Dans un cabinet d'avocats ou une étude, le push bombing s'attaque au maillon le mieux doté et le moins disponible : l'associé. Il accède à tous les dossiers, il est constamment en déplacement, et il considère volontiers toute friction d'authentification comme une perte de temps. Une rafale de notifications reçue entre deux audiences se solde presque toujours par une validation d'agacement.
Ce qu'un accès compromis expose dans un cabinet
Le préjudice n'est pas seulement informatique : il est déontologique.
- Les correspondances et pièces de procédure, couvertes par le secret professionnel. Leur divulgation crée un dommage qui ne se répare pas, contrairement à une perte financière.
- La gestion électronique de documents du cabinet, qui agrège des années de dossiers, y compris des opérations non abouties dont la confidentialité reste sensible.
- Les mouvements de fonds clients : séquestres, dépôts liés à une cession ou à une transaction immobilière. Ce sont des montants importants, sur des comptes distincts de la trésorerie du cabinet, et souvent validés dans l'urgence d'une signature.
- La messagerie, qui permet à l'attaquant d'intervenir dans un fil existant entre le cabinet, un client et une contrepartie — le scénario le plus efficace pour détourner un virement.
Cette dernière possibilité mérite d'être expliquée à toute l'équipe : une fois la boîte compromise, l'attaquant n'a plus besoin d'imiter le cabinet, il est le cabinet aux yeux du destinataire.
Ce qui rend le cabinet vulnérable à cette attaque précise
La MFA fatigue a besoin d'une victime pressée et d'un contexte confus. Le secteur juridique fournit les deux.
La mobilité d'abord : audience, rendez-vous chez le client, déplacement en juridiction. Le téléphone reste en mode silencieux, les notifications s'accumulent, et l'utilisateur les traite en lot à la sortie, sans rattacher chacune à une action précise. Les structures sont petites : beaucoup de cabinets n'ont pas de service informatique interne, mais un prestataire joignable par téléphone — ce qui rend parfaitement crédible un appel se présentant comme tel. Enfin, la culture professionnelle valorise la réactivité envers le client : ralentir un associé est socialement coûteux, ce qui explique le maintien de méthodes faibles là où l'enjeu est le plus élevé.
| Population du cabinet | Ce à quoi le compte donne accès | Facteur aggravant | Priorité |
|---|---|---|---|
| Associé | Ensemble des dossiers, mouvements de fonds | Mobilité, refus de la friction | Très haute |
| Collaborateur | Dossiers confiés, GED, messagerie | Volume de connexions, horaires étendus | Haute |
| Assistant, secrétariat | Messagerie, agenda, facturation | Cible privilégiée de l'ingénierie sociale | Haute |
| Comptabilité du cabinet | Virements, comptes de dépôt | Urgence de la signature | Très haute |
| Stagiaire, intérimaire | Accès temporaires larges | Révocation souvent oubliée | Moyenne |
Le cadre : secret professionnel, RGPD et exigences clients
Le secret professionnel constitue ici la contrainte structurante. Il ne se négocie pas, et il ne s'apprécie pas au regard d'un risque résiduel acceptable : une correspondance divulguée est une faute, quelle que soit la sophistication de l'attaque.
Le RGPD s'y superpose avec des obligations concrètes : sécurité appropriée au risque, capacité à qualifier une violation de données à caractère personnel et à la notifier dans les délais prévus. Beaucoup de cabinets découvrent à ce stade qu'ils n'ont pas les journaux nécessaires pour déterminer l'étendue d'un accès frauduleux.
S'ajoute enfin une pression de marché : les directions juridiques de grands comptes imposent de plus en plus des exigences de sécurité contractuelles à leurs conseils, en s'appuyant volontiers sur le référentiel ISO/IEC 27001. La sécurité de l'authentification devient alors un sujet commercial autant qu'un sujet de conformité.
Parades proportionnées à une structure sans DSI
- Commencer par la messagerie et la GED, dans cet ordre. Ce sont les deux points d'entrée qui produisent à la fois la violation du secret et la fraude au virement.
- Supprimer l'approbation par simple bouton pour les associés et la comptabilité. Ces populations sont peu nombreuses : un facteur plus exigeant y est déployable en quelques jours.
- Séparer la validation d'un mouvement de fonds de la connexion. Un virement au titre d'un dossier client doit être confirmé par un acte distinct, portant sur le montant et le bénéficiaire, même si la session est déjà ouverte.
- Poser une règle unique et mémorisable : aucune demande d'approbation n'est jamais sollicitée par téléphone, ni par le prestataire informatique, ni par personne. Une règle absolue est plus efficace qu'une formation longue.
- Retenir une méthode sans secret réutilisable. Le facteur cognitif demande à l'utilisateur de prouver une intention humaine consciente, ce qu'une rafale de notifications ne peut pas obtenir. L'approche IDless, sans donnée identifiante détenue par le fournisseur, s'accorde par ailleurs avec l'exigence de confidentialité propre à la profession.
FAQ
Un cabinet de quelques personnes est-il vraiment une cible ?
Oui, et souvent une cible préférée. Il concentre des informations à forte valeur et des mouvements de fonds, avec des moyens de défense limités. L'attaquant ne mesure pas l'intérêt d'une cible à son effectif mais au rapport entre le gain et l'effort.
Le chiffrement des dossiers protège-t-il du push bombing ?
Non. L'attaque conduit à une session légitime : l'attaquant lit les documents exactement comme l'utilisateur, après déchiffrement. Le chiffrement au repos protège contre le vol de support, pas contre l'usurpation d'identité.
Que faire immédiatement après une approbation suspecte ?
Révoquer les sessions actives plutôt que de se contenter d'un changement de mot de passe, puis vérifier les règles de redirection et de transfert de la messagerie, ainsi que les facteurs d'authentification enrôlés. Ce sont les trois traces habituelles de persistance.
Comment gérer les accès des stagiaires et des intervenants ponctuels ?
En liant systématiquement l'ouverture à une date de fin. Un accès temporaire sans échéance devient un accès permanent oublié, et c'est le type de compte que l'attaquant cherche en priorité parce que personne ne surveille son activité.
Aller plus loin : authentification cognitive : le principe · anatomie de la MFA fatigue · RGPD et professions juridiques · choisir une solution d'authentification