Les attaques contre les cabinets d’avocats ont presque doublé. Le registre des paiements de rançons sur le réseau blockchain raconte une histoire différente.

Le 10 septembre, Greenberg Traurig – une entreprise internationale comptant plus de 3 200 avocats – a informé le procureur général du Vermont qu’un « acteur non autorisé » avait accédé à un « nombre limité de documents » et les avait publiés sur le dark web.La divulgation mentionne les informations relatives à la sécurité sociale.Greenberg a souligné que ses propres systèmes n’étaient pas affectés, et qu’il ne s’agissait que d’un « petit nombre de clients concernés » qui ont été informés. À première vue, c’était un incident maîtrisé. Mais le titre de l’article ne reflétait pas cette réalité.

“Les attaques cyber contre les cabinets d’avocats ont presque doublé”, c’est un chiffre qui mérite d’être vérifié. En effet, presque tous ceux qui mentionnent ce chiffre citent la même source : BakerHostetler, un cabinet d’avocats spécialisé dans la gestion des incidents informatiques, qui suit lui-même son volume de cas à traiter. Dans son rapport sur les incidents de sécurité en 2026, basé sur…Plus de 1 250 incidents dans différents secteurs d’activité en 2025BakerHostetler a dit que cela répondait à…Presque 60 incidents liés aux cabinets d’avocats l’an dernier – presque deux fois plus que l’année précédente.. Les phishing représentaient 30 % du total.

C’est un rapport de fréquence ; il est établi par ceux qui sont chargés de nettoyer les lieux. Avant de le considérer comme un signal d’investissement, il convient de se poser deux questions que le titre ne répond pas : qui gère l’autre registre, et si les deux registres évoluent ensemble.

Les factures : une liste continue, pas une seule infraction.

Greenberg est une entrée récente, mais pas un élément exceptionnel. Les informations divulguées se déroulent tout au long de l’année 2026 selon un schéma bien connu : l’ingénierie sociale, c’est-à-dire la manipulation d’une personne plutôt que la destruction d’un système. Taft Stettinius & Hollister ont rapporté des activités inhabituelles en mars, qui ont révélé les numéros de sécurité sociale des clients ; Herbert Smith Freehills Kramer a annoncé une fuite de données en mai, concernant les numéros de sécurité sociale, les identifiants gouvernementaux et les dossiers médicaux ; WilmerHale a proposé une action collective en juillet, suite à une fuite de données en mai.Goodwin Procter a révélé un incident du 7 août.Quinn Emanuel a signalé un attaque de type « social engineering » sur un compte, sur le 14 août ;Eckert Seamans a révélé une fuite de données liée à l’ingénierie sociale : les dates de naissance et les numéros d’identification sociale ont été divulgués. Cela a entraîné des actions en justice à New York.McDermott Will & Emery et Weil Gotshal ont tous deux confirmé des incidents similaires en mai. Fox Rothschild a également confirmé une violation en mai, suite à la déposition d’une classe de personnes concernées.

Le schéma général pour toutes les entreprises est le suivant : ce n’est pas du malware qui parvient à passer un pare-feu, mais plutôt une e-mail ou une appel téléphonique qui persuade quelqu’un au sein de l’entreprise de donner ses identifiants d’accès.Selon les rapports, le FBI a averti que un groupe de cybercriminels ciblait des grandes firmes d’avocats.C’est précisément avec ces tactiques que cela se passe. Dans ce contexte, « presque double » ne ressemble pas à une simple manipulation, mais plutôt à un changement structurel concernant la personne visée et la manière dont les choses sont faites.

Le deuxième livre de comptes : ce que les attaquants reçoivent réellement en argent

C’est là que le comptage des fréquences devient peu clair et commence à différer de l’autre registre – celui sur lequel les sommes d’argent demandées pour libération sont effectivement transférées. Ce registre est lié aux chaînes de blocs, et il est mesurable.

L’entreprise de analyse de blockchain Chainalysis indique queLes paiements liés au ransomware sur la chaîne blockchain ont chuté d’environ 8 % à environ 820 millions de dollars en 2025, même si le nombre d’attaques a augmenté de près de 50 %.. Le montant moyen des paiements, quant à lui, a augmenté de 368 % en glissement annuel, pour atteindre environ 60 000 dollars.C’est un couple contraintuitif : plus d’attaques, moins de revenus globaux provenant de l’extorsion, mais une pression bien plus grande sur chaque victime qui accepte de payer. Les saisies effectuées par les forces de l’ordre et le refus des victimes de payer semblent réduire les revenus globaux ; les personnes qui acceptent de payer sont alors confrontées à une pression encore plus forte.

Cela est important, car cela permet de distinguer les deux aspects que une titre peut confondre. Le chiffre presque doublé rapporté par BakerHostetler correspond à la fréquence des incidents et des informations divulguées, ainsi qu’aux actions en classe intentées par les clients. Le chiffre fourni par Chainalysis représente quant à lui le canal de paiement. La fréquence et les paiements ne suivent pas ensemble ; cette divergence constitue donc l’essence même de l’histoire.

Qui est celui qui fait cette différence ?

L’exposition se fait sur les documents qui couvrent ce risque – et les prix indiqués montrent la même répartition des risques.Les primes directes versées par les assurances cibernétiques aux États-Unis ont augmenté de près de 11 % en 2025, avec une augmentation du nombre de polices d’assurance d’environ 34 %.(Fitch, avril 2026). Entre-temps, les rapports sur le suivi du marché décriventenviron 11%(Lockton, mai 2026) Même si la fréquence des incidents augmente, le volume de textes écrits ne correspond pas à une hausse du prix par unité. Plus de politiques et plus d’argent versé en primes entraînent un volume de textes qui devient de moins en moins coûteux, tandis que la fréquence des sinistres augmente. Cette combinaison – une augmentation de la fréquence et une baisse du prix – est ce qui réduit les marges des assureurs, et non ce qui permet de réaliser des profits importants.

Il y a une seconde approche, plus discrète : le fardeau passe de payer le prix du rapatriement à payer pour ce qui suit. Presque tous les cas importants de 2026 reposent sur des techniques d’ingénierie sociale, et se terminent par la divulgation de numéros de sécurité sociale et des actions collectives proposées. L’« actif » qui est pris n’est plus le Bitcoin – c’est plutôt des informations personnelles qui provoquent des litiges contre l’entreprise. L’identité qui change, c’est celle de l’entreprise de conseil : elle passe de celle qui garde les secrets des clients à celle qui est poursuivie en justice, sans aucun moyen de récupérer ces informations depuis la chaîne de blocs.

Un mot de précaution avant de considérer chaque titre de presse comme un avantage pour les fournisseurs de solutions de sécurité. Lorsque le vecteur principal de contamination est une personne qui clique et confirme l’action, la solution réside dans la formation, les procédures et la gestion des incidents – et non dans des dépenses purement liées au logiciel. Un doublement du nombre de violations de sécurité ne correspond pas nécessairement à une augmentation des revenus provenant des pare-feu.

Condition de pause

Le scénario décrit ici se base sur un seul facteur observable : un registre de fréquence des incidents et un registre des paiements qui divergent. Ce qu’il faut surveiller, c’est si ces deux registres se réSyncteront ou non. Si les paiements de rançon liés aux incidents cessent de diminuer et commencent à augmenter, alors la tension liée au fait que les assurances absorbent une augmentation de la fréquence des incidents à des prix en baisse devient un problème lié aux pertes subies par les assurances. La divergence entre ces deux registres s’arrêtera alors. En revanche, si les taux de renforcement des conditions de paiement augmentent tandis que le nombre d’incidents continue d’augmenter, la pression sur les marges s’inverse dans l’autre direction.

Jusqu’à présent, l’expression « les attaques contre les cabinets d’avocats ont presque doublé » est une vérité, et un indicateur utile… Mais il s’agit plutôt d’un rapport sur la fréquence des incidents, rédigé par les équipes chargées de l’élimination de ces problèmes. Ce ne sont pas des preuves de bénéfices pour l’industrie. Les preuves de bénéfices, c’est plutôt les deux livres comptables… Et pour l’instant, ils ne concordent pas.