Après le départ d’un de vos salariés ou l’arrivée d’une nouvelle recrue, vous laissez souvent des comptes fantômes ouverts à n’importe qui, et donc des cybercriminels, sans vous en apercevoir, avec des conséquences juridiques et financières pour votre PME.
N’est pas un géant des GAFAM qui veut, vous êtes patron d’une TPE/PME et devez souvent assurer l’arrivée et le départ de vos salariés avec la même petite équipe, souvent sans RSSI attitré. Le temps presse, vous choisissez alors la meilleure solution, celle qui vous en fait gagner. Vous copiez les droits d’un collègue et vous coupez les accès aux comptes de ceux qui partent bien après leur dernier jour, faute de coordination rapide entre les ressources humaines et l'’informatique.
Pendant ce laps de temps, même court, les comptes actifs qui ne sont plus utilisés par personne et des mots de passe partagés inchangés sont disponibles sans restriction. Il suffit qu’un ancien employé ou prestataire mécontent, ou un pirate les récupère et, à votre insu, les exploite. Voici quelques exemples d’oublis ou de négligences qui peuvent vous coûter cher.
La solution tout-en-un pour protéger votre entreprise
Votre petite entreprise a de grandes ambitions. Protégez-là contre les pirates. Et développez sereinement votre activité !
Les comptes des arrivants peuvent être attaqués dès leur 1er jour
Le premier jour d’un nouvel embauché ressemble à un parcours d’obstacles administratifs, entre messages de bienvenue, demandes de configuration de comptes et identifiants provisoires envoyés par plusieurs canaux différents. Dans cette confusion, votre nouvelle recrue est potentiellement la cible d'un e-mail de phishing qui demande de confirmer un identifiant, car elle n'a suivi aucune formation interne à ce genre de risques et surtout, n’a pas encore acquis les bons réflexes pour les repérer. Selon Cybermalveillance.gouv.fr, 80 % des cyberattaques contre les TPE-PME sont le résultat de mauvaises manipulations humaines. D’ailleurs, 82 % des RSSI estiment que les salariés sont le maillon faible des entreprises sur les questions de sécurité des données.
Il vaut mieux donc prendre un temps de formation et de sensibilisation des nouveaux arrivants à partir de cas de phishing observés, plutôt que de leur faire signer une charte qu’ils ne liront ni n’appliqueront que dans les grandes largeurs. Gardez à l’esprit que dès la première semaine, un pirate peut accéder à votre messagerie professionnelle, voire vos outils de facturation, quand ce ne sont pas les données sensibles partagées.
Vous aggravez encore ce risque lors des recrutements groupés de stagiaires ou de saisonniers, quand vos équipes RH créent des comptes dans l’urgence, avec des droits calqués sur un poste similaire plutôt qu’ajustés aux tâches propres au poste. Ces nouveaux profils, sans authentification à plusieurs facteurs ni connaissance des usages internes, ne repèrent aucune anomalie, et les campagnes de spearphishing ou de vishing exploitent justement cette absence de repères, un phénomène observé après plusieurs vagues de recrutements saisonniers dans le commerce et la logistique.
Vous oubliez de clôturer les comptes après un départ
Le jour du départ d’un de vos collaborateurs, des dizaines de comptes ouverts, du CRM à la messagerie en passant par les outils collaboratifs sont laissés à l’abandon, par oubli ou négligence, pensant que personne ne les utilisera ou bien qu’ils serviront aux prochains. Votre service des RH annonce parfois ce départ au RSSI après le dernier jour de travail, qui coupe donc les accès bien après. Selon le State of Data Security Report 2025 de Varonis, mené sur l’analyse réelle des environnements de 1 000 organisations, 88 % d’entre elles comptent au moins un compte fantôme actif mais inutilisé.
Une petite révision des comptes actifs ne fait jamais de mal, et cela vous permet de révoquer les droits d’administration et de récupérer le matériel professionnel.
Le salarié sortant stocke aussi parfois ses dossiers de travail uniquement sur son propre ordinateur, et vous perdez ces documents si personne ne prévoit leur archivage avant son départ. Une boîte mail oubliée conserve par ailleurs souvent des factures, des contrats et des échanges confidentiels accessibles à quiconque retrouve le mot de passe.
Et comme parfois, les divorces ne se font pas à l’amiable, dans un contexte de départ houleux, il peut arriver que vos équipes RH et IT commettent davantage d’erreurs, car elles agissent sous tension et dans l’urgence. Peut-être avez-vous entendu parler de Tesla, qui a poursuivi en justice un ancien salarié accusé d’avoir dérobé plusieurs gigaoctets de données avant son départ.
S’il est facile de récupérer les badges d’accès physiques, c’est une autre paire de manches lorsqu'il s’agit de comptes numériques, nettement plus nombreux et plus longs à recenser un par un.
Les comptes fantômes coûtent cher à votre PME
Adobe, Office, Slack, chaque mois, vous payez chaque mois des licences pour des comptes qui ne sont plus attribués à personne, sans disposer forcément d’une vision d’ensemble de ces abonnements.
On l’a vu, un compte fantôme relié à un prestataire ou à un ancien salarié coûte autant qu’un compte interne oublié. Il est facile de perdre la trace de certains abonnements quand un salarié change de poste ou quitte l’entreprise, faute de suivi centralisé entre les RH et la facturation, tout comme avec le RSSI.
Là encore, assurez-vous de verrouiller les partages non sécurisés grâce à un gestionnaire de mots de passe dédié aux entreprises. Évitez aussi les doublons de licences en réservant à chaque salarié l’accès aux seules ressources nécessaires à son poste, au lieu de copier automatiquement les droits d’un collègue. Et comme un comptable le ferait avec les factures et les bons de commande, rapprochez régulièrement la liste des salariés actifs de celle des comptes payants, avant le renouvellement annuel des contrats.
La CNIL sanctionne les entreprises qui négligent leurs comptes fantômes
La CNIL a recensé 6 167 violations de données personnelles notifiées en 2025, soit 9,5 % de plus qu’en 2024, dont la moitié provient d’un piratage. Un compte fantôme connecté à une messagerie professionnelle ou à un dossier salarié contient des données personnelles accessibles sans surveillance, et vous tombez alors sous le coup du RGPD. La CNIL exige une notification dans les 72 heures suivant la découverte d’une violation, en application de l’article 33, quelle que soit la taille de votre entreprise. Même si vos prestataires qui hébergent ces comptes vous alertent en cas de faille, c’est à vous et vous seul de notifier la CNIL. Selon son bilan officiel, l’autorité a prononcé 83 sanctions en 2025 pour un montant cumulé de 486,8 millions d’euros, et elle a traité 67 d’entre elles via la procédure simplifiée, plafonnée à 20 000 euros par manquement.
Enfin, n’oubliez pas que vous devez consigner chaque violation dans un registre interne, qu’elle ait été notifiée ou non à la CNIL, en application de l'article 33 du RGPD, et tenir ce registre à disposition de la CNIL en cas de contrôle.
