法律事務所は、病院や銀行を除けば、最も機密性の高い情報を抱えています。合併の詳細、訴訟戦略、離婚や親権事件に関わる個人記録、そして依頼人が永久に秘密であることを期待する秘匿特権の通信などです。こうした高い価値と、往々にして限られたセキュリティ予算の組み合わせが、法律業界をランサムウェアグループにとってますます魅力的な標的にしており、最近の2件のインシデントは、攻撃者が侵入のためにどこまで踏み込むかを示しています。

偽の弁護士会ログインページがランサムウェアにつながった

2025年6月、ユタ州の攻撃者が、無意識にメールをチェックするすべての弁護士が懸念すべきキャンペーンを実施しました。この手口は、弁護士が疑う理由のほとんどない信頼できる機関であるユタ州弁護士会からの通信を偽装したものです。受信者は、正規の弁護士会ポータルに見せかけた偽のログインページに誘導されました。弁護士が認証情報を入力すると、攻撃者はそれを入手し、数百もの事務所からログイン情報を収集した後、数日以内にランサムウェアが展開されたと報じられています。

この事例が示唆に富むのは、そのタイムラインです。初期の侵害から暗号化までに長い潜伏期間はありませんでした。攻撃者は盗んだ認証情報から迅速に破壊的行動へと移行しており、これは日和見的なハッキングではなく、よく練られた手口であることを示唆しています。また、あまりにも多くの組織がいまだに過小評価している点も浮き彫りにしています。多くのランサムウェアグループは、被害者が身代金を支払ったかどうかに関係なく、盗んだデータを公開するという点です。身代金を支払っても、顧客文書、事件ファイル、個人記録が公の目に触れないままでいる保証はありません。この現実は、攻撃を受けた法律事務所が事後対応を管理するために専門の交渉人を雇う方向へと向かわせており、この役割は法的な精査の対象ともなっています。例えば、ブラックキャットとの関係で有罪判決を受けた身代金交渉人のケースがそれです。

FBIは受信トレイの枠を超える脅威に警告

より不安を掻き立てる展開は、ほぼ1年後に起こりました。2026年5月、FBIはFLASH-20260526-01を発行し、ロシアに関連するとされるSilent Ransom Group（SRG）として追跡されているグループについて警告しました。この警告を典型的なフィッシング警告と一線を画すのは、その侵入経路です。単にメールのリンクや悪意のある添付ファイルに頼るのではなく、このグループの戦術は物理的なオフィス環境にまで及ぶと報じられており、遠隔のサイバー侵入と対面でのソーシャルエンジニアリングの境界があいまいになっています。

ランサムウェアを主にIT部門の問題として扱ってきた業界にとって、この変化は重要です。物理的なアクセスポイント、ヘルプデスクへのなりすまし、オンサイトでのソーシャルエンジニアリングは、ファイアウォールやメールフィルターだけで防御するのは困難です。それらには、セキュリティをサーバールームだけに閉じ込められた技術的な問題としてではなく、事務所全体の責任として捉えるスタッフトレーニングが必要です。

法律事務所が標的リストに載り続ける理由

ここでのプライバシーへの影響は、単一の事務所の収益を超えたところにあります。法律事務所が侵害された場合、危険にさらされるデータは、侵害の当事者になることを決して選んでいない依頼人のものであることがよくあります。医療過誤訴訟の患者、内部告発事件の従業員、遺言検認や親権争いの家族などです。弁護士と依頼人の秘匿特権は、ある程度の機密性を前提としていますが、ランサムウェアのリークサイトは一夜にしてそれを消し去ることができます。これが、攻撃者が法律サービスを格好の標的と見なす理由の一部です。得られるのは事務所自身の運用データだけではなく、その事件ファイルに秘密が眠るすべての依頼人に対するレバレッジなのです。

中小規模の事務所は特に脆弱です。多くは専任のセキュリティスタッフなしで運営され、パラリーガルやアソシエイト間で認証情報を共有し、詳細なアクセス制御なしに何年分もの事件文書を保管しています。ユタ州のインシデントが示したように、単一の認証情報の侵害が、何百もの事務所に相当する依頼人情報をほぼ瞬時に露出させる可能性があります。

これがあなたにとって意味すること

法律事務所で働いている場合、または機密文書を法律事務所に委託している依頼人である場合、この傾向はデジタル衛生についての考え方を変えるはずです。法律業界のランサムウェア対策は、もはやウイルス対策ソフトと希望に頼ることはできません。法律事務所は、認証情報ベースのフィッシング、なりすましの機関メール、そして対面でのソーシャルエンジニアリングさえも、2026年には大規模な標的だけに限られた仮説上のリスクではなく、すべて現実の脅威であると想定する必要があります。

依頼人にとっては、担当弁護士や法律事務所に、特に文書の暗号化、アクセス制御、メール検証の実践に関して、どのようなデータ保護対策を講じているのか尋ねることは妥当です。あなたは決して公開されたくない情報を彼らに委託しており、それがどのように保護されているかを理解する権利が十分にあります。

実践可能な要点

  • 州の弁護士会のような信頼できる機関からのように見えるものであっても、予期しないログイン要求は、既知の経路で組織に直接連絡して確認する。
  • メールだけでなく、事件管理システムに関連するすべてのアカウントで多要素認証を有効にする。
  • メールのリンクだけでなく、対面や電話で発生するソーシャルエンジニアリングの試みを認識できるようにスタッフを訓練する。
  • 身代金が支払われたとしても盗まれたデータが公開される可能性があると想定し、それに応じて依頼人への通知と法的対応を計画する。
  • 文書へのアクセスを、実際にその案件を担当する弁護士とスタッフに厳密に制限し、侵害されたアカウント1つあたりの影響範囲を縮小する。

法律事務所を標的とするランサムウェアは未来のリスクではありません。それは法律業界が依頼人の信頼について考え方を変えざるを得ないものへとすでに変貌を遂げており、データ保護を後回しではなく中核的なサービスとして扱う事務所こそが、その信頼を維持する最も有利な立場に立つでしょう。