Odvjetničke tvrtke posjeduju neke od najosjetljivijih informacija koje postoje izvan bolnica ili banaka: detalje o spajanjima, strategije parničenja, osobne podatke povezane s brakorazvodnim i skrbničkim predmetima te povlaštenu komunikaciju za koju klijenti očekuju da će zauvijek ostati povjerljiva. Ta kombinacija visoke vrijednosti i često skromnih proračuna za sigurnost učinila je pravni sektor sve privlačnijom metom za ransomware skupine, a dva nedavna slučaja pokazuju koliko su napadači spremni ići daleko kako bi ušli u sustave.

Lažna prijavna stranica odvjetničke komore dovela je do ransomware napada

U lipnju 2025. napadači u Utahu proveli su kampanju koja bi trebala zabrinuti svakog odvjetnika koji automatski pregledava elektroničku poštu. Shema je lažirala komunikacije Odvjetničke komore Utaha, pouzdanog institucionalnog izvora koji odvjetnici nemaju razloga dovoditi u pitanje. Primatelji su usmjeravani na lažnu prijavnu stranicu osmišljenu da izgleda poput legitimnog portala komore. Nakon što su odvjetnici unijeli svoje vjerodajnice, napadači su ih dobili, a prema izvješćima prikupili su podatke za prijavu iz stotina tvrtki prije nego što je uslijedilo pokretanje ransomwarea u roku od nekoliko dana.

Ono što ovaj slučaj čini poučnim jest vremenski slijed. Nije bilo dugotrajnog razdoblja mirovanja između prvotnog kompromitiranja i enkripcije. Napadači su brzo prešli s ukradenih vjerodajnica na ometajuće djelovanje, što ukazuje na dobro uvježbani plan, a ne na oportunističko hakiranje. Također naglašava točku koju previše organizacija još uvijek podcjenjuje: mnoge ransomware skupine objavljuju ukradene podatke bez obzira na to je li žrtva platila. Plaćanje otkupnine ne jamči da dokumenti klijenata, spisi predmeta ili osobni podaci neće dospjeti u javnost. Ta je stvarnost tvrtke koje budu pogođene natjerala da angažiraju profesionalne pregovarače za upravljanje posljedicama, ulogu koja je i sama pod pravnim povećalom, kao što se vidi u slučaju pregovarača za ransomware osuđenog zbog veza s operacijom BlackCat.

FBI označava prijetnju koja nadilazi pristiglu poštu

Još uznemirujući razvoj događaja uslijedio je gotovo godinu dana kasnije. U svibnju 2026. FBI je izdao FLASH-20260526-01, upozorenje o skupini koja se prati pod nazivom Silent Ransom Group (SRG), a povezuje se s Rusijom. Ono što ovu uzbunu razlikuje od tipičnih upozorenja o krađi identiteta jest vektor: umjesto da se oslanjaju isključivo na poveznice u e-pošti ili zlonamjerne privitke, taktike skupine navodno se protežu i na fizičko uredsko okruženje, brišući granicu između udaljenog cyber upada i osobnog socijalnog inženjeringa.

Za sektor koji je ransomware dugo tretirao prvenstveno kao problem IT odjela, ta je promjena važna. Fizičke pristupne točke, lažno predstavljanje putem službe za pomoć i socijalni inženjering na licu mjesta teže je obraniti samo vatrozidima i filtrima e-pošte. Zahtijevaju obuku osoblja koja sigurnost tretira kao odgovornost cijele tvrtke, a ne samo kao tehničku zadaću ograničenu na serversku sobu.

Zašto odvjetničke tvrtke stalno završavaju na popisu meta

Implikacije na privatnost ovdje nadilaze samo financijski rezultat jedne tvrtke. Kada je odvjetnička tvrtka kompromitirana, podaci koji su ugroženi često pripadaju klijentima koji nikada nisu ni odabrali biti dio povrede: pacijentima u tužbi za liječničku pogrešku, zaposlenicima u slučaju zviždača, obiteljima u ostavinskim ili skrbničkim sporovima. Povjerljivost između odvjetnika i klijenta pretpostavlja razinu povjerljivosti koju stranica za objavu podataka iz ransomware napada može izbrisati preko noći. To je dio razloga zašto napadači pravne usluge vide kao laku metu: isplata nisu samo operativni podaci tvrtke, već i pritisak na svakog klijenta čije tajne leže u tom spisu.

Posebno su izložene manje i srednje tvrtke. Mnoge posluju bez namjenskog sigurnosnog osoblja, oslanjaju se na dijeljene vjerodajnice među pravobraniteljima i suradnicima te godinama pohranjuju spise predmeta bez detaljnih kontrola pristupa. Jedna kompromitirana prijava, kao što je pokazao slučaj u Utahu, može gotovo istog trena izložiti klijentske podatke vrijedne stotine tvrtki.

Što ovo znači za vas

Ako radite u odvjetničkoj tvrtki ili ste klijent koji joj povjerava osjetljive dokumente, ovaj bi trend trebao promijeniti način na koji razmišljate o digitalnoj higijeni. Zaštita od ransomwarea u pravnoj industriji više se ne može oslanjati na antivirusni softver i nadu. Tvrtke moraju polaziti od toga da su krađa identiteta putem vjerodajnica, lažne institucionalne e-pošte, pa čak i osobni socijalni inženjering aktivne prijetnje u 2026., a ne hipotetski rizici rezervirani za veće mete.

Za klijente je razumno pitati svojeg odvjetnika ili odvjetničku tvrtku koje mjere zaštite podataka imaju, posebno u vezi s enkripcijom dokumenata, kontrolama pristupa i praksama provjere e-pošte. Povjeravate im informacije za koje nikada ne biste željeli da budu izložene i imate puno pravo razumjeti kako su zaštićene.

Provedivi savjeti

  • Neočekivane zahtjeve za prijavu, čak i one koji se čine kao da dolaze od pouzdanih tijela poput državne odvjetničke komore, provjerite tako da izravno kontaktirate organizaciju putem poznatog kanala.
  • Uključite višefaktorsku autentifikaciju na svakom računu povezanom sa sustavom za upravljanje predmetima, ne samo na e-pošti.
  • Osposobite osoblje da prepoznaje pokušaje socijalnog inženjeringa koji se događaju osobno ili putem telefona, a ne samo putem poveznica u e-pošti.
  • Pretpostavite da ukradeni podaci mogu biti objavljeni čak i ako se otkupnina plati te prema tome planirajte obavještavanje klijenata i pravni odgovor.
  • Pristup dokumentima strogo ograničite na odvjetnike i osoblje koji aktivno rade na određenom predmetu, smanjujući time radijus štete od svakog pojedinačno kompromitiranog računa.

Ransomware usmjeren na odvjetničke tvrtke nije budući rizik. Već sada mijenja način na koji pravna industrija mora razmišljati o povjerenju klijenata, a tvrtke koje zaštitu podataka tretiraju kao temeljnu uslugu, a ne kao naknadnu misao, bit će u najboljem položaju da to povjerenje sačuvaju.