Notre revue hebdomadaire couvre la semaine du 26 octobre au 1er novembre. Nouveauté : elle sort désormais le lundi, pour ouvrir la semaine plutôt que la fermer. Le principe ne change pas : les faits marquants, lus par un propriétaire de risque plutôt que par un analyste, et ce qu'ils changent pour une organisation canadienne.
Le fil de la semaine tient en une phrase, et elle dérange : l'authentification multifacteur que la plupart des organisations ont déployée ne résiste pas à un coup de fil bien mené. Quatre des cabinets d'avocats les plus prestigieux du pays l'ont appris en quelques jours. Ce n'est pas une affaire d'employés naïfs. C'est une affaire de contrôles choisis pour cocher une case, face à des attaquants qui ont appris à les contourner.
Partie 1 : quatre cabinets, un même appel
Ce qui s'est passé
Entre le 19 et le 23 octobre, des appelants se présentant comme le service TI ont contacté des employés de grands cabinets canadiens : une mise à jour urgente, un mot de passe expiré, une « migration vers les clés d'accès ». Les appels arrivaient par Microsoft Teams ou depuis le numéro du soutien technique, parfois usurpé. L'employé était dirigé vers une fausse page de connexion qui relayait en direct son mot de passe et son code d'authentification multifacteur. L'attaquant était connecté avant que l'employé ait raccroché.
- Bennett Jones : deux comptes d'employés des services administratifs compromis le 19 octobre ; rapports de revenus par client et, pour certains clients, descriptions de mandats exposés ; système documentaire et comptabilité non touchés. Le cabinet relie l'incident à « une campagne plus large ciblant les cabinets canadiens ». Statut : confirmé par le cabinet.
- McCarthy Tétrault : incident détecté tard le 22 octobre, une « campagne coordonnée d'ingénierie sociale » ; des fichiers, dont des informations de clients, ont été consultés ; selon l'enquête, ni mouvement latéral ni accès persistant. Statut : confirmé par le cabinet. Le Globe and Mail rapporte quatre comptes compromis et, selon une source, 31 000 fichiers volés ; ce chiffre n'est pas confirmé par le cabinet.
- Borden Ladner Gervais : accès à une partie de son environnement infonuagique Microsoft, des fichiers de clients consultés, Mandiant engagé. Statut : confirmé par le cabinet.
- Davies Ward Phillips & Vineberg : un compte compromis le 23 octobre, selon le Globe and Mail. Statut : rapporté.
Stikeman Elliott a été ciblé sans être compromis, selon son président cité par le Globe and Mail. Au total, au moins sept comptes ont cédé dans quatre cabinets (rapporté).
Ce que le Centre canadien pour la cybersécurité en dit
Le 28 octobre, le Centre canadien a publié l'alerte AL26-028 : une campagne continue d'hameçonnage vocal se faisant passer pour le soutien technique, qui vise des organisations canadiennes depuis janvier, la finance et le droit davantage depuis juillet, et le secteur juridique en priorité en octobre. Après l'accès, les attaquants ajoutent leur propre méthode d'authentification, suppriment les alertes de sécurité, aspirent SharePoint et OneDrive, puis demandent une rançon. Le 27 octobre, le Centre national de coordination en cybercriminalité de la GRC avait signalé la même menace aux cabinets. Statut : confirmé. Aucun groupe n'est nommé publiquement ; l'alerte renvoie à des rapports de Google sur des opérations de faux soutien technique, ce qui reste un soupçon, pas une attribution.
Ce que ça change
Trois idées reçues tombent la même semaine.
« Nous avons la MFA, nous sommes protégés. » Un code envoyé par texto, une notification à approuver ou un code à six chiffres se relaient en temps réel par une fausse page. Seules les méthodes résistantes à l'hameçonnage (clés FIDO2, clés d'accès liées à l'appareil) refusent de s'authentifier sur un faux site. C'est la première recommandation du Centre canadien, et la CISA dit la même chose depuis 2022.
« Nos gens sont formés. » Les cabinets visés sont parmi les mieux équipés du pays. Un appel qui arrive par Teams, depuis le numéro du service TI, pour une tâche ennuyeuse, ne ressemble à rien de ce que montre une formation annuelle. Nous l'écrivions déjà après Abbott : un appel téléphonique suffit quand le processus de réinitialisation fait confiance à la voix.
« Ça vise les grands. » Ce qui a cédé, c'est un processus, pas un budget. Selon The Logic, l'assureur des avocats ontariens LAWPRO voit déjà des cabinets plus petits perdre plusieurs millions de dollars en retraits frauduleux, et prévoit de hausser ses primes en 2027 (rapporté).
Pour une direction, la question n'est pas « nos employés tomberaient-ils dans le piège ? ». Certains y tomberont. C'est : si un compte cède demain, qu'est-ce que l'attaquant emporte avant que quelqu'un le voie ?
Partie 2 : l'exploitation active
La CISA a ajouté neuf failles exploitées à son catalogue KEV du 26 au 30 octobre. Trois concernent directement les équipements exposés :
- Ivanti Connect Secure, deux failles le 30 octobre (absence d'authentification, identifiants prévisibles), dont une à corriger pour aujourd'hui, 2 novembre. Elles suivent la chaîne de failles inconnues inscrite le 13 octobre. Statut : confirmé par la CISA.
- Cisco Secure Firewall ASA et FTD, le 29 octobre : un déni de service qui redémarre le pare-feu. Statut : confirmé.
- VMware ESX, le 28 octobre, attribuée à un acteur lié à la Chine (soupçonné).
L'autre affaire de la semaine dit la même chose par un autre chemin : le 29 octobre, environ 6,3 milliards de dollars américains ont été volés à Binance en une vingtaine de minutes, le plus gros vol de cryptomonnaie jamais enregistré. Les firmes d'analyse TRM Labs et Chainalysis l'attribuent à la Corée du Nord ; Binance n'attribue rien pour l'instant. Le point d'entrée probable : le portable d'un ingénieur (rapporté).
Ce que ça change : un équipement de bordure non corrigé et un compte d'employé compromis mènent au même endroit. Le registre doit nommer les deux portes, et un propriétaire pour chacune.
Partie 3 : le Canada
Au-delà des cabinets, deux revendications canadiennes cette semaine : Akira dit avoir pris environ 5 Go chez Service One Transportation (logistique), et Genesis revendique Psychometrics Canada, le 30 octobre. Statut : revendiqué ; les revendications de Genesis ont déjà été inventées par le passé.
Ce que ça change : les cabinets d'avocats détiennent les secrets des autres (fusions non annoncées, litiges, dossiers fiscaux et médicaux). Si votre organisation a un mandat ouvert chez l'un d'eux, l'incident est aussi le vôtre : c'est un fournisseur critique, et il devrait figurer comme tel dans votre registre des tiers. Le président de Stikeman Elliott le dit au Globe and Mail : la première étape est d'être « complètement transparent » avec les clients. Avez-vous demandé à vos cabinets ce qu'ils détiennent de vous, et comment ils vous préviendraient ?
Partie 4 : l'IA des deux côtés de la table
Le Centre canadien a mis à jour le 26 octobre un bulletin sur l'IA agentique qui accélère les cyberattaques : des agents enchaînent les étapes d'une attaque avec moins de direction humaine ; les humains choisissent encore les cibles ; les mesures de base restent efficaces, mais chaque faiblesse se paie plus vite. Il cite une campagne où moins de trois heures séparaient le choix de la cible de l'accès infonuagique privilégié. Statut : confirmé.
De l'autre côté, Cohere, l'éditeur canadien de modèles d'IA, a documenté un modèle ouvert populaire qui a tenté de téléverser un fichier vers un stockage infonuagique à l'étranger, sans qu'on le lui demande (rapporté par l'éditeur).
Ce que ça change : l'hameçonnage vocal de la partie 1 demande encore des humains au téléphone. Les voix synthétiques et les agents qui préparent la cible réduisent ce coût chaque mois. Un contrôle qui compte sur la vigilance de l'employé sera de moins en moins suffisant ; un contrôle qui refuse techniquement de s'authentifier sur un faux site le reste.
Les trois questions de la semaine pour un comité de direction
- Quelle part de nos comptes, à commencer par la direction, la finance et les administrateurs, utilise une méthode d'authentification résistante à l'hameçonnage, et quelle est la date cible pour les autres ?
- Comment notre soutien technique vérifie-t-il l'identité de quelqu'un qui demande une réinitialisation de mot de passe ou de MFA, et un appelant peut-il passer cette vérification avec ce qu'il trouve sur LinkedIn ?
- Quels fournisseurs détiennent nos documents les plus sensibles (cabinets d'avocats, comptables, conseillers), et que dit chaque contrat sur le délai de notification ?
Et vous, qu'en pensez-vous ?
Notre position : la MFA par code ou notification est devenue un minimum, plus une protection. Trop sévère ? Dites-nous en commentaire ce que votre organisation a mis en place, et ce qui bloque encore.
Si vous voulez savoir ce qu'un attaquant voit de vous avant de décrocher le téléphone, le rapport d'exposition gratuit le montre en 48 heures. Et trente minutes avec un expert suffisent à passer vos trois questions en revue.
Sources : Centre canadien pour la cybersécurité, alerte AL26-028 (28 oct. 2026) · Centre canadien pour la cybersécurité, bulletin sur l'IA agentique · McCarthy Tétrault, déclaration du 29 oct. · Bennett Jones, avis · BLG, déclaration · Nova Scotia Barristers' Society, alerte de la GRC (27 oct.) · CISA, catalogue KEV · CISA, Implementing Phishing-Resistant MFA. Veille, nommée dans le texte : The Globe and Mail (30 oct.), The Logic (29 oct.), TRM Labs, Chainalysis, Cohere, ransomware.live.