Dans un cabinet d'avocats ou une direction juridique, une session détournée donne accès à des informations dont la valeur ne dépend pas de leur volume : une note stratégique, un projet d'accord, une pièce de procédure suffisent. S'y ajoute une contrainte propre au secteur : la confidentialité n'est pas seulement un enjeu de sécurité, c'est une obligation professionnelle dont la violation engage la responsabilité du praticien.
Une exposition qui tient au mode de travail
Le risque tient moins à la sophistication des attaques qu'aux conditions d'exercice.
La mobilité permanente. Audiences, déplacements chez le client, travail en soirée depuis un équipement personnel : les sessions restent ouvertes sur plusieurs terminaux, souvent hors du réseau du cabinet.
Une informatique légère. Beaucoup de structures fonctionnent sans équipe de sécurité dédiée, sur des outils du marché opérés par des prestataires. La détection repose alors sur ce que le fournisseur expose, et sur la capacité du cabinet à l'exploiter.
Des collaborations éphémères. Co-conseils, experts, traducteurs, prestataires de revue documentaire : les accès temporaires se créent facilement et se ferment tardivement.
Une valeur d'information asymétrique. Une opération de rapprochement, un contentieux sensible ou une enquête interne intéressent des acteurs prêts à investir dans une intrusion ciblée.
Ce qu'un attaquant obtient, et pourquoi c'est difficile à quantifier
| Actif atteint | Exploitation possible | Difficulté de détection |
|---|---|---|
| Gestion électronique des dossiers | Lecture ciblée de pièces et de notes | Élevée : la consultation est l'usage normal |
| Messagerie du praticien | Contexte, calendrier, échanges avec le client | Moyenne : règles de transfert repérables |
| Espace de partage client | Accès aux documents déposés par le client | Élevée |
| Outil de facturation et de temps | Cartographie des dossiers et des clients | Faible valeur directe, fort renseignement |
| Signature électronique | Engagement d'un acte au nom du cabinet | Faible si les journaux sont exploités |
La dernière ligne mérite une attention particulière. Lorsque la signature d'un acte repose sur une session applicative, un détournement permet d'engager le cabinet ou le client. Les mécanismes qualifiés au sens du règlement eIDAS — dont la révision eIDAS 2 ((UE) 2024/1183) prépare le portefeuille d'identité européen — reposent précisément sur un contrôle exclusif du signataire, condition qu'une session partagée avec un attaquant ne remplit plus.
Le cadre applicable
Le RGPD s'applique pleinement : les dossiers contiennent des données personnelles, parfois des données sensibles ou relatives à des infractions. Une compromission déclenche l'analyse d'une violation, avec les obligations de notification associées.
Le secret professionnel ajoute une dimension déontologique : l'atteinte n'est pas seulement un incident technique, elle touche au fondement de la relation avec le client. En pratique, les cabinets se voient de plus en plus souvent imposer des exigences de sécurité par leurs propres clients, notamment via des questionnaires d'audit qui s'appuient sur l'ISO/IEC 27001.
Parades adaptées à une structure sans équipe dédiée
Le principe directeur : privilégier les mesures qui n'exigent pas de supervision quotidienne.
- Réduire la durée de vie des sessions et exiger une réauthentification pour accéder aux dossiers marqués sensibles. Un réglage, pas un projet.
- Supprimer les comptes partagés — secrétariat, boîte générique du cabinet — au profit de comptes nominatifs avec délégation explicite. C'est la condition de toute traçabilité utile.
- Encadrer les accès temporaires : date de fin obligatoire à la création, revue trimestrielle, fermeture automatique à la clôture du dossier.
- Activer et lire les journaux d'accès de la gestion documentaire. Beaucoup de cabinets disposent de cette fonction sans l'avoir jamais consultée ; une revue mensuelle des accès aux dossiers sensibles est réaliste.
- Interdire l'installation libre d'extensions de navigateur sur les postes accédant à la gestion documentaire : c'est l'une des voies les plus simples de vol de jeton.
- Exiger une preuve d'intention pour les actes engageants : signature, dépôt, envoi d'une pièce à une partie adverse, export d'un dossier complet. Une session détournée ne suffit alors plus à produire un acte, ce que permet l'authentification cognitive en rattachant la validation à l'opération plutôt qu'à la connexion.
Que faire en cas de suspicion
Révoquer les sessions actives du praticien concerné sur l'ensemble des services, y compris mobiles ; vérifier les règles de transfert de messagerie et les partages externes créés récemment ; établir la liste des dossiers consultés dans la fenêtre suspecte ; conserver les journaux avant qu'ils ne soient purgés. Cette conservation est déterminante : sans elle, il devient impossible de démontrer l'étendue exacte de l'atteinte, ce qui conduit à devoir informer plus largement que nécessaire.
FAQ
Le chiffrement des documents protège-t-il d'un vol de session ?
Non, si la session détournée dispose des droits de déchiffrement applicatif — ce qui est le cas dans la plupart des gestions documentaires. Le chiffrement protège contre le vol de support, pas contre un accès légitime détourné.
Un cabinet de petite taille est-il réellement ciblé ?
Il l'est en tant que point d'accès à ses clients. Une structure de quelques praticiens intervenant sur des opérations sensibles présente un rapport valeur/protection très favorable pour un attaquant.
Comment gérer les accès des co-conseils et experts ?
Par des comptes nominatifs limités au dossier concerné et assortis d'une date d'expiration. Le partage d'un accès existant, fréquent par commodité, supprime toute possibilité de tracer l'origine d'une fuite.
Faut-il notifier une atteinte au secret professionnel ?
Le RGPD impose l'analyse d'une éventuelle violation de données et, selon le risque, la notification à l'autorité et l'information des personnes concernées. La dimension déontologique impose en outre d'informer le client dont le dossier est atteint.
Aller plus loin : le 4ᵉ facteur cognitif · vol de session : mécanismes et détection · RGPD et professions juridiques · signature électronique et facteur cognitif