Points clés
- Le 28 octobre 2026, le Centre canadien pour la cybersécurité a émis l’alerte AL26-028 : une campagne continue d’hameçonnage vocal visant les secteurs juridique et financier canadiens, où des appelants se faisant passer pour le soutien technique dirigent les employés vers de fausses pages de connexion qui relaient la réponse AMF au véritable fournisseur d’identité, offrant à l’attaquant une session authentifiée.
- Le 30 octobre, Law.com rapportait que quatre des plus grands cabinets d’avocats du Canada, McCarthy Tétrault, BLG, Bennett Jones et Davies Ward Phillips & Vineberg, avaient été compromis dans une vague coordonnée; le Centre national de coordination contre la cybercriminalité de la GRC avait émis une alerte de fraude aux barreaux le 27 octobre.
- Pour les équipes de protection des renseignements personnels, une session Microsoft 365 compromise est un dossier d’atteinte, pas un billet de soutien technique : conservez les journaux d’audit du fournisseur d’identité et de M365, délimitez l’accès aux boîtes courriel et aux fichiers, et appliquez tôt le critère du risque réel de préjudice grave de la LPRPDE. L’alerte précise que la campagne se termine par du vol de données et des demandes d’extorsion.
L’afficheur indique le soutien technique. L’appelant connaît le nom de votre responsable TI, dit qu’il y a une migration vers les clés d’accès à faire avant ce soir, et vous envoie un lien par texto. La page porte le nom de votre cabinet et ressemble trait pour trait à votre page de connexion. Vous tapez votre mot de passe, approuvez l’invite AMF et retournez travailler.
C’était toute l’attaque. La page a relayé votre connexion au véritable fournisseur d’identité en temps réel, et votre invite AMF vient de remettre à un inconnu une session authentifiée à votre nom.
Le fil des événements était déjà écrit avant que la plupart des Canadiens en entendent parler. Le 27 octobre, le Centre national de coordination contre la cybercriminalité de la GRC émettait une alerte de fraude sur de faux appels du soutien technique visant les cabinets d’avocats canadiens. Le 28 octobre, le Centre canadien pour la cybersécurité publiait l’alerte AL26-028 : une campagne continue d’hameçonnage vocal contre les organisations canadiennes, concentrée sur le secteur juridique en octobre et sur la finance et le juridique depuis juillet. Le 30 octobre, Law.com rapportait que quatre des plus grands cabinets du pays, McCarthy Tétrault, Borden Ladner Gervais, Bennett Jones et Davies Ward Phillips & Vineberg, avaient été compromis.
Le relais, en un paragraphe
La technique porte un nom qui sonne comme une mauvaise traduction : l’adversaire au milieu (adversary-in-the-middle). L’appelant vous dirige vers une page qui porte le nom de votre organisation sur un domaine générique, du genre <votrecabinet>.onetimesso[.]com ou <votrecabinet>sso[.]com. Ces domaines mélangent des verbes d’action (activer, inscrire, enregistrer, déployer) et des termes d’authentification (clé d’accès, sso, amf, 2fa). La page se place entre vous et votre véritable fournisseur de connexion. Vous faites la vraie connexion, AMF comprise, sur la page de l’attaquant, qui repart avec la session authentifiée. Le Centre dit que les domaines leurres changent souvent, sa façon polie de dire que votre liste de blocage ne vous sauvera pas.
La suite est le passage que les équipes de vie privée devraient relire. L’acteur enregistre sa propre méthode AMF pour garder l’accès, supprime les avis de réinitialisation de mot de passe et de modification d’AMF pour que vous ne les voyiez jamais, puis utilise des scripts et Microsoft Graph pour extraire les données de SharePoint et de OneDrive. Ensuite vient la demande d’extorsion.
Pourquoi celle-ci a fonctionné
L’alerte se lit comme un rapport de terrain. Les appels arrivent sur les cellulaires personnels, les téléphones de bureau et Teams. Les numéros affichés imitent le vrai soutien technique, et les appelants citent de vrais employés TI et des échéances manquées pour gagner en crédibilité. Le détail qui en dit long sur leur savoir-faire : ils raccrochent si vous tentez de les vérifier de façon indépendante. Ils connaissent le seul geste qui les bat.
Les cabinets d’avocats ne sont pas une cible accidentelle. Une seule boîte courriel d’associé compromise contient des communications protégées par le secret professionnel et des renseignements personnels qui facilitent l’extorsion.
Le contrôle que vous croyiez avoir, et celui que l’alerte exige
| Le geste de l’attaquant | Ce que « on a l’AMF » supposait | Ce que l’AL26-028 prescrit |
|---|---|---|
| Relais en temps réel de la réponse AMF | L’AMF bloque le vol d’identifiants | AMF résistante à l’hameçonnage : clés de sécurité FIDO2, clés d’accès liées à l’appareil ou authentificateurs de plateforme, surtout pour les utilisateurs à privilèges |
| L’appelant nomme votre responsable TI | La formation couvre ça | Vérification indépendante de tout appel TI inattendu par un canal de confiance, peu importe l’afficheur ou l’urgence |
| Enregistre sa propre méthode AMF | Les alertes courriel détectent les changements | Surveiller les enregistrements AMF suspects et les domaines nouvellement enregistrés qui imitent l’organisation |
| Des scripts extraient SharePoint et OneDrive | La DLP surveille les sorties | Surveiller les accès M365 scriptés ou volumineux; accès conditionnel sur appareils gérés; restreindre les connexions via VPN, hébergeurs et proxys résidentiels |
| Appels Teams entrants de l’extérieur | Les canaux internes sont fiables | Restreindre les communications externes Teams, Webex et Slack aux utilisateurs de confiance; revoir les accès invités |
Notez la constante : chaque ligne est un contrôle qui retire une décision humaine de la chaîne. La campagne ne bat pas la cryptographie. Elle bat un appel téléphonique.
Le dossier d’atteinte que vous devez maintenant ouvrir
C’est ici que l’histoire quitte l’équipe de sécurité et arrive sur votre bureau. Une compromission par hameçonnage vocal d’un tenant Microsoft 365 n’est pas un incident TI avec une note de bas de page sur la vie privée. C’est une analyse d’atteinte aux mesures de sécurité sous l’article 10.1 de la LPRPDE : en cas de risque réel de préjudice grave pour une personne, l’organisation doit aviser le commissaire et les personnes touchées dès que possible. Une boîte courriel de cabinet pleine de communications protégées et un SharePoint plein de dossiers clients franchissent ce seuil sans grand débat.
L’alerte dit quelles preuves conserver : les journaux d’audit du fournisseur d’identité et de Microsoft 365, l’examen de l’activité des boîtes courriel et des fichiers, la révocation des sessions et des jetons actifs, la réinitialisation des identifiants et le retrait des méthodes AMF non autorisées. Ces preuves sont périssables : les journaux tournent, les sessions expirent, et la demande d’extorsion n’attend pas la révision juridique.
Un fil reste ouvert. Les cabinets ont confirmé les compromissions, mais aucun n’a dit combien de dossiers clients ont quitté leurs systèmes, si le CPVP a reçu des avis d’atteinte, ni ce que disaient les demandes d’extorsion. Je mettrai cet article à jour à mesure que le dossier s’étoffera.
Mesure concrète : Cette semaine, choisissez cinq comptes : votre administrateur, votre responsable de la protection des renseignements personnels et trois personnes qui vivent dans leur courriel. Faites-les passer aux clés FIDO2 ou aux clés d’accès liées à l’appareil, activez l’alerte sur les nouveaux enregistrements AMF et mettez par écrit la nouvelle règle du soutien technique : on ne vérifie jamais un appel TI sur le canal fourni par l’appelant.
Le prochain appelant sonnera lui aussi comme votre soutien technique. La différence, c’est que vos comptes ne répondront plus à un appel téléphonique.