« Un identifiant d'agent et d'un tiers habilité ». Chez vous, ça donne quoi ?
Actualités
5 Min
Le fisc est tombé par le compte d'un tiers. Dans une PME, ces tiers s'appellent le comptable, l'éditeur métier et l'ancien prestataire. Comment faire la liste.
🎯 L'essentiel
Dans la plupart des entreprises, la liste des comptes actifs est plus longue que la liste des salariés. Ce n'est pas de la négligence : ouvrir un accès est toujours une urgence, le fermer n'est l'urgence de personne.
L'intrusion à la DGFiP est passée par les identifiants d'un agent et d'un tiers habilité. Dans une PME, ces tiers existent aussi, et personne n'en a la liste.
Les accès oubliés les plus fréquents : le comptable, l'éditeur du logiciel métier, l'ancien prestataire, le compte de télémaintenance, et le stagiaire parti en juillet.
Deux coûts distincts : le risque d'une porte dont personne n'a la clé, et la facture des licences payées pour des comptes inactifs.
Les comptes partagés cumulent les deux défauts : on ne sait pas qui a fait quoi, et on ne peut pas les fermer proprement.
Le remède tient sur une page : une liste pour les arrivées, une pour les départs, un cadre pour les tiers, et une revue une à deux fois par an.
📌 Pourquoi ce sujet maintenant
L'incident de la DGFiP a mis un mot officiel sur une situation que nous rencontrons dans presque toutes les entreprises. Septembre est par ailleurs le mois où l'on constate les mouvements de l'été : départs, arrivées, alternants, remplacements. C'est aussi celui où les factures de licences remontent sur le bureau de la direction.
Dans son communiqué, Bercy explique que l'intrusion a été rendue possible par l'usurpation des identifiants « d'un agent de la DGFIP et d'un tiers habilité ».
Arrêtons-nous sur les trois derniers mots. Un tiers habilité, c'est quelqu'un qui n'est pas salarié de la maison et qui a pourtant un accès. Chez vous, cette catégorie existe. Elle est même bien remplie.
Faites le test, il prend cinq minutes
Demandez la liste des comptes actifs de votre informatique, et posez-la à côté de la liste de vos salariés.
La première est plus longue. Parfois nettement. Nous n'avons pas encore rencontré d'exception.
📌 Là où ça se cache vraiment
Le compte principal d'un salarié qui part, la plupart des entreprises y pensent. Ce qui reste ouvert, c'est le reste :
Votre expert-comptable, qui a un accès à un dossier partagé ou à un logiciel de gestion.
L'éditeur de votre logiciel métier, qui a demandé un accès de télémaintenance il y a trois ans pour dépanner, et qui l'a toujours.
L'ancien prestataire informatique, dont le compte d'administration n'a jamais été désactivé au changement de partenaire.
Un intervenant ponctuel, à qui on avait donné un mot de passe par téléphone.
Les outils souscrits par un service sans passer par l'informatique, avec leur propre gestion d'utilisateurs.
Les accès distants ouverts pendant une période de télétravail et jamais refermés.
Le renvoi d'un poste téléphonique vers un portable personnel, mis en place pour dépanner.
Les badges d'accès aux locaux, qui relèvent du même inventaire même si ce n'est pas de l'informatique.
Deux coûts qui n'ont rien à voir
Le risque
Un compte actif sans propriétaire est une porte dont on ne sait plus qui a la clé. Le mot de passe n'a pas changé depuis le départ. Il traîne peut-être dans un navigateur personnel, ou dans un fichier réutilisé ailleurs.
Le scénario du salarié rancunier existe, mais il est rare. Le scénario fréquent est plus bête : ce compte est simplement le plus facile à compromettre du parc, parce que personne ne surveille son activité et que personne ne s'étonnera d'une connexion à trois heures du matin.
La facture
Un compte inactif reste souvent une licence facturée tous les mois. Multipliée par quelques comptes et par douze mois, cela devient une ligne budgétaire qui n'achète rien.
C'est l'argument qui débloque le sujet en réunion. Le risque reste abstrait tant qu'il ne s'est rien passé. La facture, elle, est sur le relevé, et elle est datée.
Le cas particulier des comptes partagés
Il y a presque toujours, quelque part, un compte utilisé par plusieurs personnes. La boîte contact, un logiciel dont la licence est limitée, le portail d'un fournisseur.
Ces comptes cumulent deux défauts. On ne sait pas qui a fait quoi, ce qui rend toute analyse d'incident impossible. Et on ne peut pas les fermer proprement au départ d'une personne, puisqu'il faudrait changer le mot de passe et le rediffuser à tout le monde, ce que personne n'a envie de faire un vendredi à 17 h.
La procédure qui tient sur une page
Pas de projet, pas d'outil à acheter. Des listes écrites, et quelqu'un dont c'est explicitement la responsabilité.
À l'arrivée
Ce qu'on ouvre, avec quels droits, et surtout selon quel profil. Un profil par fonction évite la pratique du « on lui met les mêmes droits qu'à Sophie », qui a l'inconvénient de dupliquer aussi tout ce que Sophie avait accumulé en huit ans.
Au départ
Ce qu'on ferme, dans quel ordre, et ce qu'on fait des données. Ce dernier point est souvent oublié : avant de supprimer une boîte mail, il faut savoir qui reprend les échanges en cours. Une désactivation immédiate, avec suppression seulement après un délai défini, règle la plupart des cas.
Pour les tiers
Un accès de prestataire se donne pour une durée et pour un périmètre. Pas « pour la maintenance », mais « pour cette intervention ». La différence entre ces deux formulations représente des années d'accès ouvert.
Une à deux fois par an
Une revue des accès. On sort la liste, on la compare aux effectifs et aux contrats en cours, on ferme. C'est court, ce n'est pas passionnant, et cela fait tomber en une matinée des choses qui traînaient depuis trois ans.
✅ Le bénéfice caché de cette liste
Elle sert deux fois. Elle réduit le nombre de portes, et elle donne la réponse à la question « qui avait accès à quoi » le jour où un compte est compromis.
Sans cet inventaire, l'analyse d'un incident commence par une enquête interne au lieu d'une action. Ce sont des heures qui coûtent cher au plus mauvais moment.
🧭 Ce que nous faisons sur ce sujet
SPM Digital réalise l'analyse de conformité de votre annuaire Active Directory et de vos accès : comptes sans propriétaire, droits accumulés au fil des années, comptes de prestataires encore ouverts, licences facturées pour des comptes inactifs.
Nous formalisons ensuite les procédures d'arrivée, de départ et d'accès des tiers, et nous prenons en charge la revue périodique dans le cadre de l'infogérance et de la supervision.
❓ Questions fréquentes
Que faire du compte d'un salarié qui part ?
Le désactiver immédiatement plutôt que le supprimer, déléguer l'accès aux échanges en cours à son responsable, puis supprimer après un délai défini à l'avance. La suppression immédiate fait perdre des données utiles, le maintien actif crée un risque.
Faut-il couper l'accès de mon éditeur de logiciel métier ?
Pas nécessairement, mais il doit être ouvert pour une intervention et refermé après, plutôt que laissé en permanence. Un accès permanent de télémaintenance est une porte que vous ne surveillez pas et qui ne vous appartient pas.
Comment savoir quelles licences sont payées pour rien ?
En comparant la liste des comptes facturés à celle des utilisateurs réellement actifs, avec la date de dernière connexion. C'est un exercice d'une heure, et il produit souvent une économie immédiate.
À quelle fréquence faire une revue des accès ?
Une à deux fois par an suffit dans la plupart des PME, avec un traitement systématique à chaque départ et à chaque fin de contrat prestataire. L'important est moins la fréquence que le fait qu'une personne en soit responsable.
Sources & Références
Communiqué du ministère de l'Économie et des Finances du 14 août 2026 sur les accès illégitimes au système d'information de la DGFiP.
Cybermalveillance.gouv.fr, recommandations sur la gestion des comptes et des accès en entreprise.
ANSSI, guides d'hygiène informatique relatifs à la gestion des identités et des habilitations.
Retours terrain SPM Digital sur les inventaires de comptes réalisés chez nos clients.
Similar Topic
