Cyber-attaque du 29 octobre 2026 : l’O.B.F.G. informe les personnes concernées et répond aux questions les plus fréquentes que vous nous avez posées

Vous avez appris par la Tribune Flash du 30 octobre que des données relatives à des avocat.e.s avaient fait l’objet d’un hacking frauduleux et avaient été proposées à la vente en ligne par des personnes non encore identifiées.

Nous informons l’ensemble des personnes concernées des suites de cette cyber-attaque et répondons aux questions les plus fréquemment posées (en application de l’article 34 du RGPD) :

• Nature de la violation des données : il s’agit d’une violation de la confidentialité par un accès non autorisé, puis par la divulgation (mise en vente sur le dark web), de données de contact et d'identification, à la suite d’un hacking frauduleux de l’un de nos logiciels de gestion.
• Conséquences probables : un risque d'usurpation d'identité, d'hameçonnage ciblé (phishing), de « smishing » (SMS frauduleux), d'appels et de sollicitations frauduleuses est toujours possible ; ce risque est plus important pour les personnes dont des données privées (adresse de domicile, courriel privé, numéro de GSM) ont été hackées (voir la question 3 ci-dessous).
• Mesures prises : dans les minutes qui ont suivi la connaissance de cette cyber-attaque, l’O.B.F.G. a immédiatement activé sa cellule de gestion des fuites de données, ce qui a permis d’identifier et neutraliser très rapidement la source de l’incident (dans les deux heures de sa connaissance). Nous avons en même temps renforcé les mesures de sécurité à l’accès de nos données et avons par précaution réinitialisé les accès de notre personnel à nos logiciels de gestion.
  Dans le respect de notre procédure interne de gestion de fuite de données, avec le concours de Me Saba Parsa, notre déléguée à la protection des données, nous avons assuré le suivi des obligations découlant du RGPD et une déclaration a été faite le 30 octobre 2026 à l’Autorité de Protection des Données (APD). Une plainte pénale sera également déposée par l’O.B.F.G.
• Coordonnées du point de contact : des informations complémentaires peuvent être obtenues auprès de la déléguée à la protection des données de l'OBFG, à l'adresse suivante : dpo@obfg.be.

Réponses aux questions les plus fréquemment posées

Q1. Que s'est-il passé ?

Le 29 octobre 2026 dans la matinée, l’O.B.F.G. a été informé d’une fuite de données résultant d’une cyber-attaque visant un de ses logiciels de gestion et que des données faisant l’objet de ce hacking frauduleux étaient proposées à la vente en ligne (sur le dark web) par des personnes non encore identifiées.

Cet incident de sécurité a été identifié et neutralisé le jour même, dans les deux heures de sa connaissance.

L'incident a été notifié à l'APD dès le 30 octobre 2026 (dans un délai de 24 à 48 heures).

Q2. Mes données sont-elles concernées ?

Les données d'identification professionnelle (nom, prénom, coordonnées professionnelles, statut, mail, adresse de cabinet) de l’ensemble des avocat.e.s des barreaux de l’O.B.F.G. sont concernées par cette cyber-attaque. Ces informations sont cependant publiques et disponibles sur www.avocats.be.

Certaines données d'identification privée des avocat.e.s (nom, prénom, coordonnées privées : mail, adresse de domicile) sont également concernées, mais uniquement si l’avocat.e les a renseignées comme données de contact à destination des barreaux et de ses consœurs et confrères.

Des contacts concernant d’autres personnes, enregistrés dans le logiciel de gestion qui a fait l’objet de la cyber-attaque, sont également concernés. Il s’agit des personnes ayant suivi ou fourni des formations à un barreau ou à l’OBFG, et plus généralement toutes celles dont les coordonnées de contact ont été utilisées par les barreaux : pour ces personnes, des données à caractère personnel, renseignées comme données de contact, ont été hackées, qu’il s’agisse de données de nature professionnelle ou privée.

La nature privée ou professionnelle des données personnelles ayant été piratées dépend ainsi de la nature des données que vous avez partagées vous-même, comme indiqué ci-après.

Q3. Comment savoir si mes données privées sont concernées ?

Sont susceptibles d'être concernées les coordonnées privées que vous avez vous-même renseignées (par exemple : adresse e-mail privée, adresse de domicile, numéro de GSM privé).

Pour une vérification de votre situation individuelle, écrivez à dpo@obfg.be ou accédez à votre fiche sur l’application LGO (onglet « Mes données »).

Q4. Mes données bancaires, mon numéro de registre national ou mes mots de passe sont-ils concernés ?

Selon l'analyse en cours, NON.

La cyber-attaque porte UNIQUEMENT sur des données de contact et d'identification ; n'y figurent ni coordonnées bancaires, ni numéro de registre national, ni mots de passe. Aucune donnée sensible au sens de l'article 9 ou 10 du RGPD n'est concernée.

Q5. Quelles précautions prendre ?

Que faire concrètement ?

• modifier votre mot de passe ;
• vérifier les paramètres de votre compte, en particulier toute redirection de courriel et les adresses de récupération ;
• rester vigilant face aux courriels, SMS et appels inhabituels ou pressants dans les prochaines semaines ;
• ne jamais communiquer identifiants, mots de passe ou coordonnées bancaires à la suite d'une sollicitation reçue ;
• signaler tout incident à dpo@obfg.be.

Comment vérifier qu'une communication est celle de l’O.B.F.G. ou de mon Barreau ?

Vérifiez toujours l’expéditeur d’un email que vous recevriez ou le lien que vous recevez ! Soyez particulièrement attentif au nom de domaine de l’adresse de l’expéditeur (qui se trouve par exemple juste après le @ dans une adresse email : dans l’adresse dpo@obfg.be, le nom de domaine est obfg.be).

Pour l’OBFG, les noms de domaines utilisés sont les suivants :

• avocats.be (utilisé par nos plateformes web et pour nos adresses emails)
• avocat.be (utilisé exclusivement pour les adresses email des avocat·e·s)
• obfg.be (utilisé pour les adresses email des membres du Conseil d’administration et des collaborateur·rice·s de l'Ordre des Barreaux francophones et germanophone)
• hub-avocats.be (utilisé pour nos envois d'emails transactionnels)
• dp-a.be (utilisé par les plateformes mises à disposition par la DPA)
• contactoffice.com (utilisé par notre plateforme de gestion des emails avocat.be)

Une adresse email ou un site internet dont le nom de domaine ne figure pas dans la liste ci-dessus sera dans tous les cas un élément sur lequel l’O.B.F.G. n’exerce aucun contrôle.

Les variantes suivantes (appelées sous-domaines) sont également utilisées :

• lgi.avocats.be (pour le LGI, soit notre Logiciel de Gestion Interne)
• lgo.avocats.be (pour le LGO, soit le Logiciel de Gestion des Ordres)
• extranet.avocats.be (pour nos Extranets)
• mail.hub-avocats.be (pour l'envoi de notre Tribune)
• lgi.hub-avocats.be (pour les notifications automatiques de notre LGI)

Pour plus d’informations sur cet aspect, veuillez consulter la page suivante : Les sites et adresses email de l'Ordre des Barreaux | LGI - AVOCATS.BE.

Nous vous rappelons notre site officiel : www.avocats.be.

En cas de doute sur un message, ne cliquez pas sur les liens reçus : rendez-vous directement sur www.avocats.be ou écrivez à dpo@obfg.be.

Q6. E-mails suspects — « j'ai (peut-être) cliqué »

J'ai reçu un courriel suspect (fausse facture, etc.). Est-ce lié à cette cyber-attaque ?

Des campagnes d'hameçonnage pourraient exploiter la diffusion des coordonnées. Ne cliquez pas sur les liens suspects, n'ouvrez pas les pièces jointes, et transmettez le message suspect à dpo@obfg.be.

J'ai ouvert une pièce jointe ou cliqué sur un lien. Dois-je m'inquiéter ?

Par précaution : lancez un scan antivirus complet, changez vos mots de passe depuis un appareil sain, vérifiez les redirections et règles de votre messagerie, activez la MFA, et signalez l'incident.

Le simple fait de recevoir un tel message, sans interaction, ne compromet pas votre sécurité.

Q7. Mes droits

Comment exercer mon droit d'accès (article 15 du RGPD) ?

Adressez votre demande à dpo@obfg.be. Vous avez droit à une copie des données vous concernant, aux finalités, catégories, durées de conservation, destinataires et à la source des données. La réponse intervient dans un délai d'un mois (art. 12 §3 RGPD), prolongeable pour les demandes complexes.

Puis-je introduire une réclamation ?

Oui, auprès de notre DPO à l’adresse : dpo@obfg.be, ou encore de l'Autorité de protection des données — rue de la Presse 35, 1000 Bruxelles — www.autoriteprotectiondonnees.be.

Et la suite ?

Serai-je informé·e en cas d'évolution ?

Oui. Les investigations se poursuivent et l’O.B.F.G. continuera à communiquer les informations utiles par ses canaux officiels habituels (courriel, « La Tribune », www.avocats.be).

Karim DAOUD
Administrateur en charge de l’informatique

François MASQUELIN
Administrateur en charge de la compliance

Saba PARSA
Déléguée à la protection des données de l’O.B.F.G.