Goodwin Procter, yksi Yhdysvaltojen suurimmista asianajotoimistoista, maksoi noin 10 miljoonaa dollaria Luna Moth -nimisenä tunnetulle kiristysryhmälle aiemmin tänä vuonna ilmoittamansa tietoturvaloukkauksen jälkeen, kertovat asiaan perehtyneet lähteet. Maksu, jossa Britin kerrotaan ottaneen johtavan roolin vastatoimissa, on yksi suurimmista julkisesti tiedossa olevista yksittäiseen asianajotoimistoon kohdistuneista lunnasluvuista ja nostaa esiin kysymyksen siitä, miten oikeudelliset toimijat käsittelevät asiakastietoja hyökkääjien vaatiessa lunnaita.

Mitä Goodwin Procterilla tapahtui

Yksityiskohdat ovat yhä niukat, mutta ydintosiasiat ovat selvät: Goodwin Procter kärsi tietoturvaloukkauksen aiemmin tänä vuonna, tapaus julkistettiin, ja toimisto päätyi maksamaan kiristysryhmälle noin 10 miljoonaa dollaria sen sijaan, että varastetut tiedot olisi vuodettu tai myyty. Luna Moth, kiristyksen takana oleva ryhmä, ei ole yhtä tunnettu nimi kuin jotkin kiristysohjelmajengit, mutta sen toiminta noudattaa yhä yleisempää kaavaa: hyökkääjät pääsevät käsiksi arkaluontoisiin tiedostoihin, vievät ne ja vaativat sitten maksua estääkseen julkisen levityksen, eivätkä välttämättä suoraan salaa järjestelmiä.

Maksun suuruus on huomionarvoinen. Kymmeniin miljooniin nousevia lunnasvaatimuksia on perinteisesti liitetty suuriin sairaalajärjestelmiin, valmistajiin tai rahoituslaitoksiin. Se, että asianajotoimiston kohdalla päädytään vastaavaan summaan, viestii siitä, kuinka arvokkaita oikeudenkäyntiasiakirjat, asiakasviestintä ja luottamukselliset asiakirjat ovat kiristäjille ja kuinka paljon toimistot ovat valmiita maksamaan pitääkseen tiedot poissa julkisuudesta.

Miksi asianajotoimistot ovat houkuttelevia kohteita

Asianajotoimistoihin on keskittynyt poikkeuksellisen paljon arkaluontoista aineistoa. Oikeudenkäyntiasiakirjat, fuusioasiakirjat, perhe- ja perintöasioihin liittyvät henkilötiedot sekä luottamuksellinen asiakasviestintä kulkevat kaikki toimistojen palvelimien kautta. Toisin kuin vähittäiskauppiaalla tai terveydenhuollon toimijalla, asianajotoimiston tiedot koskettavat usein useita kolmansia osapuolia samanaikaisesti: asiakkaita, vastapuolen asianajajia, tuomioistuimia ja viranomaisia. Tämä altistumisverkosto antaa kiristysryhmille huomattavaa vipuvoimaa, sillä vuoto ei vahingoita ainoastaan toimistoa, vaan voi vaarantaa myös jokaisen sellaisen asiakkaan luottamuksellisuusvelvoitteet, jonka tiedostoja on käsitelty.

Tämä dynamiikka heijastelee sitä, mitä muilla aloilla on nähty viime aikoina. Cushman & Wakefieldin vishing-hyökkäys osoitti, miten hyökkääjät voivat hyödyntää sosiaalista manipulointia päästäkseen syvälle organisaation tietoihin, kun taas esimerkiksi Napoleon Perdisin tietovuoto osoitti, kuinka nopeasti vuotaneet asiakastiedot päätyvät julkiseen levitykseen, kun hyökkääjä päättää rahastaa niillä. Molemmissa tapauksissa – ja nyt Goodwin Procterin kohdalla – uhrien peruslaskelma on sama: punnita maksun hintaa suhteessa julkisen vuodon aiheuttamiin kustannuksiin ja mainehaittaan.

Mitä tämä tarkoittaa sinulle

Tavalliselle kansalaiselle asianajotoimiston lunnasmaksu saattaa tuntua kaukaiselta yksityisyydensuojaan liittyvältä huolenaiheelta, mutta heijastusvaikutukset ovat todellisia. Jos olet nykyinen tai entinen asiakas toimistossa, johon tällainen tietomurto kohdistuu, henkilötietosi, taloudelliset tietosi tai asiakirjahistoriasi ovat saattaneet päätyä viedyksi tiedoksi riippumatta siitä, maksettiinko lunnaat lopulta. Maksu ei takaa, että tiedot on tuhottu tai ettei niitä ole kopioitu muualle.

Tämä on osa laajempaa kehityskulkua, jossa arkaluontoisia henkilötietoja – olivatpa ne oikeudellisia asiakirjoja, äänestäjätietoja tai asiakastietokantoja – kohdellaan kiristysryhmien toimesta kauppatavarana. Keskustelu tietojenkäsittelystä ei rajoitu vain asianajotoimistoihin; se kaikuu huolissa, joita on nostettu esiin esimerkiksi äänestäjätietojen jakamisen ja yksityisyydensuojaoikeuksien ympärillä, missä suuria henkilötietomääriä hallussaan pitävät tahot joutuvat kasvavan tarkastelun kohteeksi siitä, miten tietoja suojataan ja luovutetaan.

Jos olet saanut tietoturvaloukkausilmoituksen miltä tahansa organisaatiolta, mukaan lukien asianajotoimistolta, ota se vakavasti, vaikka ilmoituksessa sanottaisiin, että lunnaat on maksettu tai tilanne on ratkaistu. Kiristysryhmän maksaminen ostaa hiljaisuuden lyhyellä aikavälillä, mutta ei takuuta siitä, ettei tietojasi ole koskaan kopioitu, myyty tai säilytetty toisen toimijan hallussa.

Ohjeita lukijoille

Tässä on, mitä voit tehdä, jos olet huolissasi tällaisen tapauksen aiheuttamasta altistumisesta:

  • Seuraa tarkasti kaikkea tietoturvaloukkaukseen liittyvää ilmoitusviestintää, äläkä oleta, että ratkaistu tapaus tarkoittaa tietojesi olevan turvassa.
  • Käytä luottotietojen seurantaa tai identiteettivarkaussuojaa, jos saat ilmoituksen, jossa taloudellisia tai henkilökohtaisia tietojasi on ollut mukana.
  • Vaihda salasanat ja ota käyttöön monivaiheinen tunnistautuminen kaikilla niillä tileillä, jotka liittyvät kohteena olleeseen organisaatioon.
  • Suhtaudu epäilevästi seurantasähköposteihin tai -puheluihin, joissa viitataan tietomurtoon, sillä hyökkääjät käyttävät toisinaan vuotaneita tietoja uusiin kalasteluyrityksiin.

Goodwin Procterin tapaus on muistutus siitä, että lunnasmaksut, suuretkin, eivät poista yksityisyydensuojaan kohdistuvaa perusriskiä niille ihmisille, joiden tietoja on viety. Samalla kun kiristysryhmät jatkavat arkaluontoisia tietoja hallussaan pitävien organisaatioiden maalittamista, valppaus tietomurtoilmoitusten suhteen ja yksinkertaisten suojatoimien noudattaminen pysyvät yksilön luotettavimpana puolustuksena.