Un notaire, une personne chargée d’organiser une formation ou un agent d’une administration peuvent être concernés sans être avocats. La cyberattaque visant AVOCATS.BE dépasse le seul annuaire de la profession : environ 27 500 autres contacts figurent parmi les personnes dont les coordonnées ont été exposées, selon le communiqué publié le 6 novembre par l’Ordre des barreaux francophones et germanophone.
Ce nombre s’ajoute aux avocats concernés. Il ne représente donc ni le total des personnes touchées ni un nombre de dossiers judiciaires dérobés. L’organisation fait état d’un accès frauduleux à des données de contact et d’identification dans son logiciel de gestion des ordres, le LGO. Elle indique qu’en l’état de ses analyses, aucune donnée bancaire ni donnée sensible au sens précisé dans son communiqué n’est concernée.
Un outil professionnel qui réunissait bien plus que des avocats
Le LGO sert aux activités des ordres et des barreaux. Les coordonnées qui y étaient enregistrées comprennent celles de professionnels liés à la justice, notamment des notaires et des membres du personnel judiciaire, mais aussi de salariés des barreaux et d’organisateurs de formations. Des contacts d’administrations, d’universités et de services de police figurent également dans le périmètre annoncé.
Cette diversité explique pourquoi une personne extérieure à la profession peut recevoir une alerte ou devoir rester vigilante. Le critère est la présence de ses coordonnées dans l’application, au titre de ses relations professionnelles avec ces institutions.
AVOCATS.BE représente les barreaux francophones et germanophone de Belgique. Le communiqué décrit ainsi l’incident d’un organisme identifié et de son outil de gestion : il ne permet pas de conclure que tous les systèmes judiciaires belges ont été attaqués.
Ce que l’on sait des données exposées
Les informations visées peuvent comprendre le nom, l’adresse électronique, le numéro de téléphone et, dans certains cas, l’adresse postale. Leur contenu dépend de ce qui avait été renseigné dans l’application. Toutes les personnes concernées n’avaient donc pas nécessairement les mêmes champs enregistrés.
L’organisation précise que les chiffres et catégories présentés dans son communiqué correspondent à l’état des connaissances au 3 novembre et peuvent encore évoluer. Son point du 6 novembre doit être lu avec cette limite : l’analyse continue, même si la faille a été sécurisée.
L’exclusion annoncée des données bancaires et des données sensibles est attribuée à AVOCATS.BE. Elle ne transforme pas les coordonnées professionnelles en informations sans valeur. À l’inverse, les éléments publiés ne permettent pas d’affirmer que des pièces de procédure, des échanges confidentiels entre avocats et clients ou des dossiers de défense ont été dérobés. Faire cette distinction évite d’ajouter à une fuite confirmée un périmètre qui ne l’est pas.
Une attaque signalée le 29 octobre
AVOCATS.BE indique avoir été informé de l’attaque le 29 octobre. Selon l’organisation, l’incident a été identifié et neutralisé le jour même, dans les heures qui ont suivi son signalement. Les données accessibles frauduleusement ont ensuite été proposées à la vente sur le dark web par des personnes qui n’étaient pas identifiées au moment du communiqué.
La sécurisation du logiciel et la disparition des copies sont deux questions différentes. Fermer l’accès utilisé par les intrus empêche de le laisser ouvert ; cela ne démontre pas que les données déjà emportées ont été effacées.
L’Ordre annonce la préservation des preuves, une analyse avec un prestataire spécialisé, la réinitialisation des accès, le changement des mots de passe et le renforcement de l’authentification. Il a notifié l’incident à l’Autorité de protection des données et au Centre pour la Cybersécurité Belgique, et annonce déposer plainte. Une surveillance de la diffusion des données en ligne fait également partie des mesures citées.
Pourquoi des coordonnées publiques peuvent malgré tout servir à une fraude
AVOCATS.BE relève qu’une grande partie de ces coordonnées était déjà accessible dans des annuaires. Cela limite la nouveauté de certaines informations, mais pas tous les usages malveillants possibles. L’organisation mentionne elle-même le risque de recoupement avec d’autres sources, de démarchage abusif, d’hameçonnage et d’usurpation d’identité.
Un message qui connaît un nom, une fonction ou une relation avec un barreau peut sembler plus crédible qu’un courriel impersonnel. Il pourrait, par exemple, invoquer une formation ou une vérification administrative pour demander un paiement ou un identifiant. Il s’agit ici d’un scénario de risque, pas d’une campagne dont l’existence serait établie dans cet incident.
La bonne vérification porte donc sur la demande et le canal utilisé, pas seulement sur la présence d’informations exactes. Dans ses conseils contre l’hameçonnage, Safeonweb rappelle qu’une adresse d’expéditeur apparemment légitime ne garantit pas à elle seule l’authenticité du message.
Les démarches utiles pour les personnes concernées
Face à une sollicitation inhabituelle ou pressante, mieux vaut reprendre contact avec l’organisme par ses coordonnées habituelles ou celles de son site officiel. Il faut éviter d’utiliser le numéro ou le lien fourni dans le message suspect pour effectuer cette vérification. Aucun identifiant, mot de passe ou renseignement bancaire ne doit être transmis sous la pression d’une telle demande.
Les messages suspects peuvent être transmis à suspect@safeonweb.be. Si un mot de passe a effectivement été saisi sur un faux site, Safeonweb recommande de le changer immédiatement, ainsi que sur les services où il a été réutilisé. Cette démarche répond à une compromission concrète d’identifiant ; elle ne signifie pas que les mots de passe de tous les contacts figurent dans la fuite annoncée.
Pour une question sur ses propres données, le point de contact indiqué par AVOCATS.BE est sa déléguée à la protection des données, à dpo@obfg.be. L’organisation précise ne pas pouvoir joindre individuellement chacune des personnes concernées et utilise cette communication publique pour les informer. Les personnes disposent également de la possibilité de saisir l’Autorité de protection des données.
Photographie d’archive : le palais de justice de Bruxelles illustre le contexte judiciaire belge ; il ne désigne pas le lieu de l’intrusion. Crédit : Romainberth, Wikimedia Commons, CC BY-SA 3.0.
