Cybersécurité pour cabinet d’avocats et étude de notaire au Maroc : secret professionnel et mesures prioritaires

La réponse courte : un cabinet d’avocats ou une étude de notaire n’a pas seulement des données à protéger, il a un secret à garder. Les dossiers contiennent des contentieux, des projets de cession, des successions, des patrimoines, et l’étude de notaire voit en plus passer des fonds de tiers à chaque vente. Les priorités, dans l’ordre : double authentification sur la messagerie et les accès distants, procédure écrite contre la fraude au RIB, droits d’accès par dossier, postes chiffrés et protégés par un EDR, échanges de documents chiffrés, encadrement des prestataires, et sauvegarde hors ligne testée avec un mode de fonctionnement dégradé.

Chez ALLSAFE SOLUTIONS, nous accompagnons depuis Casablanca les professions réglementées sur leur informatique et leur sécurité (voir notre page informatique pour cabinets comptables et juridiques). Ce guide liste ce que nous mettons en place en premier. Il ne constitue pas un avis juridique : les points de droit se valident avec votre barreau, votre conseil régional ou votre conseil habituel.

Pourquoi ces professions sont des cibles

La référence la plus détaillée sur le sujet vient de France : le rapport de l’ANSSI (l’agence française de cybersécurité) « État de la menace informatique contre les cabinets d’avocats », daté du 27 juin 2023. Il n’existe pas, à notre connaissance, d’équivalent public marocain, mais ses constats sur les méthodes des attaquants ne dépendent pas d’une frontière. L’agence distingue trois grandes menaces :

Menace	Objectif de l’attaquant	Ce que cela donne pour un cabinet
Attaques lucratives	Extorquer des fonds, revendre des données, frauder	Rançongiciel, faux virement, vol de dossiers de cession avant leur annonce
Espionnage	Surveiller un avocat ou, à travers lui, ses clients	Messagerie lue en silence, logiciel espion sur un téléphone
Déstabilisation	Nuire à une réputation, peser sur une affaire	Divulgation de documents par des groupes militants

L’ANSSI précise que les attaques lucratives restent la principale menace en nombre, et que la surface d’attaque s’étend avec la numérisation de la profession et des procédures. C’est aussi vrai au Maroc : les avocats échangent de plus en plus par voie électronique avec les juridictions, et les notaires déposent leurs dossiers en ligne auprès de la Conservation foncière (ANCFCC).

Ce que disent les textes

Cadre	Ce qu’il implique
Loi 66-23 (avocats)	Publiée au Bulletin officiel le 20 août 2026 selon la presse, elle est appelée à remplacer la loi 28-08 et réaffirme le secret professionnel. Vérifiez la rédaction exacte avec votre barreau
Loi 32-09 (notaires)	L’article 24 impose le secret professionnel au notaire, à ses stagiaires et à ses salariés ; l’article 33 encadre le dépôt des fonds de tiers à la Caisse de Dépôt et de Gestion (CDG)
Code pénal, article 446	Sanctionne la violation du secret professionnel
Loi 09-08 (données personnelles)	Dossiers clients, pièces d’identité, données de salariés : sécurité à assurer, traitements à encadrer, CNDP comme autorité de contrôle

Pour le détail, voir notre guide sur la loi 09-08 et la CNDP. Le statut de la loi 66-23 reste récent et contesté par une partie de la profession ; nous ne citons donc aucun de ses articles ici.

Les mesures prioritaires

Priorité	Mesure	Ce qu’elle évite
1	Double authentification partout, associés compris	La lecture silencieuse d’une messagerie
2	SPF, DKIM et DMARC sur le domaine	Les faux e-mails envoyés au nom du cabinet
3	Procédure anti-fraude au RIB	Un solde de vente versé à un escroc
4	Droits d’accès par dossier, murailles entre équipes	Qu’un compte compromis expose tous les clients
5	Postes professionnels chiffrés, sans droits d’administrateur	Un portable oublié au tribunal qui devient une fuite
6	EDR supervisé et correctifs rapides	Un rançongiciel détecté trop tard
7	Échanges de pièces chiffrés et datés	Un dossier sensible en pièce jointe, transféré sans contrôle
8	Prestataires encadrés et tracés	L’accès non maîtrisé de tiers aux dossiers
9	Sauvegarde immuable et copie hors ligne	Des actes et archives perdus
10	Mode dégradé prévu à l’avance	Une audience ou une signature manquée pendant une panne

1 et 2 : la messagerie d’abord

La messagerie contient l’essentiel de la vie d’un dossier. Activez la double authentification pour tout le monde : les exemptions accordées aux associés visent précisément les comptes les plus intéressants. Notre guide de déploiement de la MFA détaille la méthode, et nos 10 réglages pour sécuriser Microsoft 365 couvrent le reste. Contrôlez aussi les règles de transfert automatique : c’est un moyen classique de lire le courrier d’un avocat sans jamais se reconnecter. Publiez ensuite SPF, DKIM et DMARC pour empêcher l’usurpation de votre domaine.

3 : la fraude au RIB, le risque propre aux études

Le notaire reçoit les fonds de tiers et les dépose à la CDG, puis règle le vendeur, l’administration et les créanciers. Le scénario à redouter est simple : un escroc qui lit une messagerie repère une vente sur le point d’aboutir et envoie un faux RIB, au bon moment, avec le bon ton. Le Conseil national des barreaux français signale aussi ce risque de changement frauduleux de RIB côté avocats. La parade tient en trois règles écrites :

• aucun RIB accepté ou modifié sur la seule foi d’un e-mail ou d’un PDF ;
• rappel à un numéro déjà connu, jamais celui figurant dans le message ;
• seconde validation pour chaque règlement, sans exception pour l’urgence.

Annoncez-le dès l’ouverture du dossier : « l’étude ne vous demandera jamais de changer de RIB par e-mail ». Le jour où le message arrive, le client sait quoi en penser. Les portails bancaires et les canaux de paiement à distance méritent eux aussi une double authentification et des habilitations nominatives.

4 : le besoin d’en connaître

Dans beaucoup de cabinets, tout le monde voit tout, car le partage de fichiers a grandi sans plan. Or deux associés peuvent suivre des clients aux intérêts opposés. Organisez un espace par dossier ou par équipe, avec des droits attribués à la demande et révoqués à la clôture, et un groupe restreint pour les affaires les plus sensibles. Côté identifiants, utilisez un gestionnaire de mots de passe d’entreprise pour les plateformes et portails partagés, et jamais un tableur.

5 et 6 : les postes, au cabinet comme au tribunal

Un portable d’avocat circule : audiences, rendez-vous, domicile. Il doit être chiffré avec BitLocker, géré à distance pour pouvoir être effacé en cas de vol, et protégé par un EDR plutôt qu’un simple antivirus. L’ANSSI recommande aussi de retirer les droits d’administrateur, d’interdire l’installation de logiciels par l’utilisateur et de limiter les clés USB à celles du cabinet : à retenir pour les supports remis par un client ou un adversaire.

Elle recommande également de proscrire les équipements personnels. Si un téléphone personnel reste toléré, encadrez au moins l’accès aux données du cabinet avec Microsoft Intune, et traitez à part les personnes les plus exposées, pour qui le risque de logiciel espion n’est pas théorique : système à jour, téléphone distinct pour les affaires sensibles.

7 : échanger des pièces sans les éparpiller

L’e-mail reste le canal habituel, et il garde des copies partout. Trois améliorations simples :

• Un espace d’échange par dossier, avec des liens réservés aux personnes invitées et une date d’expiration.
• Le chiffrement des messages sensibles. Microsoft 365 Business Premium inclut Microsoft Purview Message Encryption et les étiquettes de confidentialité manuelles, qui peuvent suivre un document hors du cabinet.
• Une règle sur l’IA générative. Coller une pièce de procédure ou un projet d’acte dans un service d’IA grand public revient à la confier à un tiers. Voir notre guide sur le shadow IT et l’IA générative, à compléter par une charte informatique.

Pensez aussi aux copieurs multifonctions, très sollicités pour numériser les actes et les pièces : ils peuvent conserver des documents sur leur disque et envoyer des scans vers des boîtes mail. Notre guide sur la sécurité des imprimantes multifonctions liste les réglages utiles.

8 : vos prestataires, y compris nous

C’est la première recommandation de l’ANSSI : analyser les risques de chaque hébergeur, intégrateur, mainteneur et éditeur, en incluant leurs effets sur le secret professionnel. Pour un cabinet, cela se traduit par des exigences concrètes :

• clause de confidentialité au contrat, adaptée au secret professionnel ;
• comptes nominatifs avec double authentification, jamais de compte « admin » partagé ;
• interventions tracées, et sur site en votre présence quand c’est possible ;
• localisation des données connue, y compris pour les services cloud : voir notre guide sur le transfert de données hors du Maroc.

Demandez ces garanties à tout infogérant, nous compris.

9 et 10 : sauvegarde et mode dégradé

Appliquez la règle 3-2-1 avec une copie immuable, et n’oubliez pas la messagerie (voir la sauvegarde Microsoft 365). L’ANSSI ajoute une copie hors ligne régulière, conservée dans un lieu physique sécurisé.

Prévoyez enfin le fonctionnement sans le système habituel : poste de secours, canal de communication de repli, liste papier des audiences ou des signatures à venir, numéros à appeler. Un plan de réponse à incident fixe aussi qui décide de prévenir les clients et l’ordre, sujet à préparer avec votre conseil avant la crise. Pour l’accès à distance, passez par un VPN ou ZTNA avec double authentification, jamais par un bureau à distance exposé.

Ce qui change pour une étude de notaire

La profession a déjà beaucoup numérisé ses échanges. Trois points méritent une attention particulière :

• Les plateformes de la profession et de l’administration. Le dépôt en ligne auprès de l’ANCFCC, le paiement à distance des droits via les canaux de la CDG (CDGNET+, CDG Mobile) et le portail Tadbirnot du Conseil national de l’Ordre des notaires, qui prévoit signature électronique à distance et archivage des actes, reposent sur les habilitations de l’étude. Ces accès doivent être nominatifs, jamais prêtés à un collaborateur « pour aller plus vite », et retirés dès son départ.
• Les certificats et supports de signature. Une clé ou un certificat laissé en permanence sur le poste d’une secrétaire annule une bonne partie de la sécurité. Rangez-les, et limitez qui peut les utiliser.
• Les archives. Le notaire n’est pas propriétaire de ses archives : elles sont transmises à son successeur ou remplaçant lors d’un changement. Les copies numériques et leurs sauvegardes doivent donc rester lisibles et transférables dans la durée, sans dépendre d’un compte personnel ou d’un logiciel non maintenu.

Les erreurs que nous rencontrons

1. Associés exemptés de la double authentification parce qu’ils se déplacent beaucoup.
2. Serveur de fichiers ouvert à tous, sans distinction de dossiers ou d’équipes.
3. Messagerie gratuite utilisée pour des échanges clients, ou boîte générique partagée.
4. Disque USB de sauvegarde branché en permanence, chiffré en même temps que le serveur.
5. Anciens collaborateurs dont les comptes et accès aux plateformes restent actifs.
6. Prestataire avec un accès permanent à tout, sans contrat ni trace de ses interventions.
7. RIB communiqués par e-mail, sans rappel ni seconde validation.

Checklist pour démarrer

• Activer la double authentification sur tous les comptes, sans exception.
• Vérifier les règles de transfert automatique des messageries.
• Publier SPF, DKIM et DMARC.
• Rédiger la procédure anti-fraude au RIB et prévenir les clients.
• Faire l’inventaire des dossiers sensibles et revoir les droits d’accès.
• Vérifier le chiffrement des portables, l’EDR et les droits d’administrateur.
• Recenser les prestataires et les accès qu’ils détiennent.
• Tester une restauration, puis écrire le plan de reprise d’activité et le mode dégradé.
• Sensibiliser toute l’équipe à l’aide de notre guide phishing en PME au Maroc, secrétariat compris.

Sur le sujet voisin, voir aussi notre guide sur la cybersécurité des cabinets comptables et fiduciaires.

Comment nous procédons

Nous commençons par un audit : messagerie, postes, partage de fichiers, sauvegardes, accès distants et accès des tiers. Nous livrons une liste d’actions classées par priorité, puis les mettons en œuvre sans bloquer l’activité, en tenant compte du calendrier des audiences et des signatures. Ensuite, postes, serveurs et sauvegardes sont supervisés 24/7, avec une prise en charge des incidents critiques en moins de 15 minutes.

Découvrez notre offre de cybersécurité des entreprises au Maroc et notre offre d’infogérance au Maroc, puis demandez votre audit initial offert : nous vous répondons sous 24 h ouvrées.

Sources : ANSSI, « État de la menace informatique contre les cabinets d’avocats » (27 juin 2023) ; Conseil national des barreaux (août 2026) ; sur la loi 66-23, Le360 et Le Matin ; sur la loi 32-09 et les archives, La Vie éco ; sur la numérisation du notariat, Finances News : Tadbirnot et paiement CDG-ANCFCC ; Microsoft Learn : protection des informations avec Business Premium ; CNDP pour la loi 09-08.