Deux grands cabinets d'avocats ont informé leurs clients que leurs données avaient été impliquées dans une attaque ciblant les personnes plutôt que les logiciels. Holland & Knight et Squire Patton Boggs ont divulgué des violations en octobre 2026, notifiant 14 clients après une attaque d'ingénierie sociale. Ce cas est un rappel utile du fonctionnement d'un incident d'ingénierie sociale visant un cabinet d'avocats, et de ce que les clients concernés peuvent faire à ce sujet.

La source rapportant l'information est brève, donc cet article s'en tient à ce qui a été confirmé et explique la mécanique générale de ce type d'attaque. Il ne spécula pas sur les données qui ont été dérobées ni sur l'identité des responsables.

Ce que Holland & Knight et Squire Patton Boggs ont divulgué

Selon les informations rapportées, les deux cabinets ont divulgué des incidents de sécurité en octobre 2026. Ensemble, 14 clients ont été notifiés. La cause a été décrite comme une attaque d'ingénierie sociale.

La source ne détaille pas quels types d'informations ont été exposés, pendant combien de temps les attaquants ont eu accès, ni comment la tromperie a été mise en œuvre. Tant que les cabinets ou les autorités de régulation ne publient pas davantage d'informations, ces questions restent ouvertes. Si vous êtes un client de l'un de ces deux cabinets, la notification que vous recevez constitue la source faisant autorité pour ce qui vous concerne.

Comment l'ingénierie sociale contourne les défenses des cabinets d'avocats

L'ingénierie sociale consiste à tromper une personne pour qu'elle accomplisse une action utile à un attaquant, comme partager un mot de passe, approuver une demande de connexion, ouvrir un fichier ou transmettre des informations. Elle n'a pas besoin de franchir un pare-feu ni d'exploiter une faille logicielle. Il suffit qu'un seul message convaincant atteigne un seul employé occupé.

C'est pourquoi les défenses techniques seules ont leurs limites. Le chiffrement, la surveillance du réseau et les contrôles d'accès supposent tous que les personnes détenant les clés les utilisent correctement. Un attaquant qui se fait passer pour un collègue, un client ou un service d'assistance informatique peut parfois contourner ces contrôles en demandant à un utilisateur légitime d'ouvrir la porte.

Les défenses courantes sur lesquelles les organisations s'appuient incluent :

  • L'authentification multifacteur résistante au hameçonnage, comme les clés de sécurité matérielles
  • Des procédures de vérification pour les demandes inhabituelles, comme rappeler sur un numéro connu
  • La limitation de l'accès aux fichiers clients
  • La formation régulière du personnel et des exercices simulés de hameçonnage

Aucune mesure unique n'est infaillible, c'est pourquoi les contrôles en couches sont importants.

Pourquoi les données des clients des cabinets de services professionnels sont exposées

Les cabinets d'avocats détiennent un ensemble concentré d'informations : contrats, documents financiers, données personnelles et correspondance liée à leurs clients. Cela en fait un lieu attractif à cibler, car une seule intrusion réussie peut toucher de nombreux clients à la fois.

Du point de vue d'un client, il existe également un déficit de confiance. Vous choisissez un cabinet pour son expertise et sa discrétion, mais vous voyez rarement ses pratiques de sécurité internes. Vos données ne sont aussi sûres que les habitudes des personnes qui les manipulent, et vous avez peu de contrôle sur ces habitudes. Les divulgations de ces deux cabinets montrent que même de grandes organisations bien dotées en ressources peuvent être touchées lorsqu'une tromperie fonctionne.

Ce que cela signifie pour vous

Si vous faites partie des 14 clients notifiés, lisez attentivement votre notification et suivez les instructions qu'elle contient. Si ce n'est pas le cas, les mêmes principes s'appliquent à tout cabinet, banque ou fournisseur qui détient vos informations.

Quelques étapes pratiques :

  • Traitez les messages de suivi avec méfiance. Après une violation, les attaquants se font parfois passer pour l'organisation affectée. Ne cliquez pas sur les liens dans les courriels ou textos inattendus concernant l'incident. Contactez le cabinet en utilisant un numéro de téléphone ou une adresse que vous savez fiables.
  • Vérifiez l'hygiène de vos identifiants. Utilisez un mot de passe unique pour chaque compte, stockez-les dans un gestionnaire de mots de passe et activez l'authentification multifacteur partout où elle est proposée. Si vous avez réutilisé un mot de passe quelque part en lien avec cette relation, changez-le.
  • Demandez quelles données ont été exposées. Les clients ont tout à fait le droit de demander à un cabinet quelles données étaient concernées et ce qu'il fait pour éviter que cela se reproduise.
  • Activez la surveillance des notifications de violation. De nombreux navigateurs, gestionnaires de mots de passe et services de crédit peuvent vous alerter lorsque votre adresse courriel ou d'autres données apparaissent dans une violation connue.
  • Surveillez vos comptes. Gardez un œil sur vos relevés financiers et les alertes de connexion inhabituelles dans les mois à venir.

Pour un aperçu plus large des mesures à prendre lorsque des données personnelles sont impliquées dans un incident majeur, consultez notre couverture de la violation de données de Carnival Corporation, qui a touché environ 6 millions de personnes.

L'essentiel

Les divulgations de Holland & Knight et Squire Patton Boggs montrent qu'une attaque d'ingénierie sociale visant un cabinet d'avocats n'a pas besoin de logiciels malveillants sophistiqués pour atteindre des informations clients sensibles. Elle a besoin d'un prétexte convaincant et d'une personne disposée à y croire. Les cabinets portent la principale responsabilité de former leur personnel et d'intégrer la vérification dans leurs routines, mais les clients ne sont pas impuissants.

Commencez dès aujourd'hui : auditez vos mots de passe, activez l'authentification multifacteur, configurez des alertes de violation et méfiez-vous de tout message faisant référence à ces incidents. Ces petites habitudes limitent les dégâts si l'employé de quelqu'un d'autre se fait tromper.