Accès habilité par l’État : vous pouvez payer les taxes des fraudes

Oui, quand un accès confié par l’État est usurpé, l’entreprise qui en est titulaire peut payer un lourd tribut : c’est vers elle que l’on se tourne en premier pour récupérer les taxes des opérations frauduleuses, avec des montants qui atteignent parfois plusieurs centaines de milliers d’euros. Dans son analyse du 21 octobre 2026, JDN Management met en lumière une menace que bien des cartes de risques d’entreprise continuent d’omettre.

Un garage, des centaines de cartes grises et une facture tardive

Voici le scénario exposé. Sur une poignée d’heures, un garage voit des centaines de certificats d’immatriculation délivrés sous son nom. Ces titres sont valables, les opérations figurent au fichier national et les taxes sont chiffrées. Le dirigeant ignore tout de l’affaire. Ce n’est qu’après plusieurs semaines que le fisc lui présente la facture des taxes correspondantes, et qu’il découvre la fraude.

Ce cas est présenté comme un exemple illustratif, sans nom d’entreprise ni montant précis. Le mode opératoire, lui, est quasi toujours le même : un courriel imitant l’administration, un lien d’apparence légitime, une page de connexion dupliquée, puis des identifiants saisis de bonne foi.

Pourquoi ces professionnels attirent les pirates

Depuis que les guichets des préfectures ont fermé, les professionnels habilités traitent plus des deux tiers des démarches nationales liées à la délivrance des titres d’immatriculation. Tous bénéficient d’une connexion directe au Système d’Immatriculation des Véhicules (SIV) et sont en mesure de produire des actes administratifs valides.

Voilà le pouvoir que convoitent les attaquants, bien plus que les données internes du garage. Grâce à un accès habilité, ils peuvent enregistrer des véhicules sans payer les taxes, masquer l’identité de titulaires ou légaliser des cartes grises en série. Ce qui fait le prix d’un identifiant, c’est la porte qu’il déverrouille, non la taille de la société : le login d’un petit atelier à la campagne ouvre exactement l’accès national qu’ouvre celui d’un grand groupe.

Une ampleur encore mal mesurée

Le Parlement a en outre reçu, depuis janvier, plusieurs questions écrites sur cette problématique. Le danger ne se limite pas à l’automobile : il touche les cabinets d’expertise comptable qui télétransmettent des déclarations, les plateformes agréées de facturation électronique (PDP) et les intermédiaires qui déposent des dossiers sur des portails publics. Tous interviennent pour le compte de tiers dans des systèmes publics qu’ils ne contrôlent pas. Pour ces métiers, aucun chiffre n’est disponible à ce jour.

Ce que risque l’entreprise visée

• C’est d’abord le professionnel dont les identifiants ont été employés qui doit acquitter les taxes liées aux opérations frauduleuses, même si, selon les cas, des délais de recouvrement ont pu être consentis.
• Une suspension de l’habilitation peut venir s’ajouter à cela et bloquer une grande partie de l’activité commerciale pendant que les faits sont élucidés.
• L’État a engagé des plans ministériels, un durcissement des conditions d’habilitation et une refonte des infrastructures informatiques, mais cette transition s’inscrit dans un temps long.
• Les organisations professionnelles demandent que l’authentification forte soit étendue à tous et que des outils repèrent automatiquement les volumes d’opérations anormaux.

En attendant, l’entreprise demeure exposée en première ligne, sans savoir précisément ce qu’on lui mettra à charge. Aucune protection technique n’écarte non plus entièrement l’ingénierie sociale : l’hameçonnage s’attaque à la confiance humaine, notamment celle d’un salarié pressé qui reçoit un message urgent à l’apparence très soignée.

Trois réflexes à mettre en place

1. Traiter les accès délégués comme des actifs financiers. Il s’agit de recenser les habilitations en place, les collaborateurs qui les utilisent et le nombre maximal d’opérations réalisables, puis d’estimer l’exposition potentielle si elles étaient détournées. Cette somme mérite d’être inscrite dans le registre des risques, tout comme le risque de liquidité.
2. Réduire l’exposition interne. Proscrire les comptes partagés, appliquer le moindre privilège, automatiser la révocation des droits au départ d’un collaborateur et former les équipes au faux message administratif urgent.
3. Préparer la réponse à l’incident. Définir une procédure de blocage d’urgence d’un accès, y compris hors heures de bureau, conserver une traçabilité indépendante des opérations réellement exécutées pour pouvoir démontrer celles qui ne l’ont pas été, et auditer les clauses des assurances cyber.

L’efficacité de ces mesures n’est pas démontrée par des chiffres : elles relèvent des recommandations de l’analyse. Elles concernent surtout les structures qui détiennent une habilitation. Pour les enjeux voisins, un article de hellobiz.fr détaille les tendances de cybersécurité en entreprise.

Photo : RDNE Stock project / Pexels