# Cybersécurité des cabinets comptables : survivre aux impôts

Source : https://cybercaribou.com/blogue/cybersecurite-cabinets-comptables · Cyber Caribou

> Faux messages de l'ARC, comptes TED ciblés, documents fiscaux par courriel : les obligations des CPA et les mesures prioritaires pour un cabinet comptable.

Mi-mars, dans un cabinet comptable de Laval. Douze employés, trois préparateurs saisonniers embauchés pour l'occasion, et une pile de feuillets qui grossit chaque jour. Un courriel arrive au nom de l'Agence du revenu du Canada : pour conserver votre compte de la TED, vous devez accepter les nouvelles conditions avant vendredi. Le bouton mène à une page d'ouverture de session impeccable.

Ce scénario n'a rien d'imaginaire : l'ARC a publié une alerte sur ce type de message, qui cible précisément les fournisseurs de services de préparation de déclarations. Pour un fraudeur, un cabinet comptable est une cible de choix. Il concentre les numéros d'assurance sociale, les revenus, les coordonnées bancaires et les accès gouvernementaux de centaines de clients, et il travaille sous pression pendant des semaines.

Bonne nouvelle : les mesures qui protègent vraiment un cabinet sont connues, et la plupart se mettent en place avant février. Voici ce que votre ordre exige, ce qui change pendant la période des impôts et par où commencer.

- Le Code de déontologie des CPA, en vigueur depuis mai 2024, exige des mesures raisonnables pour protéger les renseignements confidentiels à toute étape : préparation, conservation et transmission.
- La Loi 25 s'ajoute à ces règles, que vous soyez membre de l'Ordre ou non.
- Ni l'ARC ni Revenu Québec n'envoient de remboursement par texto. L'ARC n'utilise le texto que pour l'authentification multifacteur.
- Les priorités : authentification multifacteur partout, portail sécurisé pour les documents, comptes nominatifs pour les saisonniers et vérification téléphonique de tout changement bancaire.

## Ce que votre ordre exige, et ce que la Loi 25 ajoute

Le Code de déontologie des comptables professionnels agréés (RLRQ, c. C-48.1, r. 6.1) a été remplacé en 2024. Plusieurs articles touchent directement la sécurité de l'information.

| Exigence | Source | En pratique |
|---|---|---|
| Secret professionnel et discrétion sur tout renseignement concernant les clients | Code, art. 39 | Personne ne consulte un dossier sans raison, même à l'interne |
| Mesures raisonnables pour protéger les renseignements confidentiels « à toute étape du processus de préparation, de conservation et de transmission », notamment à l'égard des collaborateurs | Code, art. 40 | Chiffrement, contrôle des accès, échanges sécurisés |
| Moyens raisonnables pour que les collaborateurs et le cabinet respectent les lois et règlements de la profession | Code, art. 5 | Les saisonniers et le fournisseur TI sont couverts par vos règles |
| Responsable de la protection des renseignements personnels, déclaration des incidents, registre | Loi 25 (P-39.1), art. 3.1, 3.5 et 3.8 | Un nom, une procédure, un registre |

Le mot clé est « raisonnables ». Le Code ne dresse pas de liste technique, mais CPA Québec publie un *Guide CPA des bonnes pratiques d'utilisation des TI*, sous forme d'autodiagnostic. Les questions sont très concrètes : les accès sont-ils protégés par une authentification multifacteur ? Les disques des portables sont-ils chiffrés ? Les accès d'un employé qui part sont-ils supprimés ? Les copies de sauvegarde sont-elles chiffrées ? Si vous répondez « non » à plusieurs d'entre elles, vous savez par où commencer.

La Loi 25, elle, s'applique à tout cabinet, membre de l'Ordre ou non : un teneur de livres ou un service de préparation de déclarations y est aussi soumis. Notre [checklist Loi 25](https://cybercaribou.com/blogue/loi-25-checklist-cybersecurite) fait le tour des obligations. Pour l'interprétation dans votre situation, validez avec votre conseiller juridique.

## Pourquoi la période des impôts change tout

Le reste de l'année, un cabinet de 12 personnes gère un flux de documents prévisible. De février à avril, tout s'accélère. En 2026, Revenu Québec a commencé à recevoir les déclarations transmises électroniquement le 23 février ; au début d'avril, il rapportait que plus de 94 % des déclarations reçues jusque-là avaient été transmises électroniquement. Presque tout passe donc par vos systèmes.

Trois facteurs font grimper le risque :

- **Le volume.** Des centaines de clients envoient feuillets, relevés et reçus, souvent par courriel, parfois en photo depuis leur téléphone.
- **Le personnel temporaire.** Des préparateurs saisonniers obtiennent des accès en quelques heures, parfois sur des comptes partagés, et les gardent après leur départ.
- **L'urgence.** Un message qui exige une action « avant vendredi » fonctionne mieux quand tout le monde court.

Les fraudeurs connaissent ce calendrier aussi bien que vous.

## Les arnaques qui visent les cabinets et leurs clients

Voici les scénarios les plus courants, tirés des alertes de l'ARC, de Revenu Québec et du Centre antifraude du Canada.

| Message reçu | Signal d'alarme | Bon réflexe |
|---|---|---|
| « Signez les nouvelles conditions de votre compte de la TED » | Bouton vers une fausse page d'ouverture de session | Accéder à la TED uniquement à partir de Canada.ca |
| « Votre déclaration contient des erreurs, téléchargez l'avis de cotisation révisé » | Délai très court, avis prétendument introuvable dans Mon dossier | Consulter les avis directement dans le compte de l'ARC |
| Texto de Revenu Québec annonçant un remboursement ou un virement | Revenu Québec dit ne jamais aviser d'un remboursement par courriel ni par texto | Ne pas cliquer ; vérifier dans Mon dossier |
| Texto de l'ARC qui demande de répondre ou de cliquer | L'ARC n'envoie de textos que pour l'authentification multifacteur | Supprimer et signaler |
| Courriel d'un client qui demande de modifier son dépôt direct ou d'envoyer sa déclaration à une autre adresse | Changement soudain, nouvelle adresse, ton pressé | Rappeler le client au numéro déjà au dossier |

Le dernier cas est le plus sournois : le courriel provient parfois de la vraie boîte du client, piratée. C'est la même mécanique que la [fraude au changement de coordonnées bancaires](https://cybercaribou.com/blogue/fraude-changement-coordonnees-bancaires-fournisseur) : la seule parade fiable est un rappel à un numéro connu.

Rappelez aussi les règles de base à vos clients. L'ARC précise qu'elle ne verse pas de remboursement par virement électronique ou par texto, et qu'elle n'exige pas de paiement en cartes-cadeaux ni en cryptomonnaie. Un court paragraphe dans votre infolettre de janvier peut vous éviter bien des appels.

## La checklist à compléter avant février

Notre équipe utilise cette liste comme point de départ avec les cabinets comptables :

- [ ] Authentification multifacteur sur le courriel, le logiciel fiscal, le portail client et l'accès à distance. Elle est déjà obligatoire pour les comptes de l'ARC ; voyez notre guide pour [choisir la bonne méthode](https://cybercaribou.com/blogue/authentification-multifacteur-choisir-mfa).
- [ ] Un compte nominatif par personne, saisonniers compris, avec une date de fin d'accès fixée dès l'embauche.
- [ ] Un portail ou un partage sécurisé pour les documents fiscaux ; jamais de numéro d'assurance sociale dans le corps d'un courriel.
- [ ] Chiffrement des disques de tous les portables.
- [ ] Sauvegardes testées, dont une copie hors ligne ou immuable, selon la règle [3-2-1-1-0](https://cybercaribou.com/blogue/sauvegardes-3-2-1-1-0-rancongiciel).
- [ ] Mises à jour des postes et du logiciel fiscal appliquées avant le début de la saison.
- [ ] Engagement de confidentialité signé par les employés, les saisonniers et les consultants externes.
- [ ] Contrat avec votre fournisseur infonuagique qui précise la confidentialité, l'emplacement des données et l'avis d'incident.
- [ ] Procédure écrite de vérification par téléphone pour tout changement de coordonnées bancaires, côté client comme côté fournisseur.
- [ ] Registre des incidents de confidentialité à jour, même pour les incidents mineurs.

Rien là-dedans n'exige un service TI interne. La plupart de ces réglages se configurent en quelques jours avec votre fournisseur actuel.

## Quand un incident survient en pleine saison

Un employé a saisi son mot de passe sur une fausse page ? Agissez dans l'ordre :

1. Réinitialisez le mot de passe, fermez les sessions actives et vérifiez les règles de transfert automatique dans la boîte de courriel.
2. Déterminez quels dossiers clients étaient accessibles depuis ce compte.
3. Évaluez le risque de préjudice sérieux. Des numéros d'assurance sociale et des données fiscales sont des renseignements sensibles : si le risque est sérieux, la Loi 25 exige d'aviser avec diligence la Commission d'accès à l'information et les clients concernés.
4. Consignez l'incident au registre, qu'il soit déclaré ou non.
5. Signalez les messages frauduleux au Centre antifraude du Canada et, s'ils usurpent Revenu Québec, à Revenu Québec.

Prévenez aussi votre assureur sans tarder : votre police peut prévoir un délai d'avis.

Notre équipe peut évaluer la posture de votre cabinet avant la prochaine saison, de la configuration du courriel jusqu'aux procédures de paiement, dans le cadre d'un [audit de cybersécurité](https://cybercaribou.com/services/audit-cybersecurite). Si vos bureaux sont dans le Grand Montréal, un expert peut aussi [venir vous rencontrer sur place](https://cybercaribou.com/rencontre-sur-place).

## FAQ

**Un teneur de livres qui n'est pas CPA a-t-il les mêmes obligations ?**
Le Code de déontologie ne s'applique qu'aux membres de l'Ordre des CPA du Québec. En revanche, la Loi 25 vise toute entreprise qui détient des renseignements personnels : responsable désigné, mesures de sécurité raisonnables, registre et déclaration des incidents. Dans les deux cas, les données fiscales de vos clients doivent être protégées sérieusement.

**Peut-on recevoir les documents fiscaux des clients par courriel ?**
Aucune règle ne l'interdit expressément, mais le Code de déontologie des CPA exige des mesures raisonnables à chaque étape de la transmission. Un courriel ordinaire n'est pas chiffré de bout en bout et peut être intercepté ou mal adressé. Un portail client sécurisé est la solution la plus simple ; à défaut, chiffrez les fichiers et transmettez le mot de passe par un autre canal.

**Comment savoir si un message de l'ARC ou de Revenu Québec est authentique ?**
Ne cliquez sur aucun lien : ouvrez vous-même Mon dossier ou le site officiel. L'ARC n'envoie des textos que pour l'authentification multifacteur et ne verse jamais de remboursement par texto ou par virement électronique. Revenu Québec indique qu'il n'avise jamais d'un remboursement par courriel ni par texto et que ses messages ne contiennent pas d'hyperliens.

**Que faire si la boîte de courriel d'un employé est piratée pendant la période des impôts ?**
Réinitialisez le mot de passe, fermez les sessions actives, vérifiez les règles de transfert, puis identifiez les dossiers exposés. Consignez l'incident au registre exigé par la Loi 25 et, s'il présente un risque de préjudice sérieux, avisez avec diligence la Commission d'accès à l'information et les clients concernés. Faites-vous accompagner pour l'analyse si vous n'avez pas de ressource TI interne.

## Sources

- [LégisQuébec : Code de déontologie des comptables professionnels agréés (C-48.1, r. 6.1)](https://www.legisquebec.gouv.qc.ca/fr/document/rc/C-48.1,%20r.%206.1)
- [CPA Québec : Guide CPA des bonnes pratiques d'utilisation des TI](https://cpaquebec.ca/-/media/docs/membres-cpa/reglementation-profession/profession-ere-numerique/guide-cpa-des-bonnes-pratiques-ti_fr.pdf)
- [Agence du revenu du Canada : Reconnaître une arnaque](https://www.canada.ca/fr/agence-revenu/organisation/arnaques-fraudes/reconnaitre-arnaque.html)
- [Agence du revenu du Canada : Authentification multifacteur](https://www.canada.ca/fr/agence-revenu/services/services-electroniques/services-ouverture-session-arc/aide-services-ouverture-session-arc/authentification-multifacteur.html)
- [Revenu Québec : Quelles sont nos pratiques en matière de communication?](https://www.revenuquebec.ca/fr/a-propos/acces-a-linformation/protection-de-vos-renseignements/quelles-sont-nos-pratiques-en-matiere-de-communication/)
- [Revenu Québec : réception des déclarations transmises électroniquement dès le 23 février (janvier 2026)](https://www.revenuquebec.ca/fr/salle-de-presse/communiques-de-presse/details/2026-01-26/revenu-quebec-recevra-les-declarations-de-revenus-transmises-electroniquement-des-le-23-fevrier/)
- [Revenu Québec : Plus de 94 % des déclarations déjà transmises électroniquement (avril 2026)](https://www.revenuquebec.ca/fr/salle-de-presse/communiques-de-presse/details/2026-04-01/plus-de-94-des-declarations-deja-transmises-electroniquement/)
- [Centre antifraude du Canada : Hameçonnage](https://antifraudcentre-centreantifraude.ca/scams-fraudes/phishing-hameconnage-fra.htm)
- [LégisQuébec : Loi sur la protection des renseignements personnels dans le secteur privé (P-39.1)](https://www.legisquebec.gouv.qc.ca/fr/document/lc/P-39.1)