Les intrusions cybercriminelles sont le plus souvent précédées d’attaques de phishing, en particulier d’attaques de spear phishing.
Ces derniers temps, les cabinets d’avocats sont devenus des cibles privilégiées.
Il y a des raisons impérieuses à cette situation. Brian Levine, de la Section de la criminalité informatique et de la propriété intellectuelle du Ministère de la Justice des États-Unis, a déclaré que les cabinets d’avocats sont perçus comme étant moins sécuritaires que les autres organisations.
Les cybercriminels les considèrent comme une porte dérobée, c’est-à-dire une véritable menace pour l’intégrité et la préservation de la confidentialité des données de leurs clients… Mais quel genre de données ?
Les cabinets d’avocats agissent en tant qu’entrepôts de données sur leurs clients et employés. Ils ne sont donc pas à l’abri des cyberattaques.
Ils sont, à bien des égards, les cibles parfaites. La plupart d’entre eux possèdent une grande quantité d’informations personnellement identifiables, que ce soit celles de leurs clients, de leurs employés ou de leurs parties et témoins dans les litiges. Il peut également s’agir d’informations sur les opérations en cours et les questions juridiques, de secrets commerciaux, d’informations privées sur les dirigeants d’entreprise, etc.
Ces données sont irrésistiblement attrayantes pour les cybercriminels du monde entier.
Les cabinets d’avocats plus sensibles aux attaques de phishing
Est-il vrai que la cybersécurité dans les cabinets d’avocats est plus laxiste ?
Voici donc un exemple !
Jusqu’à récemment, la plupart des employés des cabinets d’avocats accédaient régulièrement à leurs e-mails personnels pendant les heures de travail sur les ordinateurs de l’entreprise. Cette pratique est interdite depuis longtemps dans la plupart des entreprises financières.
Selon Keith Lee, chroniqueur qui travaille pour http://abovethelaw.com, les avocats ne sont pas aussi experts en technologie que ceux intervenant dans le secteur financier ou manufacturier. Cela peut les rendre plus vulnérables aux attaques de phishing.
La question de sécurité, et plus particulièrement celle liée aux attaques de phishing, est devenue un sujet important dans la communauté juridique.
En mars 2016, l’American Journal of Trial Advocacy a tenu un symposium intitulé « Practicing Law in the Age of Surveillance and Hackers: An Exploration of Privacy and Data Security.Exploration ». La récente conférence ABA TECHSHOW a également accueilli une table ronde intitulée « Security Awareness and Phishing ».
Exemples de phishing
1. En mars 2016, 13 des 15 cabinets d’avocats les plus prestigieux ont été ciblés par « Oleras », un gang cybercriminel basé en Ukraine. Le gang a planifié une campagne de spear phishing afin de recueillir des informations qui pouvaient être utilisées pour des délits d’initiés.
2. En mai 2016, des membres du Barreau de l’État de Floride ont été victimes de phishing entrainant le téléchargement de ransomwares. Un faux e-mail ayant pour objet « Florida Bar Association Past due Invoice » était envoyé par les pirates. Les avocats du Nevada ont ensuite reçu des e-mails de phishing qui faisaient référence à des cotisations impayées ou des avis de plainte disciplinaire. Selon l’ABA Journal, les membres du barreau de Californie, de Géorgie et d’Alabama ont été ciblés.
Les escrocs se font passer pour des cabinets d’avocats
Les cybercriminels ont sali la réputation de nombreux cabinet d’avocats.
En août 2016, la société Sidley Austin était l’expéditeur présumé d’un e-mail de phishing informant le destinataire d’un héritage.
En 2015, des e-mails de phishing provenant de la firme Baker & McKenzie affirmaient également que les destinataires étaient impliqués dans des dossiers de recouvrement de créances. Des e-mails de phishing similaires affirmaient que les destinataires étaient tenus de comparaître devant le tribunal.
Protégez votre entreprise et votre réputation
Sur le plan éthique, les cabinets d’avocats devraient faire de leur mieux pour protéger les données de leurs clients.
En outre, il existe de multiples règles types de l’American Bar Association (ABA) qui stipulent les règles concernant la protection des données des clients et, par extension, des infrastructures informatiques. Il y a eu une augmentation des avis consultatifs à cet effet de la part des comités d’éthique en Californie, à Washington et en Arizona, entre autres.
Certains experts estiment qu’il est temps que la sécurisation incorrecte des systèmes informatiques puisse être interprétée comme une faute professionnelle. Suite à cela, certains des plus grands cabinets d’avocats ont rejoint le Financial Services Information Sharing and Analysis Center, un groupe de partage d’information sur les cybercriminalités.
Mesures visant à empêcher les attaques de phishing
Les attaques de phishing ne cesseront tant qu’elles restent rentables pour les attaquants. Toutefois, il existe des mesures que vous pouvez prendre pour les contrer :
- Tout d’abord, l’étape clé consiste à modifier le comportement des utilisateurs lorsqu’ils sont confrontés à un e-mail de phishing. Le conseil évident est de ne pas cliquer sur des liens étranges dans les e-mails. Le problème est que les e-mails de phishing sont de plus en plus convaincants. Selon le rapport de Verizon, 30 % des gens tombent dans le piège du phishing par e-mail.
- La formation des utilisateurs sur le phishing et l’ingénierie sociale en général serait utile pour réduire le nombre d’e-mails qui pourraient mener à des cyberattaques. À cet égard, il existe un certain nombre de sites web prêts à l’emploi qui offrent une formation sur le phishing. Il suffit de taper « formation au phishing » pour obtenir une liste et s’informer davantage à ce sujet.
- Pourquoi ne pas récompenser vos employés pour une « prise du jour » ? Demandez-leur de faire suivre des e-mails de phishing aux responsables informatiques. Chaque semaine, vous pouvez remettre un prix au lauréat ; faire connaître la tentative et sensibiliser vos employés pour qu’ils puissent rester toujours vigilants.
- Soyez prudent lorsque vous affichez des informations concernant les activités de vos employés sur votre site web ou sur les médias sociaux. Les cybercriminels peuvent passer ces sites au peigne fin pour obtenir des renseignements dans le but de rendre leurs e-mails plus réels.
Neuf mesures pour prévenir une atteinte à la sécurité
Étant donné que les attaquants changent constamment de tactique, il est impossible de prévenir toutes les attaques. Plusieurs mesures peuvent néanmoins être prises pour réduire les risques, comme la mise à jour des logiciels antivirus, la mise en place de filtres web et de pare-feux. Une approche par couches est aussi essentielle. Pour vous aider à prévenir une brèche de sécurité, l’approche devrait inclure les étapes suivantes :
- Effectuez une évaluation des risques qui peut souvent être facilitée par les services de fournisseurs de solutions informatiques compétents, objectifs et indépendants.
- Utilisez la technologie de chiffrement appropriée des serveurs, des ordinateurs de bureau, des ordinateurs portables et de tout appareil mobile.
- Limitez l’accès aux systèmes informatiques, à la messagerie électronique et aux répertoires aux seuls utilisateurs connus et dignes de confiance. Mettez en œuvre et respectez les politiques appropriées en matière de mots de passe.
- Élaborez et suivez une politique de conservation et de destruction des données afin que les données personnelles ne soient pas en danger. Les cabinets d’avocats devraient analyser soigneusement où celles-ci vont être stockées et limiter le nombre d’endroits où elles sont conservées.
- Maintenez à jour les logiciels de sécurité antispam et antivirus en appliquant régulièrement les correctifs recommandés.
- L’arsenal de sécurité de l’entreprise devrait inclure une passerelle de messagerie sécurisée, des filtres antispam avancés, de multiples moteurs antivirus, une protection antiphishing et une protection avancée contre les menaces.
- Sensibilisez vos employés à la protection des données sensibles ; à l’utilisation et à la protection des mots de passe.
- Mettez en œuvre et suivez une politique d’utilisation écrite, expliquant comment l’accès et l’utilisation d’Internet devraient être effectués sur les ordinateurs de l’entreprise. Cette politique doit aussi, et tout particulièrement, déterminer les limites de son utilisation.
- Enfin, élaborez un plan complet de préparation à l’atteinte à la protection des données afin de prendre des mesures décisives et d’éviter la paralysie opérationnelle si un tel incident venait à se produire.
En réfléchissant bien et en planifiant soigneusement, les cabinets d’avocats peuvent réduire considérablement leur exposition à une attaque de phishing et à une éventuelle atteinte à la protection des données. Sinon, ils risquent de subir de pertes financières directes. Cela portera également une grave atteinte à la réputation de l’entreprise.
Vous êtes un professionnel de l’informatique dans un cabinet d’avocats et vous voulez vous assurer que les données et les appareils sensibles de vos clients et de vos employés soient protégés ? Parlez à un de nos spécialistes de la sécurité web ou envoyez-nous un e-mail à info@titanhq.com pour toute question.