Dans le secteur juridique, l'attaque AiTM (adversary-in-the-middle) vise d'abord la messagerie. Une session volée sur la boîte d'un avocat, d'un notaire ou d'un juriste d'entreprise donne accès à des correspondances couvertes par le secret professionnel, à des calendriers d'audience, et surtout à des dossiers où circulent des fonds. Le proxy inverse relaie l'authentification, capte le jeton de session, et l'attaquant lit le dossier avant d'intervenir dedans.
Un secteur où la donnée vaut plus que l'accès
La particularité juridique tient à la nature du préjudice. Ailleurs, une compromission se solde par une perte financière ou une interruption d'activité. Ici, elle touche une obligation déontologique : la confidentialité de la relation avec le client. Une divulgation ne se répare pas, ne se sauvegarde pas et se signale difficilement sans aggraver l'exposition.
S'y ajoute un déséquilibre structurel. Une grande partie du secteur est constituée de structures de petite taille, sans équipe de sécurité, sans supervision continue, avec des outils grand public et une messagerie hébergée chez un fournisseur SaaS. La surface d'attaque est modeste, mais la détection l'est encore plus.
Les trois scénarios réellement observés
Le fil de discussion détourné. L'attaquant, installé dans une boîte compromise, ne crée pas de nouveau message. Il répond dans une conversation existante entre le cabinet et son client, au bon moment du dossier, avec le bon vocabulaire. C'est le scénario le plus difficile à détecter, parce que le message est authentiquement émis depuis le compte légitime.
Le détournement de fonds de dossier. Dans les opérations où un cabinet manie des fonds — vente immobilière, transaction, séquestre — l'attaquant intercepte le moment de l'instruction de virement et substitue ses coordonnées bancaires. Le client paie de bonne foi, sur la base d'un message qui provient réellement du cabinet.
La collecte de renseignement adverse. Dans un contentieux à fort enjeu, l'accès à la stratégie d'une partie a une valeur en soi. L'attaquant ne modifie rien, n'envoie rien, et reste discret. Seule une analyse des accès permet de le repérer.
| Scénario | Signal le plus fiable | Contrôle organisationnel | Contrôle technique |
|---|---|---|---|
| Fil détourné | Règle de transfert ou de classement créée | Vérification hors bande des instructions | Alerte sur règles de boîte |
| Détournement de fonds | Coordonnées bancaires modifiées en cours de dossier | Communication des RIB par un canal distinct, en amont | Validation d'intention sur l'ordre |
| Renseignement adverse | Volume de lecture atypique, connexions hors horaires | Cloisonnement des dossiers sensibles | Journalisation des accès documentaires |
| Usurpation de confrère | Domaine proche, réponse trop rapide | Contre-appel sur annuaire officiel | Authentification des correspondants |
| Accès prestataire | Compte de support actif hors intervention | Fenêtre d'ouverture contractuelle | Comptes nominatifs, révocation |
Ce qui protège vraiment, à budget contraint
Le secteur juridique n'a pas besoin d'une architecture complexe. Il a besoin de trois décisions appliquées sans exception.
Un facteur résistant au phishing sur la messagerie. C'est le point d'entrée de l'immense majorité des scénarios ci-dessus. La liaison à l'origine de FIDO2/WebAuthn empêche le relais de convertir l'authentification en session. Pour une structure de quelques personnes, l'effort est faible et le gain immédiat.
Une règle absolue sur les coordonnées bancaires. Aucune instruction de virement transmise par message ne fait foi. Les coordonnées sont communiquées en amont, par un canal distinct, et toute modification déclenche un contre-appel sur un numéro connu du cabinet. Cette règle doit figurer dans la lettre de mission, pour être opposable et connue du client avant l'incident.
Une surveillance minimale des règles de boîte. La création d'une règle de transfert ou de classement automatique est le geste de persistance le plus fréquent après une compromission de messagerie. Sa détection ne demande pas d'outil coûteux.
Là où l'authentification de connexion ne suffit plus
Même avec un facteur lié à l'origine, deux trous demeurent. Le vol de session après authentification permet d'agir sans jamais repasser par le facteur. Et les parcours de récupération de compte, souvent adossés à un e-mail secondaire ou à un SMS, ramènent la sécurité au niveau du maillon le plus faible.
D'où l'intérêt d'ancrer la preuve sur l'acte plutôt que sur la connexion. Le facteur cognitif fait résoudre un défi au moment où l'opération engage — envoi d'une instruction de paiement, publication d'une pièce, signature — dans un canal éphémère ouvert par QR code dynamique à usage unique. Rien de réutilisable ne circule, et la validation porte sur l'intention, pas sur la seule possession d'une session ouverte.
Cette logique rejoint la lecture du RGPD applicable au secteur : la sécurité des traitements se juge sur les mesures effectives, et une authentification traversable par un relais est une mesure imparfaite dès lors qu'elle protège des données sensibles.
FAQ
Le secret professionnel impose-t-il un niveau d'authentification particulier ?
Aucun texte ne fixe une méthode. En revanche, le RGPD exige des mesures adaptées au risque, et le risque est ici élevé par nature. Une méthode traversable par un proxy inverse se défend mal en cas de contrôle après incident.
Comment protéger un cabinet sans équipe informatique ?
Trois mesures couvrent l'essentiel : facteur résistant au phishing sur la messagerie, règle stricte et contractualisée sur les coordonnées bancaires, alerte sur la création de règles de boîte. Le reste peut venir ensuite.
Faut-il notifier le client en cas de compromission de messagerie ?
La question relève du conseil juridique propre à chaque situation. Sur le plan technique, il faut pouvoir établir rapidement quels dossiers ont été consultés, ce qui suppose une journalisation des accès documentaires activée avant l'incident.
Un antivirus ou un filtrage de messages arrête-t-il l'AiTM ?
Partiellement. Les kits de proxy inverse filtrent les analyseurs automatiques et servent le vrai site avec un certificat valide. Le filtrage réduit le volume, il ne constitue pas une barrière fiable.
Aller plus loin : authentification cognitive · l'attaque AiTM en détail · RGPD et cabinets juridiques · MFA résistante au phishing