Cyber Veille Québec – 4 Novembre : Deux cabinets d’avocats ayant des bureaux à Montréal ciblés par des cyber attaques

4 Novembre 2026

Que s’est-il passé ?

Les cabinets McCarthy Tétrault et Davies Ward Phillips & Vineberg, qui possèdent tous deux des bureaux à Montréal, ont confirmé avoir été victimes d’une campagne d’hameçonnage ayant mené à un vol de données. Les attaques se sont produites les 22 et 23 octobre 2026. Outre ces deux cabinets, les campagnes ciblaient d’autres cabinets juridiques canadiens.

Stratégie utilisée par les cyberattaquants : Campagne d’hameçonnage

Les attaquants se faisaient passer pour du personnel de soutien informatique et dirigeaient les employés vers de fausses pages d’authentification afin de compromettre leurs comptes.

Pour rappel, une campagne d’hameçonnage (encore appelé phishing) est une opération où des cybercriminels tentent de tromper plusieurs personnes ou organisations afin qu’elles divulguent des informations sensibles, cliquent sur un lien malveillant ou installent un logiciel malveillant. Elle peut être diffusée par courriel, SMS ou appel téléphonique.

Pertes potentielles

Pour les cabinets McCarthy Tétrault et Davies Ward Phillips & Vineberg : les cyberattaquants auraient eu accès ou volés, semble-t-il, près de 31000 dossiers. Les deux cabinets s’exposent aux impacts suivants :

  • Financier : perte de clients, couts juridiques, sanctions réglementaires, surveillance de dossiers de crédit pour les clients si les données personnelles sont touchées.
  • Réputationnel : Perte de confiance possible des clients sur la capacité des cabinets à protéger leurs informations stratégiques (transactions d’affaires importantes ou litiges sensibles)
  • Atteinte au secret professionnel : les communications entre un avocat et son client sont protégées par le secret professionnel. Si des documents ou des courriels confidentiels ont été consultés ou exfiltrés, cela peut soulever d’importants enjeux juridiques et réglementaires.

Leçons pour les PME québécoises

Les PME sont aussi des cibles : le Centre canadien pour la cybersécurité a publié une alerte le 28 octobre 2026, dans laquelle il indique être au courant « de campagnes continues d’hameçonnage… ciblant des organisations, notamment dans le secteur juridique, judiciaire et dans le secteur financier… »

Les cybercriminels choisissent leurs victimes en fonction de la valeur des données qu’ils possèdent, plutôt que de leurs tailles. Pour les PME, il faut donc évaluer quelles données pourraient avoir de la valeur pour un cybercriminel et les protéger adéquatement.

L’humain est la première cible : cette attaque n’a pas exploité une vulnérabilité technique. Les employés ont été manipulés par des cybercriminels se faisant passer pour le soutien informatique, afin d’obtenir des accès légitimes.

Il est donc crucial de sensibiliser ses employés à la cybersécurité et de faire des campagnes de simulation d’hameçonnage interne pour préparer les employés.

Besoin d’aide ?

Vigelia propose :

  • Diagnostic gratuit
  • Campagnes de phishing par métier
  • Formation (academy.vigelia.com)
  • Tableaux de bord KPI

Contact : [email protected]