Goodwin Procter, jedna od najvećih odvjetničkih tvrtki u Sjedinjenim Državama, platila je otprilike 10 milijuna dolara skupini za iznudu poznatoj kao Luna Moth nakon povrede sigurnosti podataka koju je tvrtka objavila ranije ove godine, prema izvorima upoznatima sa slučajem. Ova isplata, pri čemu se smatra da je Brit preuzeo vodeću ulogu u odgovoru, predstavlja jednu od najvećih javno poznatih otkupnina povezanih s povredom podataka u jednoj odvjetničkoj tvrtki i baca svjetlo na to kako pravne institucije postupaju s podacima klijenata kada napadači pokucaju na vrata.

Što se dogodilo u Goodwin Procteru

Detalji su i dalje ograničeni, ali osnovne činjenice su jasne: Goodwin Procter je ranije ove godine pretrpio povredu sigurnosti podataka, incident je objavljen, a tvrtka je na kraju platila skupini za iznudu otprilike 10 milijuna dolara umjesto da dopusti curenje ili prodaju ukradenih podataka. Luna Moth, skupina koja stoji iza iznude, nije općepoznato ime poput nekih bandi ransomwarea, ali njezino djelovanje prati obrazac koji postaje sve uobičajeniji: napadači dobiju pristup osjetljivim datotekama, eksfiltriraju ih i zatim zahtijevaju plaćanje kako bi spriječili javnu objavu, umjesto da nužno u potpunosti šifriraju sustave.

Razmjer plaćanja je značajan. Zahtjevi za otkupninu u desecima milijuna povijesno su se povezivali s velikim bolničkim sustavima, proizvođačima ili financijskim institucijama. Činjenica da odvjetnička tvrtka dosegne tu brojku signalizira koliko su pravni spisi, komunikacija s klijentima i povlašteni dokumenti postali vrijedni operaterima iznude te koliko su tvrtke spremne potrošiti kako bi te podatke zadržale izvan javnosti.

Zašto su odvjetničke tvrtke atraktivne mete

Odvjetničke tvrtke sjede na neobičnoj koncentraciji osjetljivog materijala. Spisi o parnicama, dokumenti o spajanjima, osobni podaci povezani s obiteljskim i imovinskim pitanjima te povlaštena komunikacija s klijentima prolaze kroz poslužitelje tvrtki. Za razliku od trgovca na malo ili zdravstvene ustanove, podaci odvjetničke tvrtke često istovremeno dotiču više trećih strana: klijente, protivničke odvjetnike, sudove i regulatore. Ta mreža izloženosti daje skupinama za iznudu značajnu polugu jer curenje podataka ne šteti samo tvrtki, već može ugroziti obveze povjerljivosti prema svakom klijentu čiji su spisi kompromitirani.

Ova dinamika odražava ono što se nedavno odigralo u drugim sektorima. Vishing napad na Cushman & Wakefield pokazao je kako napadači mogu iskoristiti društveni inženjering da bi prodrli duboko u zapise organizacije, dok incidenti poput povrede podataka Napoleon Perdisa demonstriraju koliko brzo ukradeni podaci kupaca završe u javnom prometu čim akter prijetnje odluči unovčiti ih. U oba slučaja, a sada i u slučaju Goodwin Proctera, temeljna računica za žrtve je ista: odvagnuti trošak plaćanja u odnosu na trošak i reputacijske posljedice javnog curenja podataka.

Što to znači za vas

Za širu javnost, plaćanje otkupnine od strane odvjetničke tvrtke može izgledati daleko od svakodnevnih briga o privatnosti, ali posredni učinci su stvarni. Ako ste trenutni ili bivši klijent tvrtke pogođene ovakvom povredom, vaši osobni podaci, financijske pojedinosti ili povijest predmeta mogli su biti dio preuzetih podataka, bez obzira na to je li otkupnina na kraju plaćena. Plaćanje ne jamči da su podaci uništeni ili da nikada nisu kopirani negdje drugdje.

Ovo je dio šireg trenda u kojem se osjetljivi osobni podaci, bilo da se radi o pravnim zapisima, datotekama birača ili bazama podataka kupaca, tretiraju kao roba od strane skupina za iznudu. Rasprava o postupanju s podacima nije ograničena samo na odvjetničke tvrtke; ona odjekuje zabrinutostima iznesenima u raspravama o dijeljenju podataka birača i pravima na privatnost, gdje su institucije koje posjeduju velike količine osobnih podataka pod sve većim nadzorom zbog načina na koji se ti podaci štite i objavljuju.

Ako ste primili obavijest o povredi podataka od bilo koje organizacije, uključujući odvjetničku tvrtku, shvatite je ozbiljno čak i ako obavijest kaže da je otkupnina plaćena ili da je situacija riješena. Plaćanje skupini za iznudu kupuje kratkoročnu šutnju, a ne jamstvo da vaši podaci nikada nisu kopirani, prodani ili zadržani od strane drugog aktera.

Što čitatelji trebaju zapamtiti

Evo što možete učiniti ako ste zabrinuti zbog izloženosti u ovakvom incidentu:

  • Pažljivo pratite svu korespondenciju o obavijesti o povredi podataka i nemojte pretpostaviti da riješen incident znači da su vaši podaci sigurni.
  • Koristite usluge praćenja kreditne sposobnosti ili zaštite od krađe identiteta ako ste obaviješteni da su uključeni financijski ili osobni podaci.
  • Promijenite lozinke i omogućite višefaktorsku autentifikaciju na svim računima povezanima s pogođenom organizacijom.
  • Ostanite skeptični prema naknadnim e-porukama ili pozivima koji se pozivaju na povredu podataka jer napadači ponekad koriste procurjele detalje za pokretanje sekundarnih phishing pokušaja.

Slučaj Goodwin Procter podsjetnik je da plaćanje otkupnine, čak i one velike, ne briše temeljni rizik za privatnost ljudi čiji su podaci ukradeni. Kako skupine za iznudu nastavljaju ciljati organizacije koje posjeduju osjetljive zapise, praćenje obavijesti o povredi podataka i poduzimanje osnovnih zaštitnih koraka ostaje najpouzdanija obrana dostupna pojedincima.