Cybersécurité des cabinets d'avocats : les consignes du CNB

L'alerte du CNB, publiée le 27 août 2026

Le Conseil national des barreaux a mis en ligne le 27 août 2026 une note qui reprend la typologie de menaces retenue par l'agence nationale de sécurité des systèmes d'information, l'ANSSI, et l'applique aux cabinets d'avocats. Trois risques sont détaillés : l'usurpation d'identité par courriel, le chiffrement des dossiers par rançongiciel et le détournement de fonds par changement de coordonnées bancaires.

Aucun cabinet n'est trop petit pour être visé. Un cabinet individuel ou une structure de deux ou trois associés manipule des pièces confidentielles et des informations de paiement, ce qui en fait une cible rentable pour un attaquant qui automatise ses tentatives sur des centaines d'adresses à la fois. La note du CNB détaille les mesures à prendre côté messagerie et côté poste de travail. Le site du cabinet n'y est pas mentionné, alors qu'il fait partie des mêmes risques : Orbe construit des sites de cabinets qui doivent, eux aussi, résister à ce type de tentative.

La note ne chiffre pas l'ampleur du phénomène et ne cite aucune statistique de cabinets touchés en France. Elle se limite à trois scénarios concrets, avec une réponse technique pour chacun. C'est cette approche par scénario, plutôt que par pourcentage, qui rend le texte utilisable directement, y compris par un cabinet sans service informatique dédié.

Dans un cabinet de trois avocats, la cybersécurité n'est le poste de personne

La cybersécurité s'y répartit sans avoir été écrite nulle part : l'associé qui a choisi les outils décide de fait pour tout le monde, et le secrétariat ouvre le courrier électronique sans qu'on lui ait dit quoi faire d'un message douteux. Personne ne tient l'ensemble. Les recommandations de la note supposent pourtant quelqu'un pour les appliquer, et quelqu'un pour vérifier qu'elles sont encore appliquées six mois plus tard. Une sauvegarde configurée une fois puis jamais testée ne protège de rien.

Écrire les rôles tient en quelques lignes. Qui détient les accès administrateur du site du cabinet, qui reçoit les alertes de l'hébergeur, qui appelle le client en cas de doute sur un RIB, qui prend la décision de notifier la CNIL si des données de clients sont touchées. Ces lignes se rangent avec les statuts et se relisent quand un associé entre ou sort.

Trois menaces, un point d'entrée commun

L'hameçonnage vise le secrétariat autant que l'associé

Un courriel qui imite un client, une juridiction ou un fournisseur habituel demande de cliquer sur un lien ou d'ouvrir une pièce jointe. La cible n'est pas toujours l'avocat lui-même : le secrétariat, qui traite le plus grand volume de courrier électronique, reçoit la majorité des tentatives. Le CNB recommande de contrôler l'adresse réelle de l'expéditeur, de survoler les liens avant de cliquer et de se méfier de toute pièce jointe inattendue.

Le rançongiciel, ou ransomware, bloque le dossier et pas seulement le poste

Un fichier piégé chiffre les documents du cabinet et rend les dossiers inaccessibles jusqu'au paiement d'une rançon, sans garantie de récupération. Les recommandations du CNB : sauvegardes régulières et si possible hors ligne, mises à jour logicielles systématiques, authentification à plusieurs facteurs, antivirus à jour et droits d'administration limités au strict nécessaire.

La fraude au virement touche la trésorerie du cabinet et celle du client

Un attaquant intercepte un échange par courriel, se fait passer pour le cabinet ou pour un tiers, puis communique un nouveau RIB au moment d'un paiement. Le préjudice touche autant le cabinet que le client, en particulier pour les fonds qui transitent par une CARPA. Le CNB demande de vérifier tout changement de coordonnées bancaires par un second canal, par exemple un appel téléphonique sur un numéro déjà connu, jamais celui indiqué dans le courriel suspect.

Ce que la note du CNB ne couvre pas : le site du cabinet

Un site vitrine reprend souvent l'adresse électronique du cabinet en clair, dans le pied de page ou sur la page contact. Cette adresse est aspirée par des robots qui alimentent ensuite des campagnes d'hameçonnage ciblées. Un formulaire de contact sans protection contre les soumissions automatisées produit le même effet : il devient une source d'adresses et de sujets de conversation pour construire un courriel crédible.

Un hébergement dont les extensions ne sont plus tenues à jour, un mot de passe d'administration réutilisé sur plusieurs comptes, ou un espace client qui stocke des pièces sans chiffrement ouvrent la même porte que celle décrite par le CNB pour la messagerie. Le studio qui construit le site n'a pas toujours prévu ces mises à jour dans son forfait initial : la question mérite d'être posée avant de signer, pas après un incident.

Sur le RIB, la règle est simple à transposer au site : ne jamais publier de coordonnées bancaires en clair sur une page web, et rediriger toute demande de paiement en ligne vers un appel de vérification plutôt que vers un simple échange de courriels.

La même logique s'applique à l'espace client, quand le site en propose un. Un accès protégé par un mot de passe faible ou partagé entre plusieurs dossiers offre le même point d'entrée qu'une messagerie mal protégée. Pour l'échange de pièces sensibles, un lien de dépôt chiffré et à durée de vie limitée reste préférable à une pièce jointe, pour les mêmes raisons qui poussent le CNB à recommander e-Partage côté messagerie.

Cette responsabilité se partage entre le cabinet et son prestataire. Un contrat de maintenance qui ne prévoit ni mise à jour régulière ni suivi des correctifs de sécurité laisse le site dans l'état où il a été livré, parfois pendant plusieurs années. La question à poser avant de signer : qui surveille les mises à jour, et à quelle fréquence.

L'obligation qui suit une attaque, si des données de clients sont touchées

Un rançongiciel qui chiffre les dossiers d'un cabinet touche presque toujours des données à caractère personnel : identité des clients, pièces de procédure, parfois des informations financières. Le règlement européen sur la protection des données impose alors, dans son article 33, une notification à la CNIL dans un délai de 72 heures après la découverte de l'incident, dès lors que la violation présente un risque pour les personnes concernées. Cette obligation existe indépendamment du secret professionnel et s'ajoute à lui : elle vise l'organisme responsable du traitement, pas seulement l'auteur de l'attaque.

Pour un cabinet individuel ou une petite structure, le responsable du traitement, c'est l'avocat lui-même, ou l'associé désigné dans les statuts. La CNIL demande également de tenir un registre interne des violations, même celles qui ne dépassent pas le seuil de notification. En pratique, un tableau simple avec la date de l'incident, sa nature et les mesures prises suffit à répondre à cette exigence. D'autres notes sur la présence en ligne des professions réglementées suivront sur le blog d'Orbe.

Un cabinet qui refond son site ou revoit sa présence en ligne a intérêt à traiter cette question en amont, avec son prestataire, plutôt qu'à la découvrir le jour d'un incident.

Questions fréquentes

Le CNB oblige-t-il les cabinets à se protéger contre le phishing ?

La note du CNB est une recommandation, pas une règle disciplinaire chiffrée. Mais le secret professionnel de l'avocat, lui, est une obligation : protéger les moyens par lesquels les informations d'un client peuvent fuiter en fait partie.

Qu'est-ce que l'outil e-Partage du CNB ?

C'est un service mis à disposition par le CNB pour transmettre des documents sensibles, notamment des informations bancaires, sans passer par une pièce jointe de courriel classique.

Un cabinet doit-il déclarer une cyberattaque à la CNIL ?

Seulement si l'attaque constitue une violation de données à caractère personnel présentant un risque pour les personnes concernées. Dans ce cas, la notification se fait dans les 72 heures suivant la découverte de l'incident.

Le site d'un cabinet d'avocats peut-il afficher une adresse email en clair ?

Rien ne l'interdit, mais l'adresse devient alors plus facile à collecter pour des campagnes d'hameçonnage automatisées. Un formulaire de contact protégé limite ce risque sans nuire à l'accessibilité du site.

Que faire si un client signale un changement de RIB par email ?

Vérifier l'information par un second canal avant tout paiement, par exemple un appel sur un numéro déjà connu du cabinet. C'est la mesure que recommande le CNB, et elle s'applique aussi aux demandes reçues via le site.

Combien de temps faut-il pour sécuriser le site d'un cabinet ?

Les mesures de base (adresse mail masquée, formulaire protégé, mots de passe uniques, extensions à jour) se traitent en général en quelques heures avec un prestataire qui connaît déjà le site.

Par où commencer la cybersécurité d'un cabinet de deux ou trois avocats ?

Par l'inventaire de ce qui existe : les boîtes mail, le site et son espace d'administration, les accès partagés entre associés et secrétariat. Les mesures citées par le CNB, sauvegardes hors ligne, mises à jour et authentification à plusieurs facteurs, demandent surtout que quelqu'un s'en occupe, à une date fixée.

Louis Denis, Orbe Studio

Retour au blog