De faux techniciens piègent McCarthy Tétrault et Davies

Deux géants du droit des affaires confirment des vols de données. En cause : une campagne d'hameçonnage vocal qui cible les cabinets canadiens…

Le scénario est d'une simplicité désarmante.

Un employé reçoit un appel ou un message sur Microsoft Teams. Au bout du fil, un « technicien » du soutien informatique interne. Il a besoin d'accéder à l'ordinateur. Ou de faire valider une connexion sur une page qui ressemble en tous points à la vraie.

Sauf que le technicien est un pirate.

C'est ainsi, selon des sources citées par le Globe and Mail, que des criminels ont pénétré certains des cabinets les plus prestigieux du pays. Deux d'entre eux ont confirmé jeudi avoir été victimes de vols de données : McCarthy Tétrault et Davies Ward Phillips & Vineberg.

31 000 fichiers?

Chez McCarthy Tétrault, l'intrusion a été détectée tard le 22 octobre. Dans une déclaration publiée le 29 octobre, le cabinet confirme qu'un tiers non autorisé a eu accès à certains fichiers, « y compris des renseignements relatifs à des clients » (traduction libre). Il dit avoir communiqué avec les parties touchées dès le 25 octobre.

Combien de fichiers? Le cabinet refuse de le dire. Une source directement impliquée dans le dossier avance au Globe and Mail le chiffre de 31 000 fichiers volés. McCarthy ne l'a pas confirmé.

« En collaboration avec une firme de cybersécurité de premier plan, nous avons immédiatement pris des mesures pour déterminer l'étendue et la portée de l'activité non autorisée, la contenir et sécuriser les comptes », a fait valoir le cabinet à La Presse. Son enquête n'a relevé aucun indice d'autres comptes touchés, de déplacement dans le réseau ou d'accès persistant, précise sa déclaration. Le cabinet continue de fonctionner normalement.

Chez Davies, l'attaque est survenue le lendemain, le 23 octobre. « Une cyberattaque ciblant Davies et d'autres cabinets juridiques canadiens a compromis des renseignements liés à un compte », a expliqué la directrice des communications du cabinet à La Presse. Davies a lui aussi fait appel à des experts pour « déterminer la nature et l'ampleur des renseignements touchés ».

Les deux cabinets disent avoir avisé les forces de l'ordre et informé leurs clients touchés, ou être en voie de le faire. McCarthy précise avoir aussi avisé les organismes professionnels compétents.

Des secrets qui valent de l'or

Pourquoi ces cabinets? Parce qu'ils sont parmi les chefs de file au pays en fusions et acquisitions. Leurs serveurs peuvent contenir des renseignements confidentiels sur des transactions qui n'ont pas encore été annoncées. Sans compter les communications privilégiées liées à leurs importantes pratiques de litige et de restructuration.

Les deux cabinets sont bien implantés au Québec. McCarthy Tétrault compte plus de 800 avocats, dont des bureaux à Montréal et à Québec. Davies, 320 associés et avocats répartis entre Montréal, Toronto et New York, selon La Presse. Les deux figuraient d'ailleurs en bonne place dans notre palmarès des meilleurs cabinets pour 2027, publié le jour même où l'affaire a éclaté.

Y a-t-il d'autres victimes? Le Globe a interrogé sept autres grands cabinets. Osler, Goodmans, Fasken et Blakes affirment ne pas avoir été touchés. Torys a refusé de commenter. Bennett Jones et Stikeman Elliott n'ont pas répondu.

Le piège du « soutien technique »

Le 28 octobre, le Centre canadien pour la cybersécurité a publié une alerte (AL26-028) sur une campagne continue d'hameçonnage vocal visant des organisations canadiennes. Des individus se font passer pour le soutien technique interne et dirigent des employés vers de fausses pages d'ouverture de session.

Depuis juillet, la campagne cible de plus en plus les secteurs juridique et financier. En octobre, l'activité s'est concentrée sur le secteur juridique et judiciaire, précise le Centre. Une source au fait des incidents a confié au Globe que c'est justement la vague d'attaques contre les cabinets qui a déclenché cette alerte.

Le plus inquiétant? La campagne contourne l'authentification multifacteur classique grâce à un relais en temps réel, et ses domaines changent constamment, ce qui rend les listes de blocage peu efficaces.

L'alerte renvoie à des analyses de Google Threat Intelligence sur un groupe baptisé UNC6671, qui opère sous plusieurs « marques » comme BlackFile, Helix et Pink, rapporte La Presse. Ses membres volent des identifiants, aspirent des données dans des outils comme SharePoint et OneDrive, puis exigent une rançon en échange de leur silence. Rien n'indique publiquement, pour l'instant, qu'une rançon ait été exigée des deux cabinets.

La facture grimpe

Le phénomène dépasse les tours de Bay Street. Selon The Logic, LawPRO, l'assureur de la responsabilité professionnelle des avocats ontariens, signale des retraits non autorisés totalisant des millions de dollars dans des cabinets de la province. Il prévoit hausser ses primes en 2027, notamment pour offrir une couverture de 1 million de dollars contre les pertes liées à l'ingénierie sociale.

Au Québec, la Loi 25 oblige toute entreprise victime d'un incident de confidentialité présentant un risque de préjudice sérieux à en aviser la Commission d'accès à l'information et les personnes concernées. Les deux cabinets n'ont pas précisé publiquement s'ils avaient fait un signalement à la Commission.

Ce n'est pas la première fois que les grands cabinets canadiens sont dans la mire. En 2011 déjà, un expert affirmait que des pirates avaient pénétré quatre grands cabinets torontois en quelques mois, rapportait l'ABA Journal. Et en 2017, Droit-inc soulignait que les cabinets sous-estimaient souvent les cyberrisques.

Que faire?

Le Centre recommande notamment des méthodes d'authentification résistantes à l'hameçonnage, comme les clés de sécurité FIDO2, de restreindre les communications externes dans les plateformes collaboratives comme Teams et de raccourcir la durée des sessions.

Mais sa consigne la plus simple vaut pour tous les avocats, du plus petit cabinet aux tours du centre-ville : toute demande inattendue du soutien technique pour changer un mot de passe ou une méthode d'authentification doit être vérifiée par un autre canal.

Peu importe qui appelle. Et peu importe l'urgence.