Des attaques par ingénierie sociale ont exposé des dossiers juridiques sensibles dans deux grands cabinets d'avocats, sans preuve que les attaquants aient accédé indépendamment à leurs systèmes.
Baker McKenzie et Troutman Pepper Locke ont signalé des incidents distincts en août 2026, impliquant des documents contenant des informations personnelles. Les résumés de déclarations réglementaires déposées au Texas et publiés en octobre font état de 25 837 personnes touchées chez Baker McKenzie et de 63 358 chez Troutman, soit près de 90 000 cas signalés pour les deux incidents.
Ces révélations mettent en évidence les risques liés au fait de compter sur les employés pour reconnaître les demandes trompeuses. Karim Eldefrawy, PhD, cofondateur et directeur technique de Confidencial, a déclaré : « Une erreur humaine devrait être soumise à des contrôles techniques supplémentaires avant d'entraîner une divulgation substantielle de données. »
Comment les attaquants ont obtenu les dossiers juridiques
Baker McKenzie a déclaré qu'un attaquant avait manipulé deux utilisateurs par ingénierie sociale les 14 et 17 août, obtenant ainsi un nombre limité de fichiers. Dans sa notification de fuite de données, le cabinet a indiqué n'avoir trouvé aucune preuve de compromission d'identifiants, de compromission supplémentaire de comptes ou d'accès malveillant indépendant à ses systèmes.
Un résumé de sa déclaration déposée au Texas fait état de 25 837 personnes touchées, dont 831 résidents du Texas. Les catégories de données signalées comprennent les numéros de sécurité sociale et les informations médicales.
Troutman a signalé une attaque distincte le 7 août. Un employé a répondu à des communications apparemment légitimes et a envoyé par erreur des documents à une personne non autorisée avant d'alerter l'équipe de sécurité informatique du cabinet.
Selon la notification de Troutman, le destinataire n'a pas accédé aux systèmes du cabinet et les opérations n'ont pas été affectées. Un résumé de sa déclaration du 30 octobre au Texas fait état de 63 358 personnes touchées, dont 4 194 résidents du Texas. Les informations concernées comprenaient des noms et des numéros de sécurité sociale.
Les deux cabinets ont fait appel à des spécialistes de la cybersécurité, averti les autorités et proposé aux personnes touchées 24 mois de services gratuits de surveillance du crédit ou de protection contre l'usurpation d'identité.
Cette exposition soulève également des inquiétudes concernant la protection des données par les tiers. Un incident distinct de logiciel malveillant chez un sous-traitant impliquant des millions d'enregistrements montre comment des incidents de sécurité chez des tiers peuvent mettre des informations sensibles en danger, même en l'absence de vol de données confirmé.
La notification d'aucun des deux cabinets n'identifie un attaquant ni n'établit de lien entre les incidents.
Des contrôles pour limiter l'exposition des documents
Les attaquants peuvent exploiter des communications et des processus métier de confiance pour obtenir des informations confidentielles sans compromettre eux-mêmes les systèmes de l'entreprise.
Eldefrawy a recommandé de protéger les documents sensibles au moyen du chiffrement et d'une autorisation propre à chaque destinataire. Séparer l'accès aux documents, les droits de déchiffrement et les autorisations de partage peut limiter l'exposition si des fichiers sont mal adressés ou volés.
Les organisations peuvent renforcer leurs défenses grâce à cinq mesures :
- Vérifier les demandes sensibles : Confirmer les transferts inhabituels par des canaux indépendants et exiger une approbation pour les divulgations à haut risque.
- Restreindre l'accès et le partage : Appliquer le principe du moindre privilège et une autorisation supplémentaire pour les actions sensibles.
- Protéger les documents confidentiels : Classer les fichiers et utiliser le chiffrement, une autorisation propre à chaque destinataire et des contrôles d'accès révocables.
- Surveiller les transferts de données : Utiliser des contrôles de prévention des pertes de données pour détecter les téléchargements en masse et les partages non autorisés.
- Tester les plans de réponse aux incidents : Répéter des scénarios de manipulation d'employés et d'envoi de fichiers au mauvais destinataire, notamment les mesures de confinement, la préservation des preuves et la notification.
Eldefrawy a averti que des sessions compromises pourraient réduire à néant les bénéfices du chiffrement si les attaquants obtenaient également des droits de déchiffrement sans restriction. Les campagnes d'hameçonnage Microsoft 365 visant des comptes authentifiés illustrent la nécessité de maintenir une surveillance et des contrôles d'autorisation après la connexion.
La suspension des futurs déchiffrements peut limiter une exposition supplémentaire, mais les informations déjà divulguées en clair ne peuvent pas être rappelées par des moyens cryptographiques. Contrôler qui peut ouvrir, déchiffrer et partager des fichiers confidentiels aide à limiter les dégâts lorsque la manipulation d'un employé réussit.
À lire aussi : Les attaquants exploitent également l'autorité judiciaire dans le cadre d'une fausse campagne d'hameçonnage se faisant passer pour un tribunal fédéral dont la portée potentielle serait de plus de 100 000 entreprises.