Goodwin Procter, l’un des plus grands cabinets d’avocats des États-Unis, a versé environ 10 millions de dollars au groupe d’extorsion connu sous le nom de Luna Moth après une violation de sécurité des données divulguée par le cabinet plus tôt cette année, selon des sources proches du dossier. Ce paiement, pour lequel Brit aurait joué un rôle de premier plan dans la réponse, constitue l’un des montants de rançon les plus élevés publiquement liés à la violation d’un seul cabinet d’avocats et met en lumière la manière dont les institutions juridiques traitent les données de leurs clients lorsque des attaquants se manifestent.

Ce qui s’est passé chez Goodwin Procter

Les détails restent limités, mais les faits essentiels sont simples : Goodwin Procter a subi une violation de sécurité des données plus tôt dans l’année, l’incident a été divulgué et le cabinet a finalement payé environ 10 millions de dollars à un groupe d’extorsion plutôt que de laisser les données volées être diffusées ou vendues. Luna Moth, le groupe à l’origine de l’extorsion, n’est pas un nom aussi connu que certains gangs de rançongiciels, mais son mode opératoire s’inscrit dans un schéma de plus en plus courant : les attaquants accèdent à des fichiers sensibles, les exfiltrent, puis exigent un paiement pour empêcher leur divulgation publique, sans nécessairement chiffrer les systèmes.

L’ampleur du paiement est remarquable. Des demandes de rançon se chiffrant en dizaines de millions de dollars ont historiquement visé de grands systèmes hospitaliers, des industriels ou des institutions financières. Qu’un cabinet d’avocats atteigne un tel montant montre à quel point les dossiers juridiques, les communications avec les clients et les documents protégés par le secret professionnel sont devenus précieux pour les extorqueurs, et combien les cabinets sont prêts à dépenser pour empêcher que ces données ne soient rendues publiques.

Pourquoi les cabinets d’avocats sont des cibles attrayantes

Les cabinets d’avocats concentrent une quantité inhabituelle de documents sensibles. Dossiers de contentieux, documents de fusion, données personnelles liées à des affaires familiales ou successorales et communications couvertes par le secret professionnel transitent toutes par leurs serveurs. Contrairement à un détaillant ou à un prestataire de soins de santé, les données d’un cabinet d’avocats concernent souvent plusieurs tiers à la fois : clients, avocats de la partie adverse, tribunaux et autorités de régulation. Ce réseau d’exposition confère aux groupes d’extorsion un levier considérable, car une fuite ne nuit pas seulement au cabinet, elle peut compromettre les obligations de confidentialité envers chaque client dont les fichiers ont été touchés.

Cette dynamique reflète ce qui s’est produit récemment dans d’autres secteurs. L’attaque de vishing de Cushman & Wakefield a montré comment des attaquants utilisent l’ingénierie sociale pour s’enfoncer profondément dans les données d’une organisation, tandis que des incidents comme la violation de données de Napoleon Perdis démontrent à quelle vitesse des données clients ayant fuité se retrouvent en circulation publique une fois qu’un acteur malveillant décide de les monétiser. Dans les deux cas, et désormais dans celui de Goodwin Procter, le calcul sous-jacent des victimes est le même : peser le coût du paiement face au prix et aux retombées réputationnelles d’une fuite publique.

Ce que cela signifie pour vous

Pour le grand public, le paiement d’une rançon par un cabinet d’avocats peut sembler éloigné des préoccupations quotidiennes en matière de vie privée, mais les répercussions sont bien réelles. Si vous êtes un client actuel ou ancien d’un cabinet touché par une telle violation, vos données personnelles, vos informations financières ou l’historique de votre dossier ont pu faire partie des données dérobées, que la rançon ait été payée ou non. Le paiement ne garantit pas que les données ont été détruites ni qu’elles n’ont pas été copiées ailleurs.

Ceci s’inscrit dans une tendance plus large où des informations personnelles sensibles – dossiers juridiques, fichiers électoraux ou bases de données clients – sont traitées comme une marchandise par les groupes d’extorsion. Le débat sur la gestion des données ne se limite d’ailleurs pas aux cabinets d’avocats ; il fait écho aux préoccupations soulevées dans les discussions sur le partage des données électorales et les droits à la vie privée, où les institutions détenant de grands volumes de données personnelles font l’objet d’une surveillance accrue quant à la manière dont ces informations sont protégées et divulguées.

Si vous avez reçu une notification de violation de la part d’une organisation, y compris un cabinet d’avocats, prenez-la au sérieux même si le message indique qu’une rançon a été payée ou que la situation a été résolue. Payer un groupe d’extorsion achète le silence à court terme, non la garantie que vos données n’ont jamais été copiées, vendues ou conservées par un acteur secondaire.

À retenir pour les lecteurs

Voici ce que vous pouvez faire si vous craignez d’être exposé à la suite d’un incident de ce type :

  • Surveillez attentivement toute correspondance relative à une notification de violation et ne partez pas du principe qu’un incident résolu signifie que vos données sont en sécurité.
  • Utilisez des services de surveillance du crédit ou de protection contre le vol d’identité si l’on vous informe que des données financières ou personnelles ont été compromises.
  • Changez vos mots de passe et activez l’authentification multifacteur sur tous les comptes liés à l’organisation concernée.
  • Restez méfiant face aux courriels ou appels de suivi faisant référence à la violation, car les attaquants utilisent parfois les détails divulgués pour lancer des tentatives d’hameçonnage secondaires.

L’affaire Goodwin Procter nous rappelle que les paiements de rançon, même élevés, n’effacent pas le risque sous-jacent pour la vie privée des personnes dont les données ont été dérobées. Alors que les groupes d’extorsion continuent de cibler les organisations détenant des informations sensibles, rester attentif aux notifications de violation et prendre des mesures de protection de base demeure la défense la plus fiable à la disposition des individus.