficultés de paiement ou ses projets. En fiscalité, les annexes et justificatifs peuvent donner une image précise de la situation financière d’un indépendant ou d’un dirigeant.

Pour les PME clientes d’une fiduciaire, l’enjeu pratique est de savoir quelles données ont été confiées, où elles sont stockées et qui y accède. Beaucoup d’entreprises disposent d’un contrat de mandat clair sur les prestations, mais beaucoup moins d’une vision précise des outils utilisés, des droits d’accès, de la conservation des archives ou des sous-traitants informatiques. Or une attaque montre que la chaîne de confiance inclut le logiciel comptable, l’hébergement, les accès à distance, les boîtes e-mail, les sauvegardes et les procédures internes.

Les conséquences peuvent aussi toucher la trésorerie et l’exploitation. Une entreprise qui doit remplacer des moyens d’accès, informer des collaborateurs, répondre à des clients inquiets, vérifier des coordonnées bancaires ou renforcer en urgence ses contrôles internes y consacre du temps et de l’argent. Pour une petite structure, ces coûts indirects pèsent rapidement sur la marge. Ils ne se voient pas toujours dans la facture informatique initiale, mais ils apparaissent dans les heures perdues, les retards administratifs et la dégradation de la relation client.

Le test de vérité: accès, sauvegardes et prestataires IT

Les chiffres disponibles montrent que le cas vaudois s’inscrit dans un contexte plus large. Le dossier de recherche indique que la Suisse a enregistré en 2025 environ 65 000 cyberincidents, dont quelque 25 000 auraient touché des PME, selon BDO. La même source relève que seules 42% des PME suisses s’estiment suffisamment préparées face aux cyberattaques. PME Magazine cite pour sa part l’indice Cisco Cybersecurity Readiness Index selon lequel près d’une entreprise sur deux a été victime d’une cyberattaque en 2024.

Ces chiffres doivent être lus comme un signal de gestion. La cybersécurité n’est plus un achat ponctuel, mais un processus de contrôle interne. Pour une fiduciaire, elle devrait être traitée avec le même sérieux qu’une clôture comptable ou qu’un décompte de TVA: responsabilités définies, preuves conservées, contrôles réguliers et capacité de reprise. Pour un client de fiduciaire, elle devient un critère de sélection du prestataire, au même titre que la compétence fiscale ou la réactivité.

Sans transformer chaque dirigeant en expert technique, quelques questions simples permettent déjà de tester la robustesse du dispositif:

• les accès aux dossiers clients sont-ils limités aux personnes qui en ont réellement besoin?
• l’authentification forte est-elle activée pour les outils comptables, les e-mails et les accès à distance?
• les sauvegardes sont-elles externalisées, protégées contre l’effacement et régulièrement testées?
• un plan de crise indique-t-il qui contacte le prestataire IT, les clients, les autorités et l’assureur?
• les collaborateurs sont-ils formés à reconnaître les e-mails frauduleux et les demandes de paiement suspectes?

Treuhand Suisse met à disposition des guides et listes de contrôle destinés aux fiduciaires en matière de cybersécurité. Ce type d’outil est utile car il traduit un sujet technique en gestes organisationnels: gouvernance des accès, classification des données, sauvegardes, sensibilisation, gestion des incidents. Les recommandations d’experts mentionnées dans le dossier de recherche vont dans le même sens: plans d’urgence, sauvegardes régulières, formation continue et audits de sécurité.

Pour une PME, l’approche la plus prudente consiste à cartographier les données critiques avant la crise. Quelles informations seraient les plus dommageables si elles étaient publiées? Qui les détient? Combien de temps sont-elles conservées? Quels documents sont envoyés par e-mail alors qu’un portail sécurisé serait plus adapté? Cette réflexion ne remplace pas un audit spécialisé, mais elle permet d’orienter les priorités et d’éviter de traiter toutes les données comme si elles avaient la même sensibilité.

La confiance fiduciaire se prouve désormais aussi en cybersécurité

Le piratage de la fiduciaire vaudoise illustre un changement de standard. Les clients n’attendent plus seulement d’une fiduciaire qu’elle établisse correctement une déclaration fiscale, boucle une comptabilité ou prépare les salaires. Ils veulent savoir si leurs informations sont protégées, si un incident serait détecté rapidement et si une procédure claire existe en cas de fuite.

Cette attente concerne aussi les PME dans leur rôle d’employeur et de partenaire commercial. Lorsqu’une entreprise confie ses salaires ou sa comptabilité à un prestataire, elle devrait intégrer la sécurité des données dans le dialogue de mandat: clauses de confidentialité, gestion des accès, conservation, sous-traitance, notification d’incident, assurance cyber éventuelle. Les réponses doivent être adaptées à la taille et au risque de l’entreprise, et vérifiées avec des spécialistes lorsque l’exposition est importante.

L’épisode vaudois n’appelle pas à la panique, mais à une professionnalisation. La cybersécurité n’est pas seulement une ligne de budget informatique: c’est une condition de continuité, de conformité et de confiance. Pour les fiduciaires comme pour leurs clients, le bon moment pour clarifier les responsabilités, tester les sauvegardes et préparer la communication n’est jamais le jour où les dossiers apparaissent sur le dark web.