Paiement de la rançon : comment ça marche et quelles sont les conséquences
« Ils ont toutes nos données. Les clients vont nous poursuivre en justice si elles sont publiées. Nous devrions peut-être payer... » C’est une pensée compréhensible lorsque l’on est sous la pression d’une attaque par ransomware.
Cependant, la question est plus complexe qu’il n’y paraît.
Selon Europol, payer la rançon contribue à financer d’autres activités criminelles et ne garantit pas nécessairement la récupération des données, avec un taux de réussite d’environ 65 %. Cependant, refuser catégoriquement de négocier peut conduire à la perte définitive d’informations critiques si des sauvegardes adéquates ne sont pas disponibles.
Les coûts associés aux attaques par ransomware peuvent être dévastateurs. Un cas emblématique concerne un cabinet d’avocats qui, à la suite d’une attaque, a subi des pertes de près de 700 000 dollars en facturation à ses clients, en plus du coût de la rançon, qui n’a pas été divulgué. Le cabinet a d’abord été contraint de payer les pirates en bitcoins, puis d’accepter d’autres paiements en bitcoins, ce qui l’a mis en difficulté et a rendu ses employés improductifs pendant plusieurs mois.
D’un point de vue juridique, il est important de souligner que dans certaines juridictions, payer la rançon peut constituer une violation potentielle des réglementations antiblanchiment ou des dispositions relatives au financement du terrorisme. Aux États-Unis, l’Office of Foreign Assets Control (OFAC) a publié des lignes directrices décourageant explicitement le paiement de rançons à des groupes sanctionnés, avec des conséquences juridiques potentielles pour ceux qui les enfreignent.
En Europe, bien qu’il n’existe actuellement aucune interdiction explicite, la question fait l’objet d’une attention croissante de la part des régulateurs : le Parlement a récemment adopté une résolution appelant à examiner la possibilité d’imposer des restrictions sur le paiement de rançons en cryptomonnaies.
Par conséquent, les décisions doivent être prises en tenant compte non seulement des coûts immédiats, mais aussi des implications juridiques, réputationnelles et éthiques. Il convient de réfléchir à cette question avant de se retrouver dans une situation d’urgence.
Points clés à retenir en matière de cybersécurité pour les cabinets d’avocats
Les attaques de plus en plus sophistiquées qui pèsent sur la cybersécurité et l’évolution du cadre réglementaire nous obligent à renforcer considérablement notre approche en la matière. Il ne s’agit plus d’une simple question technique à déléguer au service informatique, mais d’une responsabilité professionnelle au cœur même de notre activité.
Lors de la prochaine phase de l’évolution réglementaire, il est probable que les interactions entre les différents régimes juridiques internationaux augmentent. Il est également probable que des tentatives d’harmonisation des normes de sécurité et des mécanismes de notification des violations voient le jour. Pour les cabinets d’avocats ayant une clientèle internationale, cela signifie se préparer à naviguer dans des exigences de conformité de plus en plus complexes et interconnectées. En outre, nous pouvons nous attendre à un renforcement des obligations en matière de sécurité, notamment en ce qui concerne la mise en œuvre de technologies émergentes telles que l’intelligence artificielle pour la détection des anomalies, et la blockchain pour la certification de l’intégrité des documents.
Parallèlement, nous devrions assister à une évolution juridique en faveur d’un élargissement de la responsabilité professionnelle en cas d’incident. Dans ce contexte, il est essentiel pour nous, en tant que professionnels du droit, de promouvoir une culture de la sécurité qui imprègne tous les niveaux de l’organisation. Pour cela, il nous faut dépasser l’approche traditionnellement réactive pour adopter une stratégie proactive fondée sur une évaluation continue des risques.
La sécurité absolue n’existe pas, mais la résilience, elle, oui : la capacité à prévenir de nombreuses menaces et à réagir efficacement à celles qui parviennent à franchir nos défenses. Dans un monde où les données sont considérées comme « l’or numérique », la protection des informations de nos clients n’est pas seulement une obligation légale ou éthique, c’est le fondement même de la confiance sur laquelle repose notre profession. Et, comme nous le savons bien, la confiance, une fois perdue, est extrêmement difficile à regagner.
Me Marco Martorana
Dr Gaja Nutini
