Goodwin Procter, et af de største advokatfirmaer i USA, betalte omkring 10 millioner dollars til afpresningsgruppen kendt som Luna Moth efter et databrud, som firmaet offentliggjorde tidligere i år, ifølge kilder med kendskab til sagen. Betalingen, som angiveligt involverede Brit i en ledende rolle i håndteringen, er en af de største offentligt kendte løsesummer knyttet til et enkelt advokatfirmadatabrud og sætter fokus på, hvordan juridiske institutioner håndterer klientdata, når angriberne banker på.

Hvad skete der hos Goodwin Procter

Detaljerne er stadig begrænsede, men de grundlæggende kendsgerninger er enkle: Goodwin Procter blev tidligere på året ramt af et databud, hændelsen blev offentliggjort, og firmaet endte med at betale en afpresningsgruppe omkring 10 millioner dollars for at undgå, at stjålne data blev lækket eller solgt. Luna Moth, gruppen bag afpresningen, er ikke et kendt navn som nogle ransomware-grupperinger, men dens aktivitet følger et mønster, der er blevet mere og mere almindeligt: angribere får adgang til følsomme filer, eksfiltrerer dem og kræver derefter betaling for at forhindre offentliggørelse snarere end nødvendigvis at kryptere systemer direkte.

Størrelsen på betalingen er bemærkelsesværdig. Løsepengekrav på flere ti millioner har historisk været forbundet med store hospitalsystemer, produktionsvirksomheder eller finansielle institutioner. At et advokatfirma når op på det beløb, viser, hvor værdifulde sagsfiler, klientkommunikation og privilegerede dokumenter er blevet for afpresningsaktører, og hvor meget firmaer er villige til at betale for at holde disse data væk fra offentligheden.

Hvorfor advokatfirmaer er attraktive mål

Advokatfirmaer sidder på en usædvanlig koncentration af følsomt materiale. Retssagsfiler, fusionsdokumenter, personoplysninger knyttet til familie- og arveanliggender samt privilegerede klientkommunikationer passerer alle gennem firmaets servere. I modsætning til en detailhandler eller en sundhedsudbyder berører et advokatfirmas data ofte flere tredjeparter på én gang: klienter, modpartens advokater, domstole og tilsynsmyndigheder. Dette netværk af eksponering giver afpresningsgrupper betydelig indflydelse, fordi en lækage ikke kun skader firmaet, men kan medføre brud på fortrolighedsforpligtelserne over for hver enkelt klient, hvis filer blev berørt.

Denne dynamik afspejler, hvad der er sket i andre sektorer for nylig. Cushman & Wakefield vishing-angrebet viste, hvordan angribere kan udnytte social engineering til at nå dybt ind i en organisations registre, mens hændelser som Napoleon Perdis-databruddet demonstrerer, hvor hurtigt lækkede kundedata ender med at cirkulere offentligt, når en trusselsaktør beslutter at tjene penge på dem. I begge tilfælde – og nu også i Goodwin Procters – er den grundlæggende beregning for ofrene den samme: afvej omkostningerne ved betaling mod omkostningerne og det omdømmemæssige efterspil ved en offentlig lækage.

Hvad dette betyder for dig

For offentligheden kan et advokatfirmas løsepengebetaling synes fjernt fra hverdagens privatlivsbekymringer, men ringvirkningerne er reelle. Hvis du er nuværende eller tidligere klient hos et firma, der er ramt af et sådant brud, kan dine personoplysninger, økonomiske detaljer eller sagsoversigter have været en del af de data, der blev taget, uanset om der i sidste ende blev betalt en løsesum. Betaling garanterer ikke, at data blev ødelagt eller aldrig kopieret andetsteds.

Dette er en del af en bredere tendens, hvor følsomme personoplysninger – hvad enten det drejer sig om juridiske registre, vælgerfiler eller kundedatabaser – behandles som en vare af afpresningsgrupper. Debatten om datahåndtering er heller ikke begrænset til advokatfirmaer; den afspejler bekymringer, der er rejst i diskussioner om deling af vælgerdata og retten til privatliv, hvor institutioner, der opbevarer store mængder personoplysninger, møder stigende kontrol med, hvordan disse oplysninger beskyttes og videregives.

Hvis du har modtaget en meddelelse om databrud fra en organisation, herunder et advokatfirma, så tag den alvorligt, selv hvis beskeden siger, at der er betalt en løsesum, eller at situationen er løst. At betale en afpresningsgruppe køber tavshed på kort sigt, men giver ingen garanti for, at dine data aldrig blev kopieret, solgt eller opbevaret af en sekundær aktør.

Gode råd til læserne

Her er, hvad du kan gøre, hvis du er bekymret for eksponering fra en hændelse som denne:

  • Overvåg al korrespondance om databrud nøje, og antag ikke, at en løst hændelse betyder, at dine data er sikre.
  • Brug kreditovervågning eller beskyttelse mod identitetstyveri, hvis du får besked om, at økonomiske eller personlige oplysninger var involveret.
  • Skift adgangskoder og aktivér flerfaktorautentificering på alle konti, der er knyttet til den berørte organisation.
  • Vær skeptisk over for opfølgende e-mails eller opkald, der henviser til bruddet, da angribere nogle gange bruger lækkede detaljer til at køre sekundære phishing-forsøg.

Sagen om Goodwin Procter er en påmindelse om, at løsepengebetalinger, uanset størrelsen, ikke fjerner den underliggende privatlivsrisiko for de personer, hvis data blev taget. Så længe afpresningsgrupper fortsat angriber organisationer, der opbevarer følsomme registre, er agtpågivenhed over for databrudsmeddelelser og grundlæggende beskyttelsestiltag det mest pålidelige forsvar, den enkelte har.