Cabinet piraté : quand le secret professionnel fuite en ligne

On imagine le pirate informatique s'attaquer aux banques ou aux grands groupes. La réalité est plus prosaïque : les cybercriminels visent les structures qui détiennent des données précieuses et dont la sécurité est souvent artisanale. Le cabinet d'avocat coche les deux cases.

Réfléchissez à ce que contient votre système d'information. Des dossiers de divorce avec patrimoine détaillé. Des contentieux d'affaires révélant la stratégie d'une entreprise. Des secrets industriels, des projets de fusion, des pièces pénales, des données de santé, des coordonnées bancaires de clients. Le tout couvert par le secret professionnel, ce qui décuple la valeur de chantage : une fuite ne coûte pas seulement de l'argent, elle détruit la confiance qui fonde votre métier.

Face à cela, beaucoup de cabinets, surtout individuels ou de petite taille, fonctionnent avec une informatique non maintenue, des mots de passe faibles, une boîte mail personnelle et aucune sauvegarde isolée. Cet écart entre la valeur des données et la faiblesse des défenses est exactement ce que recherchent les attaquants.

Les modes opératoires sont connus et se répètent. Les identifier, c'est déjà commencer à s'en protéger.

Le scénario le plus grave est la double extorsion : non contents de chiffrer vos fichiers, les attaquants en font d'abord une copie et menacent de la publier si vous ne payez pas. Pour un avocat, la perspective de voir des dossiers clients diffusés en ligne n'est pas seulement un risque financier : c'est une catastrophe déontologique.

Le secret professionnel de l'avocat est l'un des plus stricts du droit français. Il est général, absolu et illimité dans le temps. Or ce secret ne porte pas que sur ce que vous dites : il porte sur tout ce que vous détenez. Un dossier client stocké sans protection sur un serveur vulnérable est une information confidentielle exposée.

La déontologie impose à l'avocat de garantir la confidentialité des informations que lui confient ses clients. Cela emporte une exigence concrète, parfois sous-estimée : assurer la sécurité des supports sur lesquels ces informations vivent. Un défaut manifeste de protection informatique (absence de sauvegarde, mots de passe partagés, poste non mis à jour) peut, en cas de fuite, être analysé comme un manquement à cette obligation.

Autrement dit, la cybersécurité n'est plus une question purement technique réservée à un prestataire : elle est devenue une composante de votre déontologie. Le bâtonnier et les instances ordinales y sont de plus en plus sensibles, à mesure que les attaques contre les professions du droit se multiplient.

Les données de vos clients sont des données à caractère personnel. À ce titre, votre cabinet est responsable de leur traitement au sens du RGPD, et une cyberattaque qui les compromet constitue une violation de données personnelles. Cela déclenche des obligations précises et chronométrées.

• Notifier la CNIL dans les meilleurs délais, en principe sous 72 heures après la prise de connaissance de la violation, lorsque celle-ci présente un risque pour les personnes concernées.
• Informer les personnes concernées (vos clients) lorsque la violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés.
• Documenter l'incident dans un registre interne, que la violation soit notifiée ou non.

La double peine est ici redoutable : non seulement vous subissez l'attaque, mais vous devez ensuite annoncer à vos propres clients que leurs informations confidentielles ont pu fuiter. C'est un test de réputation que peu de cabinets traversent sans dommage.

Gérer cette séquence sous pression, dans les délais, avec la bonne formulation juridique, suppose un accompagnement spécialisé. C'est précisément l'un des apports d'une assurance cyber.

Beaucoup d'avocats pensent que leur RC Pro couvre « tout ». C'est une erreur de périmètre. La responsabilité civile professionnelle répond des dommages que vous causez à un tiers par une faute dans votre mission : une erreur de conseil, un délai manqué, un acte mal rédigé. Elle n'est pas conçue pour absorber le choc d'une cyberattaque subie.

Or les coûts d'une attaque sont d'une autre nature :

• La restauration du système et des données, l'intervention en urgence d'experts en sécurité.
• La perte d'exploitation pendant les jours, parfois les semaines, où le cabinet tourne au ralenti.
• Les frais de notification à la CNIL et aux clients, l'accompagnement juridique de la crise.
• La gestion de la communication et de l'atteinte à la réputation.
• Les éventuelles réclamations de clients dont les données ont été divulguées.

C'est pour répondre à cet empilement de coûts qu'existe l'assurance cyber, dédiée au risque numérique. Elle ne remplace pas la RC Pro : elle couvre un angle mort qu'aucune RC Pro classique ne traite.

Une assurance cyber adaptée à une profession du droit fonctionne comme un dispositif de gestion de crise autant que comme une indemnisation. Les garanties usuelles couvrent :

L'intérêt majeur, pour un avocat souvent seul face à l'incident, est l'accompagnement opérationnel : savoir qui appeler à 22 heures un vendredi quand les fichiers sont chiffrés, dans quel ordre agir, comment formuler la notification. Une bonne couverture cyber transforme une panique isolée en procédure maîtrisée.

L'assurance indemnise et accompagne, mais la première ligne de défense reste vous. Quelques mesures, peu coûteuses, réduisent fortement la probabilité et la gravité d'une attaque :

1. Sauvegardez régulièrement et de façon isolée (déconnectée du réseau) : une sauvegarde hors ligne est la meilleure parade contre un rançongiciel.
2. Activez l'authentification à deux facteurs sur la messagerie et les outils sensibles : c'est la mesure au meilleur rapport effort/protection.
3. Maintenez les logiciels et systèmes à jour : la majorité des attaques exploitent des failles déjà corrigées par les éditeurs.
4. Méfiez-vous des virements et des courriels inattendus : vérifiez tout changement de coordonnées bancaires par un second canal, surtout pour les fonds maniés pour des clients.
5. Sensibilisez vos collaborateurs : l'hameçonnage vise l'humain avant la machine.

Ces réflexes, combinés à une couverture dédiée, forment un dispositif cohérent. Chez Insurio, l'assurance cyber protège votre cabinet contre le rançongiciel, l'exfiltration de données et leurs conséquences, en complément de votre RC Pro. Pour situer ce risque parmi les autres enjeux de votre exercice, parcourez notre page métier d'avocat.