Cyberattaque d'un cabinet d'avocats : conséquences sur les dossiers clients et le secret professionnel

Le guide de sécurité numérique du Conseil national des barreaux fait un rappel utile : un cabinet peut être visé non pour lui-même, mais comme une voie d'accès vers l'un de ses clients. Cybermalveillance.gouv.fr, de son côté, décrit un mode opératoire devenu courant : le rançongiciel ne se contente plus de chiffrer, il cherche aussi à copier les données pour les exfiltrer, et à détruire les sauvegardes qui lui sont accessibles. Mis bout à bout, ces deux constats déplacent la question. Elle n'est pas « mon informatique est-elle sécurisée ? », formulation à laquelle personne ne peut répondre par oui sans mentir. Elle est plus concrète : quelles données resteraient accessibles après un incident, en combien de temps, et qui décide de la suite ?

L'écart est tout le sujet : le problème n'est presque jamais l'absence d'outil, c'est l'absence de préparation et de pilotage.

Ce qu'un cabinet conserve vraiment

Un cabinet ne stocke pas des documents bureautiques interchangeables. Il conserve des consultations, des pièces communiquées par les clients, des échanges couverts par le secret professionnel, des stratégies contentieuses écrites noir sur blanc, parfois des données sensibles quand le dossier touche à la santé, à la famille ou au pénal. Tout cela vit dans votre logiciel métier, Secib, Kleos, Jarvis ou un autre, dans votre messagerie, dans vos accès au RPVA, et dans les dossiers partagés du réseau.

Le secret professionnel ne s'arrête pas à la porte du serveur. En pratique, dans un cabinet, cela veut dire qu'une pièce couverte par le secret sur un poste, dans une boîte mail ou sur une sauvegarde reste couverte par le secret. Un incident informatique qui expose ces données n'est donc pas seulement un problème technique : il touche l'obligation qui fonde votre relation avec vos clients.

Quatre angles pour lire une attaque : D.I.C.T.

Une cyberattaque ne produit pas un seul dommage, mais plusieurs. Pour savoir quoi surveiller sans se noyer, quatre dimensions suffisent, résumées par l'acronyme D.I.C.T. : disponibilité, intégrité, confidentialité, traçabilité. Chacune se lit sans jargon.

• Disponibilité (l'indisponibilité) : vos dossiers, votre messagerie et vos agendas deviennent inaccessibles, au moment précis où vous en avez besoin pour une échéance ou une audience.
• Confidentialité (la divulgation) : des pièces couvertes par le secret sont copiées vers l'extérieur. Cybermalveillance rappelle que l'exfiltration précède souvent le chiffrement, ce qui veut dire que des données ont pu partir avant même que vous ne constatiez le blocage.
• Intégrité (l'altération) : des fichiers sont modifiés ou corrompus, et vous ne savez plus lesquels font foi.
• Traçabilité (la perte de preuve) : sans journaux fiables, vous ne pouvez pas établir ce qui a été touché, ni ce qui a pu fuiter. Or c'est précisément cette information qui conditionne la suite juridique.

Je ne vous dirai pas « vous êtes une cible ». C'est le genre d'affirmation absolue que je m'interdis. Ce que dit le guide du CNB, en revanche, est un fait vérifiable : un cabinet peut être visé comme voie d'accès vers un client. La bonne posture n'est pas la peur, c'est de savoir ce qui resterait debout.

Lue en matrice, chaque dimension oppose ce que l'attaque touche, ce qui protège côté technique, et ce que vous seul décidez côté métier. C'est la même frontière que dans tout cet article, appliquée dimension par dimension.

Sept questions à poser à froid

Ces questions se posent à froid, avant tout incident. Leurs réponses valent mieux qu'un long audit.

• Sauriez-vous dire, aujourd'hui, quelles catégories de données ont pu être touchées si un poste était compromis ce soir ?
• Qui, concrètement, isole les systèmes atteints et coupe l'accès à internet en cas d'alerte ?
• Qui alerte le prestataire informatique, et par quel canal si la messagerie est bloquée ?
• Une copie de vos données survivrait-elle à une attaque, parce qu'elle est réellement hors ligne et déconnectée du réseau ?
• Disposez-vous de journaux permettant d'établir ce qui a été consulté ou copié, et à quel moment ?
• Qui évalue ce qui a pu fuiter, pour que vous décidiez ensuite s'il faut notifier ?
• Le rôle de chacun, en cas d'incident, est-il écrit quelque part, ou improvisé le jour venu ?

Si plusieurs réponses manquent, ce n'est pas un jugement. C'est simplement l'ordre des priorités qui apparaît.

Je fournis les faits, vous qualifiez et décidez

C'est la limite la plus importante de cet article, et elle vous protège. Je mets en place les moyens techniques, et après un incident, je vous fournis les éléments factuels : ce qui s'est passé, quels systèmes ont été touchés, ce qui a pu être copié, dans quels délais. Cybermalveillance recommande d'isoler les systèmes atteints et d'alerter immédiatement le prestataire : c'est mon terrain.

Ce qui reste le vôtre relève du droit et de la décision. Qualifier juridiquement la violation, apprécier le risque pour les personnes concernées, décider s'il faut notifier la CNIL et informer les personnes, conduire la procédure : cela vous revient, avec votre délégué à la protection des données le cas échéant. Lorsqu'une violation présente un risque pour les droits et libertés des personnes, elle doit être notifiée à la CNIL dans les meilleurs délais et, en principe, au plus tard dans les 72 heures suivant sa découverte. Toutes les violations doivent par ailleurs être documentées en interne. La communication aux personnes concernées, elle, n'est requise que lorsque la violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés, sauf exceptions prévues par le règlement. Je vous donne la matière technique pour trancher, je ne tranche pas à votre place.

Ce qui change la sortie de crise

Deux choses techniques font, à mon expérience, la différence entre un incident géré et un incident subi.

La première est la copie isolée. Une sauvegarde branchée en permanence sur le réseau est atteinte comme le reste, puisque le rançongiciel vise les sauvegardes accessibles. Une copie hors ligne, déconnectée, reste hors de portée : c'est elle qui permet de redémarrer sans dépendre de l'attaquant. Je détaille ce point dans l'article sur les sauvegardes réellement restaurables.

La seconde est le rôle écrit de chacun. Un incident se gère mieux quand quatre questions ont une réponse avant qu'il survienne : qui isole, qui alerte, qui évalue ce qui a fuité, qui communique. Ce document tient sur une page. Il évite les heures perdues à se demander qui appelle qui pendant que le chiffrement progresse.

Sur la question de fond, réduire durablement la surface exposée passe aussi par la maîtrise de l'endroit où vivent vos données. Un hébergement en France, sous votre contrôle, est une étape possible ensuite. C'est une destination, pas un préalable, et surtout pas la première chose à traiter face à un risque immédiat.

La fiche réflexe d'incident, sur une page

Le document qui fait gagner le plus de temps le jour J tient sur une page et se remplit à froid. Voici la trame que je laisse au cabinet.

Isoler, alerter et évaluer sont des gestes techniques que je prépare et documente avec vous. Communiquer, en revanche, recouvre la notification à la CNIL et l'information des personnes : c'est une décision d'avocat, et elle le reste.

Deux points par où démarrer

Je ne vends pas la promesse qu'un cabinet deviendrait invulnérable : personne ne peut la tenir honnêtement. Ce qui est utile et vérifiable, c'est de commencer par deux points précis. D'abord, vérifier qu'il existe une copie de vos données réellement hors ligne, et tester qu'on peut la remettre en service. Ensuite, écrire noir sur blanc qui isole, qui alerte, qui évalue et qui communique en cas d'incident. Chacun se mène en quelques heures, et vous en sortez avec une décision concrète plutôt qu'une inquiétude vague.