Quand l’État vous confie une clé, vous devenez une cible
Hameçonnage, accès usurpés, taxes réclamées : les entreprises qui exercent une mission déléguée par l’État sont exposées à un risque que la plupart des cartographies ignorent encore. Lorsqu’un identifiant professionnel est détourné, des centaines d’immatriculations peuvent être émises en quelques heures, et la facture fiscale qui en découle peut n’arriver que plusieurs semaines plus tard.
Des usurpations qui se répètent
Le scénario décrit est celui d’un garage : en quelques heures, des centaines de certificats d’immatriculation sont émis à son nom. Les documents sont valides, les opérations sont enregistrées dans le fichier national et les taxes sont calculées. Le gérant ne découvre la supercherie que lorsque l’administration fiscale lui réclame les taxes correspondantes, parfois plusieurs centaines de milliers d’euros, pour des dossiers qu’il n’a jamais vus.
Début 2026, une enquête de la Fédération Nationale de l’Automobile (FNA) auprès des professionnels habilités faisait état de plus d’un quart des répondants déclarant avoir été victimes d’une usurpation de leurs identifiants ou de leur identité professionnelle. Le Parlement a lui-même reçu plusieurs demandes écrites sur le sujet depuis le début de l’année.
Le mode opératoire reste presque toujours le même : un courriel imitant l’administration, un lien qui paraît légitime, une page de connexion dupliquée et des identifiants saisis en toute bonne foi. Aucun dispositif technique ne protège totalement contre cette ingénierie sociale, qui cible la confiance humaine plutôt que le code informatique.
Un accès qui vaut plus que les données
Depuis la fermeture des guichets préfectoraux, la délivrance des titres d’immatriculation repose majoritairement sur les professionnels habilités, qui concourent à plus des deux tiers des démarches nationales. Chacun dispose d’un accès direct au Système d’Immatriculation des Véhicules (SIV) et peut ainsi émettre des actes administratifs valides.
C’est ce pouvoir que visent les pirates, bien plus que les bases de données internes. Un fichier client dérobé se revend pour une bouchée de pain sur le marché noir, alors qu’un accès habilité permet d’immatriculer des véhicules en fraude des taxes, d’anonymiser des titulaires ou de blanchir des cartes grises. La valeur d’un identifiant tient donc à la portée de la porte qu’il ouvre, et non à la taille de l’entreprise qui le détient.
En cas d’usurpation, les taxes liées aux opérations frauduleuses sont d’abord réclamées au professionnel dont les identifiants ont été utilisés, même si des reports de recouvrement peuvent être accordés au cas par cas. Son habilitation peut aussi être suspendue, ce qui paralyse une part majeure de son activité le temps d’éclaircir les faits.
Le système appartient à l’État, qui en fixe les règles et les standards de sécurité. Des plans ministériels, un durcissement des conditions d’habilitation et une refonte des infrastructures informatiques sont engagés, mais la transition d’un système national s’inscrit dans un temps long. Les fédérations professionnelles réclament, dans l’intervalle, une généralisation de l’authentification forte et des algorithmes de détection d’anomalies de volumes.
Le problème ne se limite pas à l’immatriculation. Le cabinet d’expertise comptable qui télétransmet les déclarations de ses clients, les plateformes agréées de facturation électronique (PDP) ou les intermédiaires qui déposent des dossiers sur des portails publics agissent eux aussi pour le compte de tiers. Or la plupart des cartographies de risques traitent encore la cybersécurité comme une question de protection de leurs propres données, sans envisager le cas où un accès délégué permet d’agir légalement sous le nom de l’entreprise, à son insu.
Trois réflexes pour protéger les accès délégués
Selon cette analyse, trois chantiers s’imposent aux comités de direction. Le premier consiste à inventorier ces accès comme des actifs : cartographier les habilitations, identifier les collaborateurs autorisés, évaluer le volume maximal d’opérations réalisables et chiffrer l’exposition financière théorique. Ce montant doit figurer au registre des risques, au même titre que le risque de liquidité.
Le deuxième vise à réduire la surface d’exposition interne. Il s’agit de proscrire les comptes partagés, d’appliquer le principe du moindre privilège, de révoquer immédiatement les droits lors des départs de collaborateurs et de former les équipes au scénario du faux message administratif à caractère urgent.
Le troisième porte sur la réponse à un incident majeur. Il implique de définir une procédure pour bloquer un accès en urgence, y compris en dehors des heures de bureau, de tenir une traçabilité indépendante des opérations réellement exécutées afin de démontrer celles que l’entreprise n’a pas réalisées, et d’auditer les clauses de couverture des contrats d’assurance cyber.
