Menace dominante
Messagerie piratée, fraude au faux RIB
Textes
Secret professionnel, RGPD
Le contexte
Le secret professionnel passe aussi par la messagerie
Un cabinet échange chaque jour des pièces confidentielles par e-mail, accède aux plateformes de sa profession et, pour les notaires et certains avocats, fait transiter des fonds pour le compte de clients. C'est précisément ce que recherchent les fraudeurs : une messagerie à pirater, une conversation à détourner, un RIB à substituer.
+93 %
de demandes d'assistance pour fraude au virement en 2025[1]
21 %
des assistances aux entreprises concernent un compte piraté[1]
15 000 €
d'amende et un an d'emprisonnement pour violation du secret professionnel[2]
Les menaces
Ce qui vise votre secteur
- 01
Le piratage de messagerie
Premier motif d'assistance des entreprises en 2025 (21 % des demandes, +52 %). Chez un cabinet, la messagerie donne accès aux dossiers, aux échanges avec les clients et aux confrères.[1]
- 02
La fraude au virement et au faux RIB
13,5 % des assistances aux entreprises en 2025, en hausse de 93 % : changement de RIB d'un client ou d'un vendeur, fausse demande urgente d'un associé. Les transactions immobilières et les fonds détenus pour le compte de clients sont des cibles évidentes.[1]
- 03
L'hameçonnage ciblé
16 % des assistances aux entreprises en 2025 : faux message d'une juridiction, d'un ordre ou d'une plateforme professionnelle pour voler des identifiants.[1]
- 04
Le rançongiciel et la fuite de dossiers
Un chiffrement bloque l'activité ; la publication de dossiers clients engage le secret professionnel et la responsabilité du cabinet. Les rançongiciels représentent 8,1 % des assistances aux entreprises en 2025.[1]
Les obligations
Ce que la réglementation vous demande
État des textes au . Votre situation exacte dépend de votre activité et de votre taille : nous la vérifions avec vous.
- En vigueur
Le secret professionnel
La révélation d'une information à caractère secret par la personne qui en est dépositaire est punie d'un an d'emprisonnement et de 15 000 € d'amende (article 226-13 du code pénal). Une protection insuffisante des dossiers peut aussi exposer à des poursuites disciplinaires.
- En vigueur
RGPD
Registre des traitements, sécurité adaptée à la sensibilité des dossiers (article 32), notification des violations à la CNIL sous 72 heures.
- Selon votre situation
Le délégué à la protection des données
Il n'est obligatoire que dans les cas prévus par l'article 37 du RGPD ; le considérant 91 précise que le traitement des données de clients par un avocat exerçant à titre individuel n'est pas un traitement à grande échelle. Pour un cabinet d'une certaine taille, un DPO reste conseillé.
- Selon votre situation
Les règles de votre profession
Chaque ordre ou chambre publie ses recommandations et peut imposer des outils (plateformes sécurisées, signature électronique). Nous en tenons compte dans nos recommandations.
Pour décider
Des mesures à la taille d'un cabinet
Ce qui réduit le plus le risque, sans équipe informatique :
- MFA sur la messagerie et sur tous les accès distants : c'est la mesure qui bloque la plupart des piratages de comptes.
- Une procédure de vérification des coordonnées bancaires : tout changement de RIB est confirmé par téléphone, à un numéro déjà connu, jamais à celui du message.
- Des sauvegardes chiffrées, hors ligne et testées, pour repartir sans payer de rançon.
- Des postes tenus à jour et un compte administrateur séparé du compte de travail.
- Une courte sensibilisation annuelle de toute l'équipe, associés compris.
Par où commencer
Les prestations que nous conseillons
Prix publics, hors taxes. Le nom et le CV de l'intervenant figurent dans la proposition, avant signature.
Questions fréquentes
Les questions des cabinets
Un cabinet de cinq personnes doit-il désigner un DPO ?
En général non : la désignation n'est obligatoire que dans les cas de l'article 37 du RGPD, et le considérant 91 exclut le traitement des données de clients par un avocat exerçant à titre individuel. Le cabinet doit en revanche tenir son registre et sécuriser ses traitements.
Comment éviter la fraude au faux RIB ?
Par une règle appliquée sans exception : tout changement de coordonnées bancaires est vérifié par un appel à un numéro déjà connu. S'y ajoutent la MFA sur la messagerie et la sensibilisation de l'équipe.
Microsoft 365 suffit-il à protéger nos dossiers ?
L'outil offre de bonnes protections, mais beaucoup sont désactivées par défaut ou mal réglées : MFA, journalisation, règles de transfert automatique, partages externes. Notre audit de sécurité cloud vérifie la configuration réelle.
Que faire si notre messagerie a été piratée ?
Changer le mot de passe et activer la MFA, vérifier les règles de transfert et les sessions ouvertes, prévenir les clients et confrères susceptibles d'avoir reçu de faux messages, et évaluer la notification à la CNIL sous 72 heures. Le 17Cyber assure une première assistance.
Sources (3)Afficher
- [1]Cybermalveillance.gouv.fr, rapport d'activité 2025 (mars 2026)
- [2]Article 226-13 du code pénal, Légifrance (2002)
- [3]Règlement (UE) 2016/679 (RGPD), EUR-Lex (2016)
Nos pôles utiles à votre secteur
Chaque pôle regroupe des prestations à prix publics.
Parlons de votre situation.
Décrivez votre besoin : la proposition indique le périmètre, le prix et le nom de l'intervenant.
Ou appelez le 02 43 25 99 59 (lun.-ven. 9 h-18 h), ou réservez un appel de 20 min (nouvel onglet).