Goodwin Procter, uno de los bufetes de abogados más grandes de Estados Unidos, pagó aproximadamente 10 millones de dólares al grupo de extorsión conocido como Luna Moth tras una brecha de seguridad de datos que la firma reveló a principios de este año, según personas familiarizadas con el asunto. El pago, en el que se entiende que Brit asumió un papel principal en la respuesta, constituye una de las mayores cifras de rescate conocidas públicamente vinculadas a la violación de un solo bufete de abogados y pone de relieve cómo las instituciones legales manejan los datos de sus clientes cuando los atacantes llaman a la puerta.
Lo que ocurrió en Goodwin Procter
Los detalles siguen siendo limitados, pero los hechos fundamentales son claros: Goodwin Procter sufrió una brecha de seguridad de datos a principios de año, el incidente se dio a conocer y la firma finalmente pagó a un grupo de extorsión aproximadamente 10 millones de dólares en lugar de permitir que los datos robados se filtraran o se vendieran. Luna Moth, el grupo detrás de la extorsión, no es un nombre conocido como algunas bandas de ransomware, pero su actividad encaja en un patrón cada vez más común: los atacantes obtienen acceso a archivos confidenciales, los exfiltran y luego exigen un pago para evitar la divulgación pública, en lugar de necesariamente cifrar los sistemas por completo.
La magnitud del pago es notable. Históricamente, las demandas de rescate de decenas de millones de dólares se han asociado con grandes sistemas hospitalarios, fabricantes o instituciones financieras. Que un bufete de abogados alcance esa cifra indica lo valiosos que se han vuelto los expedientes judiciales, las comunicaciones con los clientes y los registros privilegiados para los operadores de extorsión, y cuánto están dispuestas a gastar las firmas para mantener esos datos fuera del alcance público.
Por qué los bufetes de abogados son objetivos atractivos
Los bufetes de abogados albergan una concentración inusual de material confidencial. Los expedientes de litigios, documentos de fusiones, registros personales relacionados con asuntos familiares y patrimoniales y comunicaciones privilegiadas con los clientes pasan por los servidores de la firma. A diferencia de un minorista o un proveedor de atención médica, los datos de un bufete a menudo afectan a múltiples terceros a la vez: clientes, abogados de la parte contraria, tribunales y reguladores. Esa red de exposición otorga a los grupos de extorsión una influencia significativa, porque una filtración no solo perjudica a la firma, sino que puede implicar las obligaciones de confidencialidad que se deben a cada cliente cuyos archivos se vieron comprometidos.
Esta dinámica refleja lo que ha ocurrido recientemente en otros sectores. El ataque de vishing a Cushman & Wakefield mostró cómo los atacantes pueden aprovechar la ingeniería social para acceder a los registros de una organización, mientras que incidentes como la filtración de datos de Napoleon Perdis demuestran lo rápido que los datos de clientes filtrados terminan circulando públicamente una vez que un actor de amenazas decide monetizarlos. En ambos casos, y ahora en el de Goodwin Procter, el cálculo subyacente para las víctimas es el mismo: sopesar el costo del pago frente al costo y las consecuencias reputacionales de una filtración pública.
Lo que esto significa para usted
Para el público en general, el pago de un rescate por parte de un bufete de abogados puede parecer ajeno a las preocupaciones cotidianas sobre la privacidad, pero los efectos colaterales son reales. Si usted es cliente actual o anterior de una firma afectada por una filtración como esta, sus registros personales, detalles financieros o el historial de su caso podrían haber formado parte de los datos sustraídos, independientemente de que finalmente se haya pagado un rescate. El pago no garantiza que los datos hayan sido destruidos o que no se hayan copiado en otro lugar.
Esto forma parte de una tendencia más amplia en la que la información personal confidencial, ya sean registros legales, archivos de votantes o bases de datos de clientes, es tratada como una mercancía por los grupos de extorsión. El debate sobre el manejo de datos tampoco se limita a los bufetes de abogados; refleja preocupaciones planteadas en discusiones sobre el intercambio de datos de votantes y los derechos de privacidad, donde las instituciones que poseen grandes volúmenes de datos personales se enfrentan a un escrutinio cada vez mayor sobre cómo se protege y divulga esa información.
Si ha recibido una notificación de violación de datos de cualquier organización, incluido un bufete de abogados, tómela en serio incluso si la notificación indica que se pagó un rescate o que la situación se ha resuelto. Pagar a un grupo de extorsión compra silencio a corto plazo, no la garantía de que sus datos nunca fueron copiados, vendidos o retenidos por un actor secundario.
Conclusiones para los lectores
Esto es lo que puede hacer si le preocupa la exposición a raíz de un incidente como este:
- Supervise de cerca cualquier correspondencia sobre notificaciones de violación de datos y no asuma que un incidente resuelto significa que sus datos están a salvo.
- Utilice servicios de monitoreo de crédito o de protección contra el robo de identidad si le notifican que se vieron involucrados registros financieros o personales.
- Cambie las contraseñas y active la autenticación multifactor en todas las cuentas vinculadas a la organización afectada.
- Manténgase escéptico ante correos electrónicos o llamadas de seguimiento que hagan referencia a la violación, ya que a veces los atacantes utilizan detalles filtrados para llevar a cabo intentos de phishing secundarios.
El caso de Goodwin Procter es un recordatorio de que los pagos de rescate, incluso los de gran cuantía, no eliminan el riesgo de privacidad subyacente para las personas cuyos datos fueron sustraídos. A medida que los grupos de extorsión continúan atacando a organizaciones que poseen registros confidenciales, mantenerse alerta ante las notificaciones de violación de datos y adoptar medidas de protección básicas sigue siendo la defensa más fiable al alcance de los individuos.
