Dans le secteur juridique, le credential stuffing réussit pour une raison prosaïque : la plupart des structures n'ont personne pour regarder les journaux. Un attaquant rejoue des couples identifiant / mot de passe issus de fuites publiques sur des messageries professionnelles hébergées chez de grands fournisseurs. Quand un couple fonctionne, il obtient un accès qui restera actif plusieurs semaines, parce qu'aucun dispositif de supervision n'existe pour le détecter.
Une exposition inversement proportionnelle à la taille
La donnée traitée par un cabinet de trois personnes n'est pas moins sensible que celle d'un cabinet de trois cents. Elle est simplement moins bien défendue. Ce décalage définit le profil de risque du secteur.
Trois facteurs se cumulent.
L'adresse professionnelle est publique. Elle figure sur le site du cabinet, dans les annuaires professionnels, au bas des correspondances. L'attaquant n'a aucun travail de découverte à fournir.
Le secret est souvent ancien et réutilisé. Les identifiants volés, réutilisés ou partagés figurent parmi les tout premiers vecteurs d'intrusion recensés par le Verizon DBIR ; une structure sans politique de mots de passe formelle y est exposée mécaniquement.
La détection est absente. Aucune supervision, aucune alerte sur les connexions inhabituelles, aucun inventaire des règles de boîte. La compromission n'est découverte qu'au moment du préjudice.
Ce qu'un accès à la messagerie ouvre réellement
| Ressource atteinte | Chemin depuis la messagerie | Préjudice | Parade adaptée à une petite structure |
|---|---|---|---|
| Correspondances clients | Accès direct | Atteinte au secret professionnel | Facteur résistant au phishing |
| Plateforme d'échange de pièces | Réinitialisation par e-mail | Divulgation, altération de dossiers | Facteur fort sur la plateforme aussi |
| Comptes de services tiers | Réinitialisation par e-mail | Prise de contrôle en cascade | Inventaire des comptes rattachés |
| Instructions de virement | Réponse dans un fil existant | Détournement de fonds de dossier | Règle contractuelle sur les RIB |
| Agenda et audiences | Accès direct | Renseignement, prétexte crédible | Cloisonnement des agendas sensibles |
| Archives et pièces jointes | Recherche dans l'historique | Chantage, revente | Purge et archivage hors messagerie |
La deuxième et la troisième ligne méritent une attention particulière. La messagerie n'est pas seulement une ressource : c'est la clé de récupération de presque tous les autres services. Sa compromission ne s'arrête pas à son propre contenu.
Pourquoi la réinitialisation par e-mail change tout
Un cabinet peut avoir protégé sa plateforme de gestion de dossiers par un mot de passe distinct et solide. Si le parcours « mot de passe oublié » de cette plateforme envoie un lien à l'adresse professionnelle, alors la sécurité de la plateforme vaut exactement celle de la messagerie.
Cette dépendance en cascade est le point le plus souvent ignoré, et le plus facile à corriger : il suffit d'inventorier les services rattachés à l'adresse professionnelle et de vérifier, pour chacun, comment se déroule la récupération de compte.
Un plan tenable sans équipe informatique
Le secteur juridique n'a pas besoin d'une architecture de sécurité. Il a besoin de cinq décisions appliquées sans exception.
- Un facteur résistant au phishing sur la messagerie. Une passkey ou une clé physique FIDO2/WebAuthn empêche à la fois le rejeu de fuites et le relais par proxy inverse. Pour quelques personnes, la mise en place se compte en heures.
- Aucun mot de passe déjà compromis. Vérifier les secrets en place et les remplacer. La mesure ne coûte rien et retire la matière première de l'attaque.
- Un gestionnaire de mots de passe. Il rend l'unicité des secrets possible en pratique, ce que la mémoire humaine ne permet pas.
- Une alerte sur la création de règles de boîte. C'est le geste de persistance le plus fréquent après une compromission de messagerie, et sa détection est accessible sur les offres courantes.
- Une règle écrite sur les coordonnées bancaires. Aucune instruction de virement transmise par message ne fait foi ; toute modification déclenche un contre-appel sur un numéro connu. Inscrire cette règle dans la lettre de mission la rend opposable et connue du client avant l'incident.
Ce que le facteur cognitif ajoute
Une fois la messagerie protégée, le risque résiduel se déplace vers l'acte : l'instruction de virement, la remise d'une pièce, la validation d'un accord. Ces gestes engagent la responsabilité du cabinet et se déroulent à l'intérieur d'une session déjà ouverte, donc hors de portée du facteur de connexion.
Le facteur cognitif porte la preuve sur l'action : un défi résolu au moment de l'opération, dans un canal éphémère ouvert par QR code dynamique à usage unique, sans identifiant ni secret réutilisable. Une liste de couples issue d'une fuite n'a alors plus de point d'application, et une session volée ne suffit plus à engager le cabinet.
FAQ
Un cabinet peut-il savoir si sa messagerie a déjà été compromise ?
Partiellement. Les journaux de connexion des offres professionnelles courantes conservent plusieurs mois d'historique. Vérifier les adresses d'origine, les règles de boîte existantes et les applications autorisées constitue un premier examen utile.
Le RGPD impose-t-il une MFA en cabinet ?
Aucun texte ne prescrit de facteur particulier. Le RGPD raisonne en proportionnalité : la mesure doit correspondre au risque encouru. Pour une messagerie qui concentre des correspondances couvertes par le secret professionnel, un mot de passe seul se défend difficilement après un incident.
Faut-il changer les mots de passe tous les trois mois ?
Non. La rotation forcée produit des secrets prévisibles. Mieux vaut des secrets longs, uniques, vérifiés contre les fuites connues, et changés en cas de compromission avérée.
Que faire si un confrère envoie un message manifestement frauduleux ?
Le prévenir par téléphone, sur un numéro issu de l'annuaire officiel et non du message. Prévenir aussi les clients du dossier concerné, car le fil de discussion détourné vise généralement une instruction de paiement.
Aller plus loin : authentification cognitive · AiTM dans le secteur juridique · ISO 27001 pour les cabinets · l'approche IDless contre le credential stuffing