Kirkland & Ellis LLP : Clop et leakeddata se disputent la revendication

Les faits

Le 22 octobre 2026, le groupe ransomware opérant sous le nom leakeddata — également identifié comme SilentRansomGroup par les chercheurs en sécurité de Recorded Future — publie Kirkland & Ellis LLP sur son portail d'extorsion darkweb. Kirkland & Ellis, fondée en 1909 à Chicago, est régulièrement classée premier cabinet d'avocats mondial par revenus dans le classement Am Law 100, avec un chiffre d'affaires dépassant 5,4 milliards de dollars en 2025 et plus de 3 200 avocats répartis dans 21 bureaux dans le monde.

La revendication intervient dans un contexte troublant : quelques semaines plus tôt, le groupe Clop avait également mentionné Kirkland & Ellis dans ses publications. La revendication Clop, datée du 23 septembre 2026, ne contenait aucune preuve matérielle de compromission au moment de sa publication. Ce phénomène de double revendication — voire de revendications sans preuve — est devenu courant dans l'écosystème ransomware de 2026 : des groupes cherchent à capitaliser sur la notoriété d'une victime potentielle pour générer de la pression ou simplement de la couverture médiatique, même sans intrusion réelle.

Pour la revendication de leakeddata, les premières analyses du cabinet spécialisé en recours collectifs Migliaccio & Rathod LLP, publié le 23 octobre 2026, indiquent que les informations affectées incluent des données sensibles et personnelles. Le cabinet n'a pas encore précisé la nature exacte des documents exfiltrés, mais la nature même de l'activité de Kirkland & Ellis donne une indication de l'ampleur potentielle : le cabinet conseille des entreprises du Fortune 500 dans des transactions de fusion-acquisition, des opérations de capital-investissement, des procédures d'arbitrage international et des affaires criminelles de haut profil.

leakeddata (SilentRansomGroup) opère selon un modèle de ransomware-as-a-service (RaaS) financièrement motivé. Sa tactique principale consiste à exfiltrer d'abord des données, puis à les utiliser comme levier d'extorsion en menaçant de publication publique. Cette approche de « double extorsion » est désormais standard dans le secteur du cybercrime organisé. Le groupe est actif depuis au moins 2025 et a ciblé principalement des cabinets d'avocats, des firmes de conseil financier et des prestataires de santé — trois secteurs caractérisés par des obligations de confidentialité très strictes qui amplifieront la pression sur les victimes.

Un précédent notable illustre la vulnérabilité structurelle des cabinets d'avocats face aux ransomwares : en novembre 2023, le cabinet Allen & Overy (aujourd'hui A&O Shearman après sa fusion avec Shearman & Sterling) avait été attaqué par LockBit, exposant des données de clients dont plusieurs grandes banques. En 2017, DLA Piper avait subi des dommages massifs lors de l'épidémie NotPetya, avec des semaines d'interruption opérationnelle. Ces précédents n'ont pas conduit à une transformation radicale des pratiques de cybersécurité dans la profession juridique.

La nature des données détenues par un cabinet comme Kirkland & Ellis représente une valeur extraordinaire sur le marché noir de l'information. Un dossier de fusion-acquisition non public peut contenir des informations susceptibles d'alimenter des délits d'initiés. Des stratégies de défense dans des affaires criminelles ou des procédures réglementaires pourraient être utilisées pour contrer ces stratégies. Des correspondances entre avocats et clients, protégées par le secret professionnel, pourraient être exploitées à des fins de chantage ou de pression dans des litiges en cours.

La question du vecteur d'accès initial reste non divulguée. Les attaques contre les cabinets d'avocats exploitent fréquemment des vulnérabilités dans les systèmes de gestion de documents juridiques (iManage, NetDocuments), les portails extranet clients, ou des accès VPN mal sécurisés utilisés par des équipes réparties mondialement. La multiplicité des bureaux et la culture de mobilité des avocats (accès fréquent depuis des hôtels, des aéroports, des transports) créent une surface d'attaque étendue difficile à maîtriser.

À la date du 24 octobre 2026, ni Kirkland & Ellis ni ses partenaires de communication n'ont émis de déclaration publique. Cette posture de silence, fréquente dans un premier temps pour limiter la panique et permettre une réponse incident structurée, ne devrait pas pouvoir durer longtemps si une compromission réelle est confirmée, notamment en raison des obligations de notification aux clients concernés et, selon les juridictions, aux autorités réglementaires.

Impact et exposition

Les clients de Kirkland & Ellis — grandes entreprises, fonds de private equity, institutions financières — doivent considérer leurs dossiers en cours comme potentiellement exposés jusqu'à confirmation du contraire. Les informations privilégiées contenues dans ces dossiers sont d'une sensibilité extrême. Les acteurs de la menace pourraient exploiter ou revendre ces données à des concurrents, des régulateurs adverses, ou des États-nations intéressés par les affaires en cours.

Recommandations

• Les clients de Kirkland & Ellis : contacter directement votre interlocuteur au cabinet pour obtenir une clarification sur l'impact potentiel sur vos dossiers en cours.
• Les DSI en charge de partenariats avec des cabinets d'avocats : établir un inventaire des données partagées avec vos conseils extérieurs et évaluer le risque tiers.
• Pour les cabinets juridiques : implémenter un chiffrement de bout en bout sur tous les documents clients, segmenter les accès par dossier et par avocat responsable.
• Mettre en place une surveillance des publications darkweb concernant votre organisation via des services spécialisés (Recorded Future, KELA, SOCRadar).