To store advokatfirmaer har fortalt klienter, at deres data blev fanget i et angreb, der var rettet mod mennesker frem for software. Holland & Knight og Squire Patton Boggs offentliggjorde brud i oktober 2026 og underrettede 14 klienter efter et social-engineering-angreb. Sagen er en nyttig påmindelse om, hvordan en hændelse med databrud via social engineering hos et advokatfirma fungerer, og om hvad de berørte klienter kan gøre ved det.

Kilderapporteringen er kortfattet, så dette indlæg holder sig til det, der er bekræftet, og forklarer den generelle mekanik i denne type angreb. Det spekulerer ikke i, hvilke data der blev taget, eller hvem der stod bag.

Hvad Holland & Knight og Squire Patton Boggs offentliggjorde

Ifølge rapporteringen offentliggjorde begge firmaer sikkerhedshændelser i oktober 2026. Tilsammen blev 14 klienter underrettet. Årsagen blev beskrevet som et social-engineering-angreb.

Kilden beskriver ikke, hvilke typer oplysninger der blev eksponeret, hvor længe angriberne havde adgang, eller hvordan bedrageriet blev udført. Indtil firmaerne eller myndighederne offentliggør mere, forbliver disse spørgsmål åbne. Hvis du er klient hos et af firmaerne, er den underretning, du modtager, den autoritative kilde til, hvad der gælder for dig.

Hvordan social engineering kommer forbi advokatfirmaers forsvar

Social engineering betyder at narre en person til at gøre noget, der hjælper en angriber, såsom at dele en adgangskode, godkende en login-meddelelse, åbne en fil eller udlevere oplysninger. Det behøver ikke at overvinde en firewall eller udnytte en softwarefejl. Det behøver kun én overbevisende besked til én travl medarbejder.

Derfor har tekniske forsvar alene deres begrænsninger. Kryptering, netværksovervågning og adgangskontroller forudsætter alle, at de personer, der holder nøglerne, bruger dem korrekt. En angriber, der udgiver sig for at være en kollega, en klient eller en IT-helpdesk, kan nogle gange omgå disse kontroller ved at bede en legitim bruger om at åbne døren.

Almindelige forsvar, som organisationer er afhængige af, omfatter:

  • Phishing-resistent multifaktorautentificering, såsom hardware-sikkerhedsnøgler
  • Verifikationsprocedurer for usædvanlige anmodninger, som at ringe tilbage på et kendt nummer
  • Begrænsning af, hvem der kan få adgang til hvilke klientfiler
  • Regelmæssig personaletræning og simulerede phishing-øvelser

Ingen enkelt foranstaltning er idiotsikker, og derfor er lagdelte kontroller vigtige.

Hvorfor klientdata hos professionelle servicevirksomheder er udsat

Advokatfirmaer besidder en koncentreret blanding af oplysninger: kontrakter, finansielle registreringer, personlige oplysninger og korrespondance knyttet til deres klienter. Det gør dem til et attraktivt sted at kigge, fordi et enkelt vellykket indbrud kan berøre mange klienter på én gang.

Fra en klients perspektiv er der også et tillidsgab. Du vælger et firma for dets ekspertise og diskretion, men du ser sjældent dets interne sikkerhedspraksis. Dine data er kun så sikre som vanerne hos de personer, der håndterer dem, og du har ringe kontrol over disse vaner. Offentliggørelserne fra disse to firmaer viser, at selv store, velressourcestærke organisationer kan blive påvirket, når ét bedrageri lykkes.

Hvad det betyder for dig

Hvis du er en af de 14 underrettede klienter, så læs din meddelelse omhyggeligt og følg eventuelle instruktioner i den. Hvis du ikke er, gælder de samme principper for ethvert firma, enhver bank eller udbyder, der opbevarer dine oplysninger.

Et par praktiske trin:

  • Behandl opfølgningsbeskeder med mistanke. Efter et brud udgiver angribere sig nogle gange for at være den berørte organisation. Klik ikke på links i uventede e-mails eller sms'er om hændelsen. Kontakt firmaet via et telefonnummer eller en adresse, du allerede stoler på.
  • Gennemgå din legitimationshygiejne. Brug en unik adgangskode til hver konto, opbevar dem i en adgangskodeadministrator, og slå multifaktorautentificering til overalt, hvor det tilbydes. Hvis du har genbrugt en adgangskode noget sted, der er forbundet med dette forhold, skal du ændre den.
  • Spørg, hvad der blev eksponeret. Klienter har fuld ret til at spørge et firma om, hvilke data der var involveret, og hvad det gør for at forhindre en gentagelse.
  • Aktivér overvågning af brudunderretninger. Mange browsere, adgangskodeadministratorer og kredittjenester kan advare dig, når din e-mailadresse eller andre oplysninger optræder i et kendt brud.
  • Hold øje med dine konti. Hold øje med kontoudtog og usædvanlige login-advarsler i de kommende måneder.

For et bredere blik på de trin, du skal tage, når personlige data fanges i en stor hændelse, se vores dækning af Carnival Corporation-databruddet, som berørte cirka 6 millioner mennesker.

Konklusionen

Offentliggørelserne fra Holland & Knight og Squire Patton Boggs viser, at et databrud via social engineering hos et advokatfirma ikke behøver avanceret malware for at nå følsomme klientoplysninger. Det behøver et overbevisende påskud og en person, der er villig til at tro på det. Firmaer bærer hovedansvaret for at træne personale og indbygge verifikation i deres rutiner, men klienter er ikke magtesløse.

Start i dag: gennemgå dine adgangskoder, slå multifaktorautentificering til, opsæt brudalerts, og vær på vagt over for enhver besked, der henviser til disse hændelser. Disse små vaner begrænser skaden, hvis en andens medarbejder bliver narret.