Les cabinets d’avocats détiennent certaines des informations les plus sensibles qui existent en dehors des hôpitaux et des agences gouvernementales : détails de fusions, stratégies contentieuses, données financières des clients et dossiers personnels liés à des affaires en cours. Cette combinaison de grande valeur et, dans de nombreux cas, de budgets de cybersécurité limités a fait du secteur juridique une cible de plus en plus attrayante pour un groupe connu sous le nom de Silent Ransom Group (SRG). Également suivi sous les alias Luna Moth, Chatty Spider et UNC3753, ce groupe a élaboré un mode opératoire d’extorsion qui évite complètement l’élément que la plupart des gens associent au ransomware.

Une forme d’extorsion différente

Les attaques classiques par ransomware suivent un schéma familier : le logiciel malveillant verrouille les fichiers de la victime et les attaquants exigent un paiement contre une clé de déchiffrement. Le SRG fait quelque chose de plus discret et, à certains égards, de plus dangereux. Plutôt que de chiffrer les systèmes, le groupe se concentre sur le vol pur et simple des données et menace de les publier si le cabinet ne paie pas. Il n’y a pas de ransomware à détecter, pas de fichiers brouillés pour alerter le personnel informatique qu’un problème est survenu. Le premier signe de difficulté est souvent la demande d’extorsion elle-même.

L’accès commence généralement par une astuce d’ingénierie sociale aussi simple qu’efficace : les opérateurs du SRG se font passer pour le support informatique, appelant ou envoyant des e-mails aux employés pour les convaincre de fournir leurs identifiants ou d’installer des outils d’accès à distance. Une fois à l’intérieur, le groupe exfiltre discrètement les fichiers au lieu de déclencher le type de perturbation réseau qui sonnerait l’alarme. Lorsqu’un cabinet d’avocats se rend compte de l’incident, les données ont déjà disparu et la menace d’une exposition publique est déjà sur la table.

Cette approche reflète un changement plus large dans la manière dont les groupes d’extorsion exercent une pression sur leurs victimes. Certains opérateurs de ransomware ont même commencé à enrober leurs menaces d’un langage juridique fabriqué de toutes pièces pour rendre leurs demandes plus officielles et plus difficiles à ignorer, une tactique détaillée dans des gangs de ransomware ajoutent de fausses menaces juridiques générées par IA dans leurs notes de rançon. Que la pression vienne de fausses notes juridiques ou de la simple menace de fuiter des dossiers clients, l’objectif reste le même : faire en sorte que payer semble être la seule option raisonnable.

Pourquoi les cabinets d’avocats sont particulièrement vulnérables

Les cabinets d’avocats occupent une position singulière dans le monde de la cybersécurité. Ils sont les dépositaires de données tierces extrêmement sensibles, souvent pour plusieurs entreprises clientes à la fois, alors que beaucoup fonctionnent avec des équipes informatiques plus réduites et une formation à la sécurité moins formelle que les secteurs qu’ils servent. Les avocats et le personnel de soutien sont fréquemment sous pression, jonglant avec des appels de fournisseurs, de tribunaux et de clients, ce qui rend un appel d’usurpation informatique convaincant plus facile à faire passer inaperçu.

Il existe aussi un problème structurel d’incitation. Une violation dans un cabinet d’avocats n’expose pas seulement les données du cabinet, elle expose les informations confidentielles de chaque client dont le dossier a transité par ce système. Cela amplifie les enjeux réputationnels et juridiques de toute fuite, ce qui constitue exactement le levier sur lequel des groupes comme le SRG comptent lorsqu’ils menacent de publier des données plutôt que de les chiffrer.

Ce que cela signifie pour vous

Si vous travaillez dans un cabinet d’avocats ou si vous êtes un client dont les dossiers sensibles y transitent, cette tendance vous concerne même si vous ne voyez jamais de demande de rançon. Le vol de données par usurpation d’identité ne nécessite pas d’exploit technique sophistiqué. Il suffit qu’un employé fasse confiance au mauvais appel téléphonique ou au mauvais e-mail. Cela signifie que les cabinets de toute taille, et pas seulement les grands cabinets d’affaires, sont des cibles potentielles.

Pour les clients, il vaut la peine de demander au cabinet qui gère votre dossier ou votre transaction quelles sont les étapes de vérification requises avant d’accorder un accès à distance ou de réinitialiser des identifiants. Un cabinet qui dispose de procédures claires et éprouvées pour confirmer les demandes informatiques est moins susceptible de tomber dans le type d’usurpation sur lequel le SRG s’appuie.

Des mesures concrètes à prendre dès maintenant

La bonne nouvelle est que cette méthode d’attaque présente un point de défaillance assez étroit : la vérification humaine. Quelques mesures concrètes peuvent réduire le risque de manière significative.

  • Établir une politique stricte de rappel pour toute demande informatique impliquant des identifiants, un accès à distance ou l’installation de logiciels. Les employés doivent vérifier indépendamment les demandes via un numéro interne connu plutôt que d’accepter l’identité de l’appelant sans preuve.
  • Former le personnel à considérer tout contact informatique non sollicité, en particulier les demandes semblant urgentes, comme un signal d’alarme plutôt que comme une tâche banale.
  • Limiter et surveiller les outils d’accès à distance afin que toute installation ou connexion inhabituelle déclenche des alertes au lieu de passer inaperçue.
  • Élaborer un plan de réponse aux incidents qui anticipe le vol de données, et pas seulement le chiffrement, car les méthodes de détection fondées sur les symptômes des ransomwares passeront à côté de ce type d’intrusion.

Le succès du Silent Ransom Group repose sur la vitesse et la confiance : convaincre quelqu’un d’agir vite avant qu’il ne prenne le temps de vérifier. Les cabinets d’avocats qui introduisent des points de friction dans ce processus, même quelque chose d’aussi simple qu’une politique de rappel, retirent une grande partie de l’avantage du groupe. La cybersécurité dans le secteur juridique n’exige pas une refonte massive du jour au lendemain, mais elle nécessite de traiter l’ingénierie sociale avec le même sérieux que n’importe quelle vulnérabilité technique. Les cabinets qui opèrent ce changement maintenant seront bien mieux placés que ceux qui attendent qu’une demande d’extorsion impose la discussion.