Goodwin Procter, uno dei più grandi studi legali degli Stati Uniti, ha pagato circa 10 milioni di dollari al gruppo di estorsione noto come Luna Moth dopo una violazione della sicurezza dei dati che lo studio ha divulgato all'inizio di quest'anno, secondo fonti vicine alla vicenda. Il pagamento, per il quale si ritiene che Brit abbia assunto un ruolo di primo piano nella risposta, rappresenta una delle più ingenti cifre di riscatto pubblicamente note legate alla violazione di un singolo studio legale e mette in luce come le istituzioni legali gestiscano i dati dei clienti quando gli aggressori bussano alla porta.

Cosa è successo a Goodwin Procter

I dettagli rimangono limitati, ma i fatti principali sono chiari: Goodwin Procter ha subito una violazione della sicurezza dei dati all'inizio dell'anno, l'incidente è stato divulgato e lo studio ha infine pagato a un gruppo di estorsione circa 10 milioni di dollari per evitare che i dati rubati venissero diffusi o venduti. Luna Moth, il gruppo dietro l'estorsione, non è un nome noto come alcune bande di ransomware, ma la sua attività segue uno schema diventato sempre più comune: gli aggressori accedono a file sensibili, li esfiltrano e poi richiedono un pagamento per impedirne la divulgazione pubblica, anziché necessariamente cifrare i sistemi.

L'entità del pagamento è notevole. Le richieste di riscatto nell'ordine delle decine di milioni sono state storicamente associate a grandi sistemi ospedalieri, aziende manifatturiere o istituzioni finanziarie. Il fatto che uno studio legale abbia raggiunto quella cifra segnala quanto siano diventati preziosi i fascicoli legali, le comunicazioni con i clienti e i documenti riservati per gli operatori di estorsione, e quanto gli studi siano disposti a spendere per tenere quei dati lontani dalla vista del pubblico.

Perché gli studi legali sono obiettivi interessanti

Gli studi legali custodiscono una concentrazione insolita di materiale sensibile. Fascicoli di contenzioso, documenti di fusione, dati personali legati a questioni familiari e successorie e comunicazioni riservate con i clienti passano tutti attraverso i server dello studio. A differenza di un rivenditore o di un fornitore di servizi sanitari, i dati di uno studio legale toccano spesso più terze parti contemporaneamente: clienti, controparti legali, tribunali e autorità di regolamentazione. Questa rete di esposizione conferisce ai gruppi di estorsione una leva significativa, perché una fuga di dati non danneggia solo lo studio, ma può compromettere gli obblighi di riservatezza dovuti a ogni cliente i cui file sono stati toccati.

Questa dinamica rispecchia ciò che si è verificato recentemente in altri settori. L'attacco di vishing a Cushman & Wakefield ha mostrato come gli aggressori possano sfruttare l'ingegneria sociale per penetrare in profondità nei registri di un'organizzazione, mentre incidenti come la violazione dei dati di Napoleon Perdis dimostrano quanto rapidamente i dati dei clienti trapelati finiscano per circolare pubblicamente una volta che un attore della minaccia decide di monetizzarli. In entrambi i casi, e ora in quello di Goodwin Procter, il calcolo di fondo per le vittime è lo stesso: soppesare il costo del pagamento rispetto al costo e alle ricadute reputazionali di una fuga pubblica.

Cosa significa per te

Per il grande pubblico, il pagamento di un riscatto da parte di uno studio legale potrebbe sembrare distante dalle preoccupazioni quotidiane sulla privacy, ma gli effetti a catena sono reali. Se sei un cliente attuale o passato di uno studio colpito da una violazione come questa, i tuoi dati personali, dettagli finanziari o la cronologia del tuo caso potrebbero aver fatto parte dei dati sottratti, indipendentemente dal fatto che un riscatto sia stato infine pagato. Il pagamento non garantisce che i dati siano stati distrutti o mai copiati altrove.

Questo fa parte di una tendenza più ampia in cui le informazioni personali sensibili, che si tratti di documenti legali, archivi elettorali o database di clienti, vengono trattate come una merce dai gruppi di estorsione. Il dibattito sulla gestione dei dati non si limita nemmeno agli studi legali; riecheggia le preoccupazioni sollevate nelle discussioni sulla condivisione dei dati elettorali e i diritti alla privacy, dove le istituzioni che detengono grandi volumi di dati personali sono sottoposte a un crescente controllo su come tali informazioni vengono protette e divulgate.

Se hai ricevuto una notifica di violazione da qualsiasi organizzazione, incluso uno studio legale, prendila sul serio anche se la notifica afferma che è stato pagato un riscatto o che la situazione è stata risolta. Pagare un gruppo di estorsione compra il silenzio a breve termine, non la garanzia che i tuoi dati non siano mai stati copiati, venduti o conservati da un attore secondario.

Consigli per i lettori

Ecco cosa puoi fare se sei preoccupato per l'esposizione derivante da un incidente come questo:

  • Monitora attentamente qualsiasi comunicazione di notifica di violazione e non dare per scontato che un incidente risolto significhi che i tuoi dati sono al sicuro.
  • Utilizza servizi di monitoraggio del credito o di protezione dal furto d'identità se vieni informato che sono stati coinvolti dati finanziari o personali.
  • Cambia le password e attiva l'autenticazione a più fattori su tutti gli account collegati all'organizzazione interessata.
  • Rimani scettico riguardo a email o chiamate successive che fanno riferimento alla violazione, poiché gli aggressori a volte utilizzano i dettagli trapelati per condurre tentativi di phishing secondari.

Il caso Goodwin Procter ci ricorda che i pagamenti di riscatto, anche quelli ingenti, non eliminano il rischio sottostante per la privacy delle persone i cui dati sono stati sottratti. Mentre i gruppi di estorsione continuano a prendere di mira organizzazioni che detengono documenti sensibili, rimanere vigili sulle notifiche di violazione e adottare misure protettive di base rimane la difesa più affidabile a disposizione degli individui.