Cyberattaque : des données de clients volées chez McCarthy Tétrault, Davies, Bennett Jones et BLG

Quatre cabinets, une même méthode

Le premier incident connu remonte au 19 octobre. Ce jour-là, deux comptes du personnel administratif de Bennett Jones sont compromis. McCarthy Tétrault détecte une intrusion tard le 22 octobre. Davies est touché le lendemain. BLG reconnaît à son tour un accès non autorisé à une partie de son environnement infonuagique Microsoft. Au total, au moins sept comptes d’employés ont été compromis : quatre chez McCarthy, deux chez Bennett Jones et un chez Davies. Le nombre n’est pas connu chez BLG.

Les quatre cabinets confirment que des renseignements de clients sont en cause. Chez McCarthy, qui compte plus de 800 avocats, dont des équipes à Montréal et à Québec, une source directement impliquée a affirmé à la presse que 31 000 fichiers avaient été volés. Le cabinet refuse de confirmer ce chiffre. Il dit avoir commencé à joindre les parties touchées dès le 25 octobre, avoir sécurisé les comptes avec une firme spécialisée et avoir avisé la police et les organismes professionnels.

Davies, qui compte quelque 320 associés et avocats à Montréal, Toronto et New York, parle de renseignements liés à un seul compte et a mandaté des experts pour en mesurer l’ampleur. Bennett Jones précise que les données volées comprennent des rapports sur les revenus tirés de ses clients et, dans certains cas, des descriptions générales de mandats. Ses systèmes de gestion des dossiers juridiques et de comptabilité n’auraient pas été atteints. BLG a retenu la firme Mandiant et dit avoir rapidement maîtrisé l’incident, sans donner aucun chiffre.

Gowling WLG et Stikeman Elliott ont aussi été ciblés, sans compromission confirmée. Les incidents chez McCarthy Tétrault et Davies sont rendus publics le 29 octobre, puis ceux de Bennett Jones et BLG le lendemain.

Un appel suffit

Le procédé est décrit dans l’alerte AL26-028 publiée le 28 octobre par le Centre canadien pour la cybersécurité. Un faux technicien appelle un employé, sur son téléphone ou par Microsoft Teams, en invoquant une intervention urgente. Il connaît parfois le nom de vrais collègues et affiche un numéro crédible. Il dirige ensuite l’employé vers une fausse page de connexion.

Cette page transmet en temps réel tout ce que l’employé y inscrit au véritable service de Microsoft. L’employé tape son mot de passe, puis confirme son identité sur son téléphone, comme chaque matin. C’est le pirate qui ouvre la session. La double authentification, présentée depuis des années comme le rempart contre le piratage, a été contournée par un relais en temps réel : les pirates ont exploité la connexion et la validation de l’employé pour obtenir une session authentifiée.

Des cabinets qui conseillent les grandes entreprises du pays en matière de cybersécurité ont été piégés par un coup de téléphone.

Selon le Centre, cette campagne vise de plus en plus les secteurs juridique et financier depuis juillet, et s’est concentrée en octobre sur le milieu juridique. L’alerte renvoie aux travaux de Google sur un groupe criminel désigné UNC6671, qui opère sous plusieurs noms, dont BlackFile. Sa méthode est connue : voler des identifiants, copier les documents stockés dans les espaces SharePoint et OneDrive, puis exiger de l’argent en échange du silence. Aucun des cabinets n’a attribué publiquement son incident à ce groupe.

Pourquoi ces dossiers valent cher

Un cabinet d’affaires détient ce que ses clients ne confient à personne d’autre : les acquisitions avant leur annonce, les difficultés financières avant qu’elles soient connues, les stratégies de litige, les montants qu’une entreprise est prête à payer pour régler un procès. McCarthy Tétrault et Davies figurent parmi les cabinets les plus actifs au Canada en fusions et acquisitions.

Ce type d’information se monnaie de deux façons. La première est le chantage. Dans les opérations attribuées à UNC6671, Google rapporte des demandes initiales d’un million à plus de trois millions de dollars américains pour ne pas publier les documents volés. Payer n’achète qu’une promesse : rien n’empêche les criminels de conserver une copie, de la revendre ou de revenir à la charge plus tard. Aucune demande de rançon n’a été rendue publique dans les quatre cabinets canadiens.

La seconde est la Bourse. Celui qui apprend avant tout le monde qu’une société sera achetée peut acheter ses actions et les revendre au prix de l’offre. Le cas s’est déjà produit avec des cabinets d’avocats piratés. En décembre 2016, la Securities and Exchange Commission américaine a poursuivi trois personnes qui avaient négocié des actions grâce à des renseignements volés dans deux cabinets new-yorkais, notamment sur les acquisitions d’Altera et d’InterMune. Les profits illégaux atteignaient près de trois millions de dollars américains. La SEC a obtenu des jugements par défaut contre eux en 2017.

Au Québec, la loi impose aux avocats la confidentialité de tout ce qu’ils apprennent sur les affaires de leurs clients et les oblige à prendre des moyens raisonnables pour la protéger, y compris au sein de leur cabinet. C’est ce que prévoient les articles 60 et 61 du Code de déontologie des avocats.

Ce que les clients sont en droit de savoir

Un dossier d’entreprise contient aussi des renseignements sur des employés, des actionnaires, des témoins ou des parties adverses. Ces personnes peuvent être touchées sans avoir jamais fait affaire avec le cabinet.

Au Québec, la Loi sur la protection des renseignements personnels dans le secteur privé oblige une entreprise victime d’un incident présentant un risque de préjudice sérieux à aviser la Commission d’accès à l’information et les personnes concernées. L’avis doit préciser quels renseignements sont visés, dans quelles circonstances et quelles mesures sont prises pour limiter les dommages. Ni McCarthy ni Davies n’a dit publiquement avoir avisé la Commission.

Pour les citoyens, un risque concret est la fraude au paiement. Un fraudeur qui connaît un dossier, les noms des intervenants et une échéance peut envoyer un courriel en tous points semblable à celui d’un avocat et demander qu’un versement soit fait dans un nouveau compte. Le FBI documente de nombreux cas où des acheteurs immobiliers ont ainsi perdu leur mise de fonds. La règle est simple : toute modification de coordonnées de paiement doit être confirmée par téléphone, au numéro déjà connu.

Un risque que la profession connaissait

Le risque n’a rien de nouveau. Dès le 1er octobre, LAWPRO, l’assureur de la responsabilité professionnelle des avocats ontariens, annonçait pour 2027 une nouvelle couverture des cyberrisques et une protection pouvant atteindre un million de dollars contre l’ingénierie sociale, assortie d’une hausse de prime. Le 27 octobre, un avis de fraude relayant une menace identifiée par la GRC circulait dans la profession. Aux États-Unis, les cabinets Baker McKenzie et Troutman Pepper Locke ont signalé des incidents survenus en août, où des employés trompés ont permis à des tiers d’obtenir des fichiers.

McCarthy Tétrault publiait lui-même, en 2021, des conseils sur la préparation aux cyberincidents. Le Centre canadien pour la cybersécurité recommande des clés de sécurité physiques, résistantes à ce type de fausse page, et la vérification par un autre canal de toute demande inattendue du soutien informatique. Ces mesures existent depuis des années.

Plusieurs questions demeurent sans réponse. Que contiennent les 31 000 fichiers? Combien de clients et de personnes sont touchés? Une rançon a-t-elle été exigée? Les enquêtes en cours visent à déterminer l’étendue des renseignements compromis et le nombre de personnes touchées. Leurs clients, et les personnes dont les renseignements dormaient dans ces dossiers, sont les premiers à devoir les recevoir.