Le secteur juridique cumule deux caractéristiques qui rendent le phishing particulièrement efficace : une part importante de l'activité d'un cabinet est connue de tiers, et les échanges par messagerie portent régulièrement sur des mouvements de fonds. L'attaquant n'a donc ni à deviner le contexte, ni à inventer un prétexte : il lui suffit de s'insérer dans un dossier réel, au moment où de l'argent doit circuler.
Un contexte que l'attaquant n'a pas besoin de fabriquer
Beaucoup d'informations nécessaires à un leurre crédible sont accessibles ou déductibles : parties à une procédure, calendrier d'audience, opérations annoncées publiquement, publications du cabinet, mentions de dossiers dans la presse professionnelle. La partie adverse d'un litige, elle, connaît l'essentiel — ce qui distingue ce secteur des autres : il existe des tiers ayant un mobile direct à accéder aux échanges.
Les leurres qui en découlent sont sobres et exempts des signaux enseignés en formation.
- Le fil de dossier détourné. L'attaquant intervient dans un échange existant entre le cabinet, le client et une contrepartie, souvent depuis une boîte compromise chez l'un des participants, pour transmettre de nouvelles coordonnées bancaires avant une signature.
- La notification de juridiction ou de plateforme d'échange, qui invite à consulter une pièce sur un portail imité.
- Le message d'un confrère relatif à une procédure en cours, avec une pièce jointe attendue.
- La demande urgente d'un associé au secrétariat ou à la comptabilité, exploitant une hiérarchie courte et une culture de réactivité.
Ce que la compromission produit
Deux préjudices coexistent, et ils n'ont pas la même nature.
Le premier est financier et rapide. Les fonds détenus pour le compte de clients — séquestres, dépôts liés à une cession ou à une transaction immobilière — représentent des montants importants, mobilisés dans un calendrier serré. Un changement de coordonnées bancaires accepté à la veille d'une signature produit une perte difficile à récupérer.
Le second est déontologique et irréversible. La divulgation de correspondances et de pièces couvertes par le secret professionnel ne se répare pas. Il faut y ajouter un effet indirect rarement anticipé : l'accès à la messagerie du cabinet expose aussi les dossiers des autres clients, dont aucun n'a été partie à l'incident.
| Vecteur | Ce que vise l'attaquant | Fenêtre d'action | Contrôle qui l'arrête |
|---|---|---|---|
| Fil de dossier détourné | Coordonnées bancaires avant signature | Quelques jours | Vérification hors canal, contact déjà enregistré |
| Portail de juridiction imité | Identifiants, puis session messagerie | Immédiate | Facteur lié à l'origine |
| Message d'un confrère | Pièce jointe piégée, poste compromis | Variable | Cloisonnement, exécution restreinte |
| Fausse instruction d'associé | Virement en urgence | Heures | Double validation, seuil obligatoire |
| Accès à la GED | Ensemble des dossiers du cabinet | Longue | Surveillance des volumes de consultation |
Le cadre : secret professionnel, RGPD et exigences des clients
Le secret professionnel constitue ici la contrainte structurante. Il ne s'apprécie pas au regard d'un risque résiduel acceptable : une correspondance divulguée est une faute, indépendamment de la sophistication de l'attaque. Cette asymétrie justifie un niveau d'exigence supérieur à celui qu'une analyse de risque purement économique recommanderait.
Le RGPD impose parallèlement une sécurité proportionnée au risque et la capacité à qualifier puis notifier une violation de données à caractère personnel. Beaucoup de structures découvrent à ce stade qu'elles ne disposent pas des journaux permettant d'établir l'étendue d'un accès frauduleux, ce qui rend l'information des personnes concernées approximative.
S'y ajoute enfin une pression contractuelle croissante : les directions juridiques de grands comptes imposent des exigences de sécurité à leurs conseils, en s'appuyant volontiers sur le référentiel ISO/IEC 27001. Le sujet devient alors commercial autant que réglementaire.
Parades réalistes pour une structure sans service informatique
- Poser une règle absolue sur les coordonnées bancaires. Aucun changement d'IBAN n'est accepté sur la seule foi d'un message, quel qu'en soit l'expéditeur apparent. La vérification se fait par appel vers un numéro déjà enregistré, jamais vers un numéro figurant dans l'échange en cours. Cette règle unique traite le préjudice le plus fréquent.
- Protéger la messagerie en priorité, puis la GED. Ce sont les deux points d'entrée qui produisent à la fois la violation du secret et la fraude au virement.
- Supprimer les facteurs rejouables. Un code transmis par SMS ou par courriel est relayé en temps réel par une page relais ; l'OTP par SMS ou par voix est classé « restricted » par le NIST dans sa publication SP 800-63B. Un facteur lié à l'origine protège même un utilisateur qui n'a rien remarqué.
- Séparer la validation d'un mouvement de fonds de la connexion. Un virement au titre d'un dossier client doit être confirmé par un acte distinct, portant sur le montant et le bénéficiaire, même lorsque la session est déjà ouverte.
- Limiter la charge sur les associés. La population la plus exposée est aussi celle qui tolère le moins de friction. Une preuve d'intention humaine réservée aux opérations sensibles, dans un canal éphémère chiffré ouvert par un QR code dynamique à usage unique, protège les gestes qui comptent sans alourdir le quotidien. L'approche IDless, sans donnée identifiante détenue par le fournisseur, s'accorde par ailleurs avec l'exigence de confidentialité propre à la profession.
FAQ
Le chiffrement des documents protège-t-il du phishing ?
Non. L'attaque conduit à une session légitime : l'attaquant consulte les documents exactement comme l'utilisateur, après déchiffrement. Le chiffrement au repos protège contre le vol de support, pas contre l'usurpation d'identité.
Un petit cabinet est-il réellement visé ?
Oui. Il concentre des informations à forte valeur et des mouvements de fonds, avec des moyens de détection limités. L'attaquant évalue le rapport entre le gain et l'effort, pas l'effectif de la structure.
Que faire immédiatement après un phishing avéré ?
Révoquer les sessions actives avant toute réinitialisation, puis vérifier les règles de redirection et de transfert de la messagerie, les facteurs d'authentification enrôlés et les échanges relatifs aux virements en cours. L'ordre compte : réinitialiser sans révoquer laisse l'attaquant en place.
Faut-il informer les clients concernés ?
La question relève à la fois du RGPD et de la déontologie, et elle se pose dès qu'un accès non autorisé aux correspondances est plausible. C'est précisément pour pouvoir y répondre avec précision qu'une journalisation exploitable des accès doit être en place avant l'incident.
Aller plus loin : authentification cognitive : le pilier · MFA résistante au phishing · ISO 27001 et cabinets juridiques · l'AiTM appliqué au secteur juridique