Quatre cabinets d'avocats de Bay Street confirment des violations de données après une campagne de phishing

Quatre cabinets confirment les violations

McCarthy Tétrault, Borden Ladner Gervais, Bennett Jones et Davies Ward Phillips & Vineberg ont révélé les violations la semaine dernière, rapporte Law360. Les cabinets affirment que les dégâts sont contenus et qu'ils alertent les parties concernées, selon Law.com. Le Globe and Mail a rapporté que la campagne a réussi à infiltrer au moins quatre cabinets d'avocats de Bay Street.

Le Centre canadien pour la cybersécurité a prévenu que plusieurs entreprises canadiennes ont été ciblées par des cybercriminels se faisant passer pour le support informatique interne et dirigeant les employés vers de fausses pages de connexion, selon le Globe. L'agence a publié un avertissement sur une campagne de phishing en cours visant des organisations des secteurs juridique et financier, rapporte l'ABA Journal.

Ce que les cabinets ont divulgué

David Di Paolo, associé directeur national et chef de la direction de BLG, a déclaré qu'un tiers non autorisé a accédé à « une partie » de l'environnement cloud Microsoft du cabinet, y compris des fichiers liés à des clients. BLG a mandaté Mandiant, société de conseil en cybersécurité et filiale de Google, pour enquêter sur l'incident, en déterminer l'ampleur et soutenir la remédiation, a indiqué Di Paolo dans une déclaration au Globe and Mail.

Bennett Jones a indiqué que les comptes utilisateurs de deux employés des services aux entreprises ont été compromis le 19 octobre dans le cadre d'une « campagne plus large visant des cabinets d'avocats canadiens ». Le cabinet affirme avoir détecté l'activité immédiatement et pris des mesures pour contenir, enquêter et évaluer les données touchées. Les informations dérobées comprennent des rapports de revenus de clients et, dans certains cas, des descriptions générales des mandats du cabinet pour ces clients. Bennett Jones précise que son système de gestion documentaire, où sont conservés les dossiers juridiques, et son système comptable n'ont pas été compromis.

Le Globe and Mail a rapporté jeudi que McCarthy Tétrault et Davies font également face à des violations de données impliquant des informations clients, et que ces violations ont compromis des milliers de fichiers au total. Les déclarations publiques décrivent des ampleurs différentes : deux comptes compromis chez Bennett Jones, une partie de l'environnement cloud Microsoft de BLG, et des milliers de fichiers au total dans les violations de McCarthy Tétrault et Davies.

Comment les attaquants sont entrés

Le Globe a rapporté précédemment qu'au moins certaines des violations chez les cabinets d'avocats impliquaient des pirates utilisant Microsoft Teams et se faisant passer pour des employés du support informatique afin de demander l'accès à l'ordinateur d'un salarié.

Les pirates ont aussi ciblé Stikeman Elliott et Gowling WLG, sans succès, rapporte le Globe. Richard McConnell, directeur de la technologie et de l'exploitation de Gowling, a déclaré qu'un cabinet externe de cybersécurité n'avait trouvé aucune preuve que ses systèmes ou les informations de ses clients aient été compromis. « Nous continuons de surveiller toute activité liée », a déclaré McConnell. Peter Castiel, président de Stikeman Elliott basé à Montréal, a indiqué que les grands cabinets d'avocats et leurs directeurs des systèmes d'information partagent renseignements et bonnes pratiques.

La suite

Les cabinets affirment avoir mandaté des entreprises de cybersécurité pour enquêter et remédier à la situation, selon Law.com. L'ABA Journal rapporte une inquiétude croissante : les cyberattaques visent de plus en plus les secteurs juridique et financier.

Tous les cabinets touchés ont informé les forces de l'ordre et contactent les clients concernés, rapporte le Globe.