Cybersécurité des avocats et notaires : le secret professionnel

Jeudi, 16 h, dans une étude notariale de Longueuil. La signature d'une vente est prévue le lendemain matin. L'acheteur reçoit un courriel qui semble venir de l'étude : « À la suite d'un changement d'institution financière, merci de virer la mise de fonds dans le compte ci-joint. » Le logo, la signature et le ton sont parfaits. Seule l'adresse de l'expéditeur diffère d'une lettre.

Pour un fraudeur, les cabinets d'avocats et les études de notaires réunissent tout ce qu'il cherche : des renseignements confidentiels, des sommes importantes qui transitent par un compte en fidéicommis et des échanges par courriel avec des clients qui font confiance à leur professionnel. Le secret professionnel, lui, ne s'arrête pas à la porte du serveur.

Les règlements du Barreau du Québec et de la Chambre des notaires contiennent d'ailleurs des obligations technologiques plus précises qu'on le croit. Faisons le tour, puis passons aux mesures concrètes.

Le secret professionnel à l'ère du courriel

Ni le Barreau ni la Chambre n'interdisent l'infonuagique ou le courriel. Leurs règles sont neutres sur le plan technologique : le règlement du Barreau définit le dossier comme l'ensemble des documents d'un mandat, consignés sur papier ou « sur support faisant appel aux technologies de l'information ». Ce qui compte, c'est le résultat : la confidentialité doit être assurée, peu importe l'outil.

Depuis 2020, le Code de déontologie des avocats le dit en toutes lettres : les connaissances que l'avocat doit tenir à jour incluent celles relatives aux technologies de l'information qu'il utilise dans ses activités professionnelles. Autrement dit, « je ne suis pas informaticien » n'est plus une défense. Personne ne vous demande de configurer un pare-feu, mais vous devez comprendre les risques des outils que vous choisissez.

Ce que prévoient les règlements des ordres

L'exigence du coffre-fort mérite une remarque : si vos sauvegardes sont infonuagiques, validez auprès de la Chambre comment elle s'applique à votre configuration.

Les deux ordres publient aussi des guides. Le Barreau propose un guide sur la gestion et la sécurité des technologies de l'information pour l'avocat et son équipe, ainsi qu'un guide pratique sur la protection des renseignements personnels, qui rappelle que la loi sur le secteur privé s'applique aux cabinets d'avocats. La Chambre des notaires a publié en 2023 un document sur les obligations des notaires et de leurs fournisseurs de services technologiques en matière de protection de l'information.

Les menaces qui visent les cabinets

• La fraude au virement. Le fraudeur s'insère dans un échange de courriels entre l'étude, le client, le courtier ou le prêteur, puis remplace les coordonnées bancaires au bon moment. C'est la fraude au changement de coordonnées bancaires, appliquée aux sommes en fidéicommis.
• La boîte de courriel compromise. Un accès silencieux pendant des semaines permet de lire des stratégies de litige ou des négociations en cours.
• Le rançongiciel, qui bloque l'accès aux dossiers la veille d'une audience ou d'une signature.
• Le portable perdu dans le train de banlieue ou au palais de justice, sans chiffrement.
• L'IA générative, quand on y colle un contrat client pour le résumer. Voyez notre article sur l'IA générative et les fuites de données.

Un exemple : dans un cabinet de six avocats de Laval, une règle de transfert créée en douce sur la boîte d'une adjointe envoyait depuis un mois une copie de chaque courriel contenant le mot « jugement » vers une adresse externe. Le mot de passe avait été hameçonné ; l'authentification multifacteur n'était pas activée.

Les mesures prioritaires

Voici la checklist que notre équipe utilise comme point de départ avec les cabinets juridiques :

• Authentification multifacteur sur le courriel, la gestion documentaire, le logiciel de comptabilité en fidéicommis et l'accès à distance (voyez comment choisir son MFA).
• Coordonnées du compte en fidéicommis remises au client tôt dans le mandat, par un autre canal que le courriel.
• Mention dans chaque courriel de transaction : « Nous ne modifierons jamais nos coordonnées bancaires par courriel. »
• Toute instruction de paiement inhabituelle confirmée par téléphone, au numéro déjà au dossier.
• Chiffrement des portables et des téléphones, avec verrouillage automatique.
• Portail ou partage sécurisé pour les documents sensibles.
• Sauvegardes testées, dont une copie hors ligne ; pour les notaires, conservation conforme à l'article 32.
• Carte ou clé de signature numérique jamais prêtée, code jamais communiqué, même à une adjointe de confiance.
• Engagements de confidentialité pour le personnel, les stagiaires et le fournisseur TI.
• Revue trimestrielle des règles de transfert et des accès délégués dans les boîtes de courriel.
• Responsable de la protection des renseignements personnels désigné et registre des incidents tenu à jour.

Quand l'incident survient

En cas de virement détourné, chaque heure compte : appelez immédiatement votre institution financière pour tenter de bloquer les fonds, puis la police. Pour un compte compromis, réinitialisez les accès, fermez les sessions et cherchez les règles de transfert avant toute autre chose.

Viennent ensuite les obligations de la Loi 25. Si l'incident présente un risque de préjudice sérieux, il faut aviser avec diligence la Commission d'accès à l'information et les personnes concernées ; dans tous les cas, il faut le consigner au registre. Le déroulement est détaillé dans notre article sur la déclaration d'un incident à la CAI. Avisez aussi votre assureur de responsabilité professionnelle, et tournez-vous vers votre ordre pour les questions déontologiques.

Notre équipe peut évaluer la sécurité de votre cabinet, de la configuration de Microsoft 365 jusqu'à vos procédures de paiement, dans le cadre d'un audit de cybersécurité. Si votre cabinet est dans le Grand Montréal, un expert peut vous rencontrer sur place, en toute discrétion.