Holland & KnightとSquire Patton Boggs、14社の顧客に情報漏えいを通知

大手法律事務所2社が、ソフトウェアではなく人を標的とした攻撃に顧客のデータが巻き込まれたと顧客に伝えた。Holland & KnightとSquire Patton Boggsは2026年10月に侵害を開示し、ソーシャルエンジニアリング攻撃を受けて14社の顧客に通知した。この事例は、法律事務所のデータ侵害におけるソーシャルエンジニアリング事案がどのように機能するか、そして被害を受けた顧客側が何をできるかを知る上で有用な注意喚起となる。

情報源の報道は簡潔であるため、本記事は確認された事実にとどめ、この種の攻撃の一般的な仕組みを説明する。どのようなデータが持ち出されたか、誰が背後にいたかについての推測は行わない。

Holland & KnightとSquire Patton Boggsが開示した内容

報道によれば、両事務所は2026年10月にセキュリティインシデントを開示した。両者を合わせて14社の顧客に通知が行われた。原因はソーシャルエンジニアリング攻撃と説明されている。

情報源は、どのような種類の情報が流出したか、攻撃者がどのくらいの期間アクセスしていたか、どのように欺瞞が行われたかを詳述していない。両事務所または規制当局がさらに公表するまで、これらの疑問は未解決のままである。あなたがどちらかの事務所の顧客である場合、受け取った通知があなたに該当する内容についての信頼できる情報源となる。

ソーシャルエンジニアリングが法律事務所の防御をどうすり抜けるか

ソーシャルエンジニアリングとは、パスワードを共有する、ログインプロンプトを承認する、ファイルを開く、情報を渡すなど、攻撃者に有利になる行動を人にさせるよう仕向けることを意味する。ファイアウォールを破ったり、ソフトウェアの脆弱性を悪用したりする必要はない。忙しい従業員1人に、説得力のあるメッセージを1通届けるだけでよい。

だからこそ、技術的な防御だけでは限界がある。暗号化、ネットワーク監視、アクセス制御は、いずれも鍵を握る人々がそれを正しく使うことを前提としている。同僚、顧客、ITヘルプデスクになりすました攻撃者は、正規のユーザーにドアを開けさせるよう求めることで、こうした制御を回避できることがある。

組織が依拠する一般的な防御策には次のようなものがある。

• ハードウェアセキュリティキーなど、フィッシング耐性のある多要素認証
• 既知の番号に折り返しかけるなど、異常な要求に対する確認手順
• どの顧客ファイルに誰がアクセスできるかの制限
• 定期的な従業員トレーニングと模擬フィッシング演習

単一の対策で完全はあり得ない。だからこそ、多層的な制御が重要となる。

なぜプロフェッショナルサービス企業の顧客データが露出するのか

法律事務所は、契約書、財務記録、個人情報、顧客に関連する通信など、情報を集中的に保有している。そのため、一度の侵入が同時に多くの顧客に影響を及ぼし得ることから、狙われやすい対象となる。

顧客の視点からは、信頼のギャップも存在する。あなたは専門性と慎重さを基準に事務所を選ぶが、その内部のセキュリティ慣行を目にすることはほとんどない。あなたのデータの安全性は、それを扱う人々の習慣次第であり、あなたはその習慣をほとんど制御できない。これら2事務所の開示は、大規模で豊富なリソースを持つ組織であっても、1つの欺瞞が成功すれば影響を受け得ることを示している。

あなたにとって何を意味するか

あなたが通知を受けた14社の顧客の1つであるなら、通知を注意深く読み、記載された指示に従ってほしい。そうでない場合でも、あなたの情報を保持するあらゆる事務所、銀行、プロバイダーに同じ原則が当てはまる。

いくつかの実践的な手順を示す。

• フォローアップのメッセージは疑ってかかる。 侵害の後、攻撃者は影響を受けた組織になりすますことがある。インシデントに関する予期しないメールやテキストのリンクをクリックしないこと。すでに信頼している電話番号やアドレスを使って事務所に連絡すること。
• 認証情報の衛生状態を見直す。 すべてのアカウントで固有のパスワードを使い、パスワードマネージャーに保管し、提供されている場所では多要素認証を有効にする。この関係に関連するどこかでパスワードを再利用していた場合は、変更すること。
• 何が流出したかを尋ねる。 顧客には、どのデータが関与したか、再発防止のために何をしているかを事務所に尋ねる権利がある。
• 侵害通知の監視を有効にする。 多くのブラウザ、パスワードマネージャー、信用調査サービスは、あなたのメールアドレスやその他の情報が既知の侵害に現れたときに警告してくれる。
• 口座を注視する。 今後数か月間、財務明細や不審なログイン通知に目を配ること。

大規模なインシデントに個人データが巻き込まれた際に取るべき手順のより広い概要については、約600万人に影響を及ぼしたCarnival Corporationのデータ侵害に関する当社の報道を参照されたい。

結論

Holland & KnightとSquire Patton Boggsの開示は、法律事務所のデータ侵害におけるソーシャルエンジニアリング攻撃が、機密の顧客情報に到達するために高度なマルウェアを必要としないことを示している。必要なのは、説得力のある口実と、それを信じる人物である。従業員のトレーニングと日常業務への確認手順の組み込みに対する主たる責任は事務所にあるが、顧客が無力というわけではない。

今日から始めよう。パスワードを監査し、多要素認証を有効にし、侵害アラートを設定し、これらのインシデントに言及するあらゆるメッセージに警戒すること。これらの小さな習慣が、他人の従業員が騙された場合の被害を限定する。