Dvě významné advokátní kanceláře informovaly klienty, že jejich data byla zasažena útokem, který cílil na lidi, nikoli na software. Holland & Knight a Squire Patton Boggs zveřejnily informace o únicích v říjnu 2026 a po útoku založeném na sociálním inženýrství informovaly 14 klientů. Tento případ je užitečnou připomínkou toho, jak funguje incident sociálního inženýrství při úniku dat v advokátní kanceláři, a toho, co mohou klienti na přijímající straně udělat.

Zdrojové zpravodajství je stručné, proto se tento příspěvek drží toho, co bylo potvrzeno, a vysvětluje obecnou mechaniku tohoto typu útoku. Nespekuluje o tom, jaká data byla odcizena ani kdo za tím stál.

Co Holland & Knight a Squire Patton Boggs zveřejnily

Podle zpravodajství obě kanceláře zveřejnily informace o bezpečnostních incidentech v říjnu 2026. Mezi nimi bylo informováno 14 klientů. Příčina byla popsána jako útok založený na sociálním inženýrství.

Zdroj neuvádí, jaké typy informací byly odhaleny, jak dlouho měli útočníci přístup ani jak byl podvod proveden. Dokud kanceláře nebo regulační orgány nezveřejní více, tyto otázky zůstávají otevřené. Pokud jste klientem jedné z těchto kanceláří, oznámení, které obdržíte, je autoritativním zdrojem toho, co se na vás vztahuje.

Jak sociální inženýrství překonává obranu advokátních kanceláří

Sociální inženýrství znamená oklamat člověka, aby udělal něco, co pomůže útočníkovi, například sdílel heslo, schválil přihlašovací výzvu, otevřel soubor nebo předal informace. Nepotřebuje překonat firewall ani zneužít softwarovou chybu. Potřebuje pouze jednu přesvědčivou zprávu, která se dostane k jednomu zaneprázdněnému zaměstnanci.

Proto mají technické obrany samy o sobě své limity. Šifrování, monitorování sítě a přístupové kontroly všechny předpokládají, že lidé, kteří drží klíče, je používají správně. Útočník, který se vydává za kolegu, klienta nebo IT helpdesk, může tyto kontroly někdy obejít tím, že požádá legitimního uživatele, aby otevřel dveře.

Mezi běžné obrany, na které se organizace spoléhají, patří:

  • Vícefaktorové ověřování odolné vůči phishingu, jako jsou hardwarové bezpečnostní klíče
  • Postupy ověřování neobvyklých požadavků, jako je zpětné volání na známé číslo
  • Omezení toho, kdo může přistupovat ke kterým klientským souborům
  • Pravidelné školení zaměstnanců a simulovaná phishingová cvičení

Žádné jednotlivé opatření není neprůstřelné, proto záleží na vrstvených kontrolách.

Proč jsou klientská data v profesních službách vystavena riziku

Advokátní kanceláře drží koncentrovanou směs informací: smlouvy, finanční záznamy, osobní údaje a korespondenci spojenou s jejich klienty. To z nich činí atraktivní místo, kam se podívat, protože jeden úspěšný průnik může zasáhnout mnoho klientů najednou.

Z pohledu klienta existuje také mezera v důvěře. Kancelář si vybíráte pro její odbornost a diskrétnost, ale její interní bezpečnostní postupy vidíte jen zřídka. Vaše data jsou jen tak v bezpečí, jaké jsou návyky lidí, kteří s nimi zacházejí, a vy máte nad těmito návyky jen malou kontrolu. Zveřejnění těchto dvou kanceláří ukazuje, že i velké, dobře vybavené organizace mohou být zasaženy, když jeden podvod uspěje.

Co to znamená pro vás

Pokud jste jedním ze 14 informovaných klientů, pečlivě si přečtěte své oznámení a postupujte podle pokynů v něm uvedených. Pokud nejste, platí stejné zásady pro jakoukoli kancelář, banku nebo poskytovatele, který uchovává vaše informace.

Několik praktických kroků:

  • Přístupujte k následným zprávám s podezřením. Po úniku se útočníci někdy vydávají za postiženou organizaci. Neklikejte na odkazy v neočekávaných e-mailech nebo SMS o incidentu. Kontaktujte kancelář pomocí telefonního čísla nebo adresy, kterým již důvěřujete.
  • Zkontrolujte hygienu svých přihlašovacích údajů. Používejte jedinečné heslo pro každý účet, ukládejte je do správce hesel a zapněte vícefaktorové ověřování všude, kde je nabízeno. Pokud jste znovu použili heslo kdekoli spojeném s tímto vztahem, změňte ho.
  • Zeptejte se, co bylo odhaleno. Klienti mají plné právo zeptat se kanceláře, jaká data byla zahrnuta a co dělá pro prevenci opakování.
  • Zapněte monitorování oznámení o únicích. Mnoho prohlížečů, správců hesel a úvěrových služeb vás může upozornit, když se vaše e-mailová adresa nebo jiné údaje objeví ve známém úniku.
  • Sledujte své účty. V nadcházejících měsících věnujte pozornost finančním výpisům a neobvyklým upozorněním na přihlášení.

Pro širší pohled na kroky, které je třeba podniknout, když jsou osobní údaje zasaženy velkým incidentem, se podívejte na naše pokrytí úniku dat společnosti Carnival Corporation, který zasáhl přibližně 6 milionů lidí.

Závěrem

Zveřejnění Holland & Knight a Squire Patton Boggs ukazují, že útok sociálního inženýrství při úniku dat v advokátní kanceláři nepotřebuje pokročilý malware, aby se dostal k citlivým klientským informacím. Potřebuje přesvědčivou záminku a člověka ochotného jí uvěřit. Kanceláře nesou hlavní odpovědnost za školení zaměstnanců a začlenění ověřování do svých rutin, ale klienti nejsou bezmocní.

Začněte ještě dnes: proveďte audit svých hesel, zapněte vícefaktorové ověřování, nastavte upozornění na úniky a buďte obezřetní vůči jakékoli zprávě odkazující na tyto incidenty. Tyto malé návyky omezují škody, pokud je oklamán zaměstnanec někoho jiného.