Cybersécurité pour cabinet comptable et fiduciaire au Maroc : les mesures prioritaires

La réponse courte : un cabinet comptable ou une fiduciaire au Maroc détient, pour des dizaines de clients, des bilans, des déclarations fiscales, des bulletins de paie, des coordonnées bancaires, et souvent leurs accès aux plateformes publiques comme SIMPL (impôts) ou DAMANCOM (sécurité sociale). C’est une cible de choix. Les priorités, dans l’ordre : double authentification sur la messagerie et tous les accès distants, messagerie protégée contre l’usurpation (SPF, DKIM, DMARC), procédure écrite contre la fraude au changement de RIB, coffre d’identifiants au lieu des tableurs partagés, postes chiffrés et protégés par un EDR, droits d’accès par dossier client, et sauvegardes immuables testées avant chaque échéance.

Chez ALLSAFE SOLUTIONS, nous accompagnons depuis Casablanca des cabinets comptables, fiduciaires et cabinets juridiques sur leur informatique et leur sécurité (voir notre page informatique pour cabinets comptables et juridiques). Ce guide liste ce que nous mettons en place en premier, sans jargon inutile.

Pourquoi les cabinets comptables sont des cibles

Trois raisons rendent un cabinet plus exposé qu’une PME de même taille :

• La concentration des données. Un seul poste de collaborateur peut contenir les états financiers, la paie et les pièces d’identité de plusieurs entreprises.
• Les accès délégués. Le cabinet se connecte, pour le compte de ses clients, aux plateformes fiscales et sociales, parfois à leurs banques ou à leur ERP. Un identifiant volé chez le cabinet ouvre la porte chez le client.
• La confiance. Les clients ont l’habitude de recevoir du cabinet des demandes de documents, des échéanciers et des montants à payer. Une messagerie piratée permet d’envoyer à tout le portefeuille de faux messages parfaitement crédibles : faux RIB, faux lien de dépôt de documents, fausse facture d’honoraires.

S’y ajoutent les pics d’activité autour des échéances fiscales et sociales : c’est le moment où l’on clique vite, où l’on travaille tard depuis la maison, et où une panne ou un rançongiciel coûte le plus cher.

Ce que disent les textes

Trois cadres sont à connaître, sans entrer ici dans le conseil juridique :

Cadre	Ce qu’il implique pour un cabinet
Déontologie de la profession	Les experts-comptables sont tenus par un Code des devoirs professionnels, rendu applicable par le décret n° 2-18-454 ; la confidentialité des dossiers est au cœur du métier
Loi 09-08 (données personnelles)	Paie, listes de salariés, pièces d’identité : données personnelles à sécuriser, traitements à encadrer, CNDP comme autorité de contrôle
Loi 05-20 (cybersécurité)	Rarement applicable directement à un cabinet privé, mais souvent imposée par contrat quand il sert des clients publics ou des infrastructures d’importance vitale

Pour le détail, voir nos guides sur la loi 09-08 et la CNDP et sur la loi 05-20 et la DGSSI. La répartition des responsabilités entre le cabinet et ses clients sur les données de paie se précise dans la lettre de mission : faites-la relire par votre conseil.

Les mesures prioritaires

Priorité	Mesure	Ce qu’elle évite
1	Double authentification sur la messagerie, le VPN et les applications cloud	Le piratage d’une boîte mail par simple vol de mot de passe
2	SPF, DKIM et DMARC sur le domaine du cabinet	L’envoi de faux e-mails « au nom du cabinet » à vos clients
3	Procédure écrite contre la fraude au RIB	Un virement détourné sur la foi d’un e-mail
4	Gestionnaire de mots de passe d’entreprise	Les identifiants clients dans un tableur ou un navigateur
5	Droits d’accès par dossier ou par portefeuille	Qu’un compte compromis expose tous les clients
6	Postes chiffrés et gérés à distance	La perte d’un portable qui devient une fuite de données
7	EDR supervisé sur postes et serveurs	Un rançongiciel détecté trop tard
8	Sauvegarde 3-2-1 immuable, testée	Une base comptable perdue en pleine échéance
9	Accès distant par VPN ou ZTNA, jamais par bureau à distance exposé	L’entrée la plus utilisée par les rançongiciels
10	Sensibilisation des collaborateurs avant chaque échéance	Le clic sur un faux message « administration »

1 et 2 : verrouiller la messagerie

La messagerie est la porte d’entrée numéro un. Activez la double authentification pour tous les comptes, y compris les associés et les comptes partagés, et bloquez les anciens protocoles qui la contournent. Sur Microsoft 365, suivez nos 10 réglages pour sécuriser Microsoft 365. Publiez ensuite des enregistrements SPF, DKIM et DMARC pour qu’un escroc ne puisse plus envoyer d’e-mails qui semblent venir de votre domaine : la méthode est détaillée dans notre guide SPF, DKIM et DMARC au Maroc.

3 : la procédure anti-fraude au RIB

C’est la mesure la moins technique et l’une des plus utiles. Écrivez-la et faites-la signer :

• aucun changement de coordonnées bancaires, côté fournisseur comme côté client, sur la seule foi d’un e-mail ou d’un PDF ;
• rappel systématique à un numéro de téléphone déjà connu, jamais celui indiqué dans le message ;
• validation par une seconde personne pour tout virement inhabituel ou urgent.

Informez aussi vos clients : « le cabinet ne vous demandera jamais de changer de RIB par e-mail ».

4 et 5 : identifiants et droits d’accès

Les identifiants SIMPL, DAMANCOM ou bancaires des clients n’ont rien à faire dans un fichier Excel partagé ou dans le navigateur d’un collaborateur. Un gestionnaire de mots de passe d’entreprise permet de créer des coffres par équipe ou par portefeuille, protégés par double authentification, avec un journal des accès. Même logique pour les fichiers : un collaborateur n’accède qu’aux dossiers des clients qu’il suit. Au départ d’un salarié, ses accès sont coupés en une seule opération et les mots de passe sensibles renouvelés.

6 et 7 : postes nomades et rançongiciels

Les collaborateurs travaillent souvent chez les clients ou depuis chez eux pendant les échéances. Chaque portable doit être chiffré (BitLocker sous Windows), géré à distance pour pouvoir l’effacer en cas de vol, et protégé par un EDR surveillé, pas seulement par un antivirus. Avec Microsoft 365 Business Premium, tout cela passe par Intune : voir notre guide Microsoft Intune pour PME. Pour la différence entre antivirus et EDR, voir EDR ou antivirus. Retirez enfin les droits d’administrateur aux utilisateurs du quotidien.

8 : des sauvegardes qui tiennent une échéance

La sauvegarde d’un cabinet doit couvrir trois éléments : la base du logiciel comptable (sauvegardée de façon cohérente, pas seulement les fichiers ouverts), le serveur de fichiers ou l’espace documentaire, et la messagerie, que Microsoft ne sauvegarde pas pour vous au sens d’une restauration complète (voir la sauvegarde Microsoft 365 et la responsabilité partagée). Appliquez la règle 3-2-1 avec une copie immuable, et testez une restauration avant chaque grande échéance, pas pendant.

9 : l’accès à distance

Un bureau à distance (RDP) ouvert directement sur Internet reste l’une des entrées les plus exploitées par les rançongiciels. Les associés et collaborateurs se connectent par un VPN d’entreprise IPsec ou ZTNA, avec double authentification, derrière un pare-feu à jour.

10 : sensibiliser au bon moment

Les campagnes d’hameçonnage imitent volontiers une administration, une banque ou un client. La DGSSI rappelle que l’ensemble des sites officiels de l’État marocain sont hébergés sous le domaine .gov.ma : un réflexe simple à transmettre aux équipes. Organisez une courte session avant chaque période d’échéances, avec des exemples concrets tirés de notre guide phishing en PME au Maroc.

Échanger des documents avec les clients

Les pièces jointes par e-mail restent le premier canal d’échange des cabinets, et le premier vecteur d’attaque. Deux améliorations simples :

• Un espace d’échange (SharePoint, OneDrive ou Google Drive selon votre messagerie) avec un dossier par client, des liens réservés aux personnes invitées et une date d’expiration.
• Une règle de méfiance : un document attendu qui arrive sous forme de lien vers une page de connexion est suspect, même s’il vient d’un client connu, dont la messagerie a pu être piratée.

Les erreurs que nous rencontrons

1. Boîte mail générique partagée (contact@, compta@) sans double authentification.
2. Tableur des identifiants clients sur le serveur ou dans la messagerie.
3. Associés exemptés de la double authentification « pour gagner du temps ».
4. Sauvegarde sur un disque USB branché en permanence, chiffré par le rançongiciel en même temps que le serveur.
5. Bureau à distance exposé pour travailler depuis la maison.
6. Anciens collaborateurs dont les comptes et accès aux plateformes clients restent actifs.
7. Aucune procédure écrite pour les changements de RIB.

Checklist pour démarrer

• Activer la double authentification sur tous les comptes de messagerie et accès distants.
• Publier SPF, DKIM et DMARC.
• Rédiger et diffuser la procédure anti-fraude au RIB.
• Migrer les identifiants clients vers un gestionnaire de mots de passe.
• Revoir les droits d’accès par dossier client et désactiver les comptes inutilisés.
• Vérifier le chiffrement des portables et le déploiement de l’EDR.
• Contrôler la sauvegarde du logiciel comptable, des fichiers et de la messagerie, puis tester une restauration.
• Fermer tout accès bureau à distance exposé et passer par un VPN.
• Organiser une session de sensibilisation avant la prochaine échéance.
• Prévoir un plan de reprise d’activité adapté aux périodes d’échéances.

Comment nous procédons

Nous commençons par un audit : messagerie, postes, serveur, sauvegardes, accès distants, gestion des identifiants et des départs. Nous livrons une liste d’actions classées par priorité, puis les mettons en œuvre sans bloquer la production, en dehors des pics d’échéances. Ensuite, postes, serveurs et sauvegardes sont supervisés 24/7, avec une prise en charge des incidents critiques en moins de 15 minutes.

Découvrez notre offre de cybersécurité des entreprises au Maroc et notre offre d’infogérance au Maroc, puis demandez votre audit initial offert : nous vous répondons sous 24 h ouvrées.

Sources : décret n° 2-18-454 rendant applicable le Code des devoirs professionnels de l’Ordre des experts-comptables (portail adala.justice.gov.ma), loi n° 09-08 et CNDP, loi n° 05-20 et DGSSI, rappel de la DGSSI sur le domaine .gov.ma (avril 2026).