Cyberattaques contre les cabinets d’avocats : se protéger
Découvrez comment les groupes criminels ciblent les cabinets d’avocats, parfois par usurpation de l’IT, et quelles mesures concrètes réduisent le risque.
Cabinets d'avocats : pourquoi les cybercriminels passent aussi la porte
Un appel du faux support informatique, une fenêtre de prise en main à distance, puis une visite sur place : les attaques contre les cabinets d'avocats ne se limitent plus à l'envoi d'un fichier piégé. Dans un cas décrit par CrowdStrike, un individu se serait présenté dans un cabinet américain en se faisant passer pour un salarié de l'informatique. Le but était d'obtenir un accès à un poste et de faciliter l'installation d'outils d'accès distant.
Ce changement est important. Un cabinet concentre des informations sensibles, des échanges confidentiels et, parfois, des accès aux systèmes de ses clients. Les attaquants n'ont pas besoin de déployer une technique « spectaculaire » : un appel convaincant - ou un badge emprunté - peut suffire à contourner les contrôles.
Le rapport de CrowdStrike, qui couvre la période de septembre 2025 à août 2026, décrit une hausse marquée des activités criminelles visant le secteur juridique américain. Ces chiffres s'appuient sur ses équipes de renseignement et sa télémétrie : ils ne représentent donc pas nécessairement l'ensemble des incidents.
Voici comment ces attaques se déroulent, pourquoi les cabinets sont exposés et quelles mesures peuvent réellement réduire le risque, sans confondre sécurité technique et procédures internes.
Pourquoi les cabinets d'avocats attirent-ils les cybercriminels ?
Des données qui valent plus qu'un poste de travail
Un cabinet détient des informations dont la valeur ne dépend pas uniquement de leur volume. Un dossier peut révéler une opération de fusion, un différend commercial, une stratégie de défense ou des données personnelles. Les criminels cherchent alors à les voler pour exiger une rançon, menacer de les publier ou mettre le cabinet (et ses clients) sous pression.
CrowdStrike résume cette logique avec une formule volontairement imagée : les cabinets seraient le « distributeur automatique » des cybercriminels. Ce n'est évidemment pas une mesure statistique, mais ça traduit bien un point économique : les données juridiques sont souvent confidentielles, et leur divulgation peut entraîner un coût très concret - financier, réputationnel ou judiciaire.
Dans ce contexte, la relation de confiance entre avocat et client devient une cible. L'objectif n'est pas forcément de « stopper » toute l'activité. Un accès à une messagerie, à un espace documentaire ou à un compte de facturation peut déjà suffire pour récupérer des informations exploitables.
Une organisation qui doit rester accessible
Les cabinets travaillent avec des clients, des juridictions, des experts et des prestataires. Cette activité exige des échanges rapides et un accès à distance aux dossiers. C'est normal, mais ça multiplie aussi les identités, les appareils et les outils qui peuvent servir de point d'entrée.
L'attaquant joue souvent avec ce besoin de réactivité : un appel « urgent », une demande de dépannage ou une « mise à jour » annoncée à la hâte. Quand un collaborateur veut régler un problème sans bloquer un dossier, il peut accepter une session d'assistance ou transmettre un code de vérification. Le risque n'est alors pas un accident isolé : c'est un processus qui autorise une action sensible sans validation indépendante.
Une hausse documentée, mais à remettre en contexte
D'après CrowdStrike, le groupe qu'elle désigne sous le nom de CHATTY SPIDER a augmenté son activité de 129 % au cours des huit premiers mois de 2026, par rapport à l'ensemble de 2024. Près de 90 % des victimes attribuées à ce groupe seraient des cabinets d'avocats. Le rapport recense aussi 455 entités juridiques nommées sur des sites de fuite de données par des groupes de rançongiciel et d'extorsion pendant la période étudiée, contre 327 l'année précédente, soit une hausse de 39 %.
Ces éléments concernent des victimes observées ou revendiquées : ce n'est pas un recensement exhaustif. Le FBI a aussi alerté sur des visites physiques associées au groupe, dont il donne Silent Ransom Group comme autre nom. CrowdStrike signale un cas d'intrusion sur site ; toutes les autres situations évoquées dans son rapport ne sont pas nécessairement confirmées de façon indépendante par la publication qui l'a relayé.
Pour un cabinet français, ces chiffres américains ne permettent pas de déduire directement le niveau de menace local. En revanche, ils donnent une bonne idée des méthodes et des motivations à surveiller - surtout pour les structures qui gèrent des dossiers transfrontaliers ou qui s'appuient sur des services numériques partagés.
Comment fonctionne une attaque avec un faux informaticien ?
D'abord, obtenir la confiance et une première autorisation
Dans les cas décrits par CrowdStrike, des interlocuteurs se présentent par téléphone comme des membres du support informatique. Ils obtiennent alors des avocats - ou leurs assistants - pour ouvrir une session de dépannage à distance.
Les outils cités incluent Quick Assist, AnyDesk, Zoom et Cisco Webex.
Le logiciel en lui-même n'est pas forcément « le problème ». Le risque apparaît quand un utilisateur ouvre une session à la demande d'une personne dont l'identité n'a pas été vérifiée. C'est là que le raisonnement doit être clair : empêcher un nom d'application ne suffit pas si l'attaquant utilise un autre outil similaire, ou s'il récupère les identifiants via une autre voie.
Ensuite, le groupe peut installer des outils d'accès distant, se déplacer dans le système ou essayer d'exfiltrer des documents vers un espace de stockage en ligne. Dans un cas de 2025 rapporté par CrowdStrike, une tentative de collecte de données aurait commencé quatre minutes après l'obtention de l'accès. Ça illustre aussi un point pratique : si l'alerte arrive tardivement, ou si l'investigation ne démarre qu'après plusieurs heures, l'attaquant a souvent de la marge.
Ensuite, contourner l'écran en se présentant sur place
Le volet physique ajoute une faiblesse que les outils informatiques ne peuvent pas gérer seuls. En novembre 2025, d'après CrowdStrike, un ressortissant russe aurait été recruté pour entrer dans un cabinet américain en se faisant passer pour un salarié interne de l'informatique. Il aurait accédé à un poste sur site, aidé à installer des outils d'accès distant et tenté de transférer des données vers un stockage en ligne. Il aurait été interpellé lors d'une seconde visite, le lendemain.
Le FBI décrit une tactique voisine dans son avis sur Silent Ransom Group : si l'accès à distance échoue, un individu peut se rendre sur place et brancher un périphérique de stockage sur un ordinateur. CrowdStrike cite aussi des intrusions physiques attribuées à des personnes basées aux États-Unis, rapportées par CNN.
Ces éléments doivent être lus comme des cas et des alertes attribués à des sources, pas comme une fréquence « établie » pour tous les cabinets.
La défense, elle, est très concrète : une personne inconnue ne doit pas pouvoir accéder à un poste ou à une salle technique parce que son explication paraît crédible. L'identité et le rendez-vous doivent être confirmés par un contact interne, via un canal distinct de celui utilisé par le visiteur.
Enfin, monétiser les données volées
L'objectif peut être l'extorsion, la revente d'informations ou un mélange des deux. Les groupes menacent parfois de publier les données sur un site de fuite si les négociations échouent.
Une sauvegarde ne « répare » donc pas tout : elle aide à restaurer des systèmes, mais elle ne remet pas automatiquement la main sur les documents déjà exfiltrés.
Il faut distinguer trois types d'incidents qui se recoupent souvent : chiffrement des systèmes, vol de données et usurpation d'identité. Le plan de réponse doit couvrir ces trois dimensions. Restaurer des fichiers ne traite pas forcément une compromission de compte ; réinitialiser des mots de passe ne supprime pas une copie de dossiers déjà transférée.
Quels risques viennent des logiciels et des accès tiers ?
Les outils de travail peuvent devenir des points d'entrée
Le rapport ne parle pas uniquement d'appels frauduleux. En avril 2026, CrowdStrike a attribué à un groupe qu'il nomme TITAN PANDA l'exploitation d'une clé codée en dur dans Intapp Time Server, un logiciel de suivi du temps et de facturation largement utilisé par des cabinets d'avocats. L'entreprise présente cet épisode comme sa première attaque observée contre un logiciel spécifique au secteur juridique.
Une clé codée en dur est un secret intégré directement au logiciel ou à sa configuration, plutôt que géré de façon correctement sécurisée à chaque installation. Si elle est connue ou exploitable, elle peut ouvrir une voie d'accès qui contourne les protections habituelles. Pour un cabinet, l'enjeu n'est pas de jeter un outil dès qu'une alerte apparaît : c'est de savoir quels services sont exposés, qui les maintient, et à quelle vitesse les correctifs - ou les mesures de mitigation - sont appliqués.
Le rapport mentionne aussi l'exploitation, avant disponibilité d'un correctif, d'une faille VMware ESXi par un groupe désigné WARP PANDA. Un autre groupe, MURKY PANDA, aurait tenté près de 500 connexions infructueuses sur autant de comptes dans un cabinet américain, depuis environ 300 adresses IP sur 30 jours. Une série d'échecs peut précéder une compromission : ça mérite une investigation, même quand aucune connexion n'aboutit immédiatement.
La chaîne de dépendance dépasse le cabinet
Les cabinets utilisent souvent des services d'hébergement, des outils de facturation, des solutions de visioconférence, des plateformes de gestion documentaire et des prestataires d'assistance. Chacun ajoute ses propres comptes privilégiés, ses clés, ses interfaces d'administration ou ses mécanismes de récupération.
Le bon réflexe n'est pas seulement « quel logiciel utilise-t-on ? », mais plutôt : qui peut s'y connecter, depuis quels appareils, avec quel niveau d'accès, et comment l'activité est-elle journalisée ? Un outil moins visible, mais connecté à la messagerie ou aux dossiers, peut présenter plus de risques qu'un outil « connu » utilisé sans privilèges particuliers.
Pour les responsables informatiques, un inventaire utile devrait au minimum préciser :
- le propriétaire métier et le responsable technique de chaque service ;
- les données accessibles et leur niveau de sensibilité ;
- les comptes administrateurs, intégrations et accès de prestataires ;
- la méthode d'authentification et les modalités de révocation ;
- le délai de traitement d'une faille critique et la procédure de communication avec l'éditeur.
Cet inventaire n'a pas besoin d'être parfait. Il doit d'abord couvrir les systèmes qui ouvrent l'accès aux dossiers clients, à la messagerie, aux sauvegardes et aux outils de gestion des identités.
Comment réduire concrètement le risque dans un cabinet ?
1. Encadrer l'assistance à distance
Mettez une règle simple : aucun salarié ne lance une prise en main à distance à la suite d'un appel entrant non vérifié. Le support doit être contacté via un canal connu du cabinet, et la demande doit être rattachée à un ticket ou à un échange traçable. Si un prestataire initie le contact, le collaborateur le rappelle via le numéro déjà enregistré, pas via celui donné pendant l'appel.
Limitez les outils autorisés et encadrez leur déploiement, mais ne vous contentez pas d'une liste de blocage. Les outils de visioconférence peuvent aussi servir à partager l'écran et à contrôler un poste. Le point à clarifier, c'est quand une session est ouverte, par qui, avec quel consentement, et sur quel appareil.
2. Vérifier les visiteurs comme vous vérifiez les comptes
Votre procédure d'accueil doit couvrir les techniciens, les prestataires et les personnes qui disent venir pour un rendez-vous urgent. Demandez une pièce d'identité quand c'est approprié, confirmez l'intervention avec le référent interne et accompagnez le visiteur dans les zones de travail - surtout celles qui touchent au technique.
Le FBI recommande de vérifier les visiteurs et de conserver une copie de leurs pièces d'identité. En France, les modalités doivent respecter les règles applicables, notamment en matière de données personnelles.
Un badge visible ne prouve pas une identité. Distinguez aussi les badges temporaires des badges permanents, enregistrez les entrées et sorties, et révoquez les accès rapidement après une intervention. Une personne sur site ne devrait pas pouvoir brancher un périphérique sur un poste sans autorisation explicite.
3. Renforcer l'authentification et surveiller ses changements
Activez l'authentification multifacteur sur les comptes de messagerie, les outils documentaires, les accès distants et les consoles d'administration. L'authentification multifacteur réduit le risque lié au vol d'un mot de passe, mais elle ne supprime pas le risque d'usurpation via une demande frauduleuse acceptée par un utilisateur trompé.
Le rapport recommande aussi de surveiller l'ajout de nouveaux appareils ou méthodes d'authentification sur les comptes. Un nouvel appareil MFA enregistré sans demande connue peut être un signal. Les alertes doivent parvenir à une équipe (ou à un prestataire) capable d'agir : une notification ignorée n'est pas un contrôle.
4. Réduire les privilèges et prévoir la réaction
Les comptes d'administration ne devraient pas servir aux tâches quotidiennes. Les accès des prestataires doivent être limités dans le temps et au périmètre strictement nécessaire. Les clés, paramètres par défaut et secrets intégrés aux logiciels doivent être inventoriés puis remplacés selon les recommandations des éditeurs : une valeur par défaut oubliée peut annuler l'intérêt d'autres protections.
Enfin, définissez à l'avance qui peut isoler un poste, suspendre un compte ou couper une connexion externe. Le plan de réponse doit prévoir la conservation des journaux, l'évaluation des données consultées ou extraites, la coordination avec les responsables du cabinet et les démarches réglementaires pertinentes. En Europe, une violation de données personnelles peut déclencher des obligations au titre du RGPD : autant faire évaluer la situation tôt, sans attendre que toutes les investigations soient terminées.
Conclusion : traiter l'accès comme un processus, pas comme un outil
Le point clé de ces attaques, ce n'est pas une technique totalement nouvelle. C'est l'assemblage de méthodes « banales » : un appel crédible, un outil légitime, un compte pas assez protégé et une présence physique non vérifiée.
Du coup, pour les cabinets, la réponse ne se résume pas à interdire toute assistance à distance. Elle consiste surtout à rendre chaque accès vérifiable, limité et révocable.
Commencez par tester trois scénarios : un appel inattendu du support, une demande d'ajout d'appareil MFA et la visite d'un technicien non annoncé. Si vos équipes ne savent pas qui doit confirmer, quel accès suspendre et qui doit être alerté, la priorité est de clarifier ces procédures avant d'ajouter encore un outil de sécurité.