Silent Ransom Group frappe deux fois le même cabinet d'avocats : 64 000 numéros de sécurité sociale exposés

Le groupe de rançongiciel Silent Ransom Group (SRG), alias Luna Moth, a publié cette semaine les données volées à Troutman Pepper Locke, un cabinet d'avocats américain de plus de 1 600 avocats. C'est la troisième attaque subie par ce cabinet depuis 2023, et la deuxième menée par ce même groupe en un peu plus d'un an. Plus de 64 000 dossiers contenant noms, adresses postales et numéros de sécurité sociale de clients impliqués dans des recours collectifs ont été mis en ligne.

Ce qui s'est passé

Selon l'enquête de DataBreaches.net, SRG revendique une première intrusion physique chez Troutman Pepper Locke (TPL) en avril 2025, via un individu se présentant comme technicien informatique. Le cabinet avait alors notifié un incident limité à un seul ordinateur portable auprès du procureur général du New Hampshire, sans en préciser l'ampleur ni le responsable. SRG affirme aujourd'hui avoir exfiltré un volume bien plus large de données professionnelles lors de cet épisode.

La seconde attaque, entièrement à distance, a eu lieu le 7 août 2026. Face au refus de TPL de payer une rançon de 700 000 dollars, le groupe a publié cette semaine des dossiers marqués « privileged and confidential », des documents de médiation et des tableurs contenant les informations personnelles de justiciables parties à des recours collectifs : identités, numéros de sécurité sociale, parfois données de santé ou de rémunération. TPL n'a fait aucune déclaration publique à ce jour.

Ce cas s'inscrit dans une campagne que Leto avait déjà documentée après l'alerte du FBI de mars 2026 : 38 cabinets d'avocats visés à l'époque, 64 aujourd'hui selon SRG. Le mode opératoire privilégié reste le callback phishing et, comme le montre l'épisode TPL, l'intrusion physique.

Pourquoi c'est important pour les cabinets et organisations opérant en Europe

L'affaire se joue aux États-Unis, sous des régimes de notification étatiques disparates — ce qui explique le flou entretenu par TPL sur l'ampleur réelle de l'incident de 2025. Un cabinet ou une organisation soumis au RGPD n'aurait pas cette latitude : toute violation de données présentant un risque pour les personnes concernées doit être notifiée à la CNIL sous 72 heures (article 33), et les personnes elles-mêmes informées en cas de risque élevé (article 34) — notamment lorsque des numéros d'identification ou des données de santé sont en cause.

Le secteur juridique est une cible de choix précisément parce qu'il concentre des données sensibles pour le compte de tiers : dossiers de contentieux, secrets d'affaires, informations personnelles de parties à des litiges. Un cabinet européen traitant ce type de données pour des clients internationaux resterait responsable, au titre du RGPD, de la protection de ces informations — y compris celles de personnes non-résidentes de l'UE si le traitement relève d'un établissement européen.

Ce que ça change pour les organisations

Trois enseignements opérationnels se dégagent de ce dossier pour les DPO et responsables sécurité :

D'abord, la récidive : SRG a explicitement annoncé cibler à nouveau les organisations qui refusent de payer. Un plan de réponse à incident ne peut donc pas se limiter à la remédiation immédiate ; il doit intégrer l'hypothèse d'un retour de l'attaquant sur la même surface d'attaque.

Ensuite, l'intrusion physique : l'épisode 2025 montre qu'un simple accès physique à un poste de travail suffit à compromettre une part significative du réseau si les contrôles d'accès et la segmentation restent faibles. Les procédures de vérification d'identité en agence ou au bureau méritent le même niveau d'attention que la sécurité périmétrique.

Enfin, la donnée de tiers : les organisations qui traitent des données pour le compte de clients (cabinets, cliniques, prestataires) doivent cartographier précisément quelles données de tiers transitent par leurs systèmes, car ce sont elles, et non l'organisation attaquée seule, qui subissent le préjudice final.

Ce que Leto pense de cette décision

Le silence prolongé de Troutman Pepper Locke illustre un écart de fond entre la culture de communication de crise outre-Atlantique et les obligations qu'impose le RGPD. Aux États-Unis, l'absence de loi fédérale unifiée sur la notification des violations laisse une marge d'appréciation que Leto avait déjà pointée à propos d'un autre dossier resté sans notification pendant quatre mois. En Europe, ce silence serait déjà une infraction en soi, indépendamment de la gravité de la fuite elle-même. Pour un cabinet français, la meilleure protection contre ce type de campagne reste la préparation en amont : un registre à jour des sous-traitants et de leurs accès, un plan de réponse au ransomware testé, et un réflexe de notification qui ne dépend pas du rapport de force avec l'attaquant.

Sources : DataBreaches.net, 21 août 2026