En bref : pour la sécurité informatique d'un cabinet d'avocats, chaque système par lequel les clients envoient ou consultent des documents compte. Déterminez lesquels fonctionnent sur PHP, faites confirmer l'état des correctifs et le redémarrage, et traitez tout cas suspect de manière à préserver les preuves et la confidentialité.
Où les cabinets utilisent PHP, souvent sans le savoir
Le logiciel de cabinet lui-même se trouve le plus souvent au bureau ou dans un centre de données spécialisé. PHP se trouve ailleurs : sur le site web du cabinet avec son formulaire de première demande, dans les circuits d'envoi de pièces, dans les prises de rendez-vous en ligne et dans les salles de données exploitées en interne. De nombreux cabinets utilisent pour l'échange sécurisé de documents leur propre Nextcloud, installé par une société informatique.
Ces salles de données contiennent précisément ce qu'un cabinet a de plus sensible : mémoires, procurations, projets de contrats, expertises, photos servant de preuves et, en matière pénale, aussi des dossiers d'instruction. PHP2Shell permet à des attaquants d'exécuter du code sans authentification. Un mot de passe robuste sur le portail n'y change rien.
Les cabinets spécialisés par exemple en droit de la famille, du travail ou médical traitent en outre des indications de santé, des expertises et des détails de la vie privée. Dans les cabinets d'affaires, on trouve des documents sur des transactions qui, avant leur publication, peuvent avoir une incidence sur les cours. Le matériel qui se trouve dans vos portails détermine la gravité d'un incident.
Secret professionnel et protection des données : ce que signifie une fuite
Pour les avocates et les avocats s'applique une obligation de confidentialité de droit professionnel. La divulgation non autorisée de secrets de clients peut être punissable selon le § 203 StGB (code pénal allemand). S'y ajoutent les obligations du RGPD, dont font partie des catégories particulières de données lorsqu'il s'agit de santé ou de procédures pénales.
Une fuite de données touche donc les cabinets doublement. Elle met en danger les mandats en cours, par exemple lorsque des positions de négociation ou des projets de transaction tombent en de mauvaises mains. Et elle abîme la confiance sur laquelle repose la relation avec le client. Si et comment vous devez informer les clients et l'autorité, vous l'évaluez avec votre délégué à la protection des données et avec un conseil de droit professionnel.
Le site du cabinet comme outil de fraude
Un serveur de cabinet compromis ne sert pas seulement de source de données aux attaquants. Avec l'en-tête, les numéros de dossier et de vrais noms issus d'un portail client, on peut falsifier des courriers à peine distinguables des vrais. Les demandes de paiement sont particulièrement délicates, par exemple pour des montants de transaction ou des honoraires, avec des coordonnées bancaires modifiées.
Le formulaire de première demande peut lui aussi être détourné : un attaquant redirige les demandes vers sa propre adresse et contacte les personnes intéressées au nom du cabinet. Après un incident, vous ne devriez donc pas seulement faire vérifier le serveur, mais aussi signaler activement à vos clients que vous ne modifiez jamais des coordonnées bancaires par e-mail.
La messagerie électronique spéciale des avocats allemands (beA) et le logiciel de cabinet ne fonctionnent pas sur votre serveur web. Le danger apparaît là où des identifiants de comptes de messagerie ou d'autres systèmes du cabinet sont stockés sur le serveur web.
Sécurité informatique du cabinet : qui est responsable de quoi ?
Dans les cabinets sans service informatique propre, les tâches se répartissent généralement ainsi :
| Système | Qui s'en occupe | Question ouverte pour PHP2Shell |
|---|---|---|
| Logiciel de cabinet, postes de travail | Société informatique | le plus souvent non concerné |
| Nextcloud ou salle de données | Société informatique ou hébergeur | Qui corrige PHP et redémarre ? |
| Site web avec formulaires | Agence web | Fonctionne-t-il chez l'hébergeur sur un PHP à jour ? |
| Prise de rendez-vous en ligne | Fournisseur externe ou extension | Où se trouvent les demandes des clients ? |
Le vide apparaît là où la société informatique considère le site web comme l'affaire de l'agence et l'agence le serveur comme celle de l'hébergeur. Consignez par écrit, pour chaque système, qui met PHP à jour et redémarre les processus.
Ne nettoyez pas trop vite un serveur suspect. Si vous le réinstallez avant que les traces soient préservées, vous ne pourrez plus prouver ensuite si et quelles données de clients ont fuité.
Les premières heures : agir de façon confidentielle et traçable
- Bloquer pour les clients les portails et salles de données concernés, poursuivre le travail interne avec le logiciel de cabinet.
- Sauvegarder les journaux à partir du 20 octobre 2026 et conserver l'état du serveur avant que quelqu'un ne supprime des fichiers.
- Demander par écrit à l'exploitant l'état des correctifs et le redémarrage. Un numéro de version affiché ne suffit pas à lui seul, car les backports peuvent le laisser inchangé.
- Définir un petit cercle qui parle de l'incident et préparer la communication vers l'extérieur.
- Impliquer le délégué à la protection des données et garder à l'esprit le délai de notification du RGPD.
Comment PHP SOS aide-t-il concrètement ?
- Avant le premier accès, nous réglons la confidentialité par écrit et limitons l'accès au strict nécessaire.
- Nous vérifions l'état des correctifs, le mode d'exécution et le redémarrage de tous les systèmes PHP du cabinet qui sont accessibles depuis Internet.
- En cas de soupçon, nous préservons les traces de manière forensique afin de pouvoir prouver ensuite à quoi il a été accédé. Détails sur notre page consacrée à la forensique informatique.
- Nous nettoyons et durcissons les systèmes et documentons chaque étape pour la direction du cabinet, le délégué à la protection des données et l'assureur.
- Sur demande, nous assurons l'entretien continu des portails, afin que la prochaine faille PHP ne retombe pas de nouveau entre la société informatique et l'agence.
Questions fréquentes
Notre logiciel de cabinet est-il concerné par PHP2Shell ?
Le logiciel de cabinet proprement dit ne fonctionne généralement pas sur un serveur web PHP. Peuvent être concernés le site web, les formulaires d'envoi de fichiers, les salles de données exploitées en interne comme Nextcloud et les portails fondés sur PHP. Un inventaire de tous les systèmes accessibles via Internet apporte de la clarté.
Un prestataire informatique externe peut-il accéder aux données des clients lors d'un incident ?
Le droit professionnel et le § 203 StGB (code pénal allemand) autorisent le recours à des prestataires participant à l'activité sous certaines conditions, notamment un engagement de confidentialité. Les exigences qui s'appliquent précisément à votre cabinet, vous les vérifiez au regard du droit professionnel. Nous réglons la confidentialité par écrit avant le premier accès.
Devons-nous informer nos clients d'une attaque ?
En cas de risque pour les droits des personnes concernées, le RGPD peut exiger une information, à laquelle s'ajoutent des considérations de droit professionnel. La décision relève de la direction du cabinet et du délégué à la protection des données. Une communication coordonnée évite les déclarations contradictoires.