Goodwin Procter, een van de grootste advocatenkantoren in de Verenigde Staten, betaalde naar verluidt ongeveer $10 miljoen aan de afpersingsgroep Luna Moth na een datalek dat het kantoor eerder dit jaar openbaar maakte, aldus ingewijden. De betaling, waarbij naar verluidt Brit een leidende rol speelde in de respons, is een van de grootste openbaar bekende losgeldbedragen in verband met een enkel datalek bij een advocatenkantoor en zet de schijnwerpers op hoe juridische instellingen omgaan met cliëntgegevens wanneer aanvallers op de stoep staan.

Wat er gebeurde bij Goodwin Procter

Details blijven beperkt, maar de kernfeiten zijn helder: Goodwin Procter kreeg eerder dit jaar te maken met een datalek, het incident werd openbaar gemaakt en het kantoor betaalde uiteindelijk een afpersingsgroep ongeveer $10 miljoen om te voorkomen dat gestolen gegevens zouden worden gelekt of verkocht. Luna Moth, de groep achter de afpersing, is geen bekende naam zoals sommige ransomwarebendes, maar hun aanpak past in een patroon dat steeds gebruikelijker wordt: aanvallers krijgen toegang tot gevoelige bestanden, exfiltreren ze en eisen vervolgens betaling om openbaarmaking te voorkomen in plaats van systemen resoluut te versleutelen.

De omvang van de betaling valt op. Losgeldeisen van tientallen miljoenen werden van oudsher geassocieerd met grote ziekenhuizen, fabrikanten of financiële instellingen. Dat een advocatenkantoor dit bedrag haalt, onderstreept hoe waardevol juridische dossiers, cliëntcommunicatie en vertrouwelijke stukken zijn geworden voor afpersers, en hoeveel kantoren bereid zijn te betalen om die gegevens buiten de openbaarheid te houden.

Waarom advocatenkantoren aantrekkelijke doelwitten zijn

Advocatenkantoren beheren een ongebruikelijke concentratie aan gevoelig materiaal. Procesdossiers, fusiedocumenten, persoonsgegevens uit familie- en erfrechtzaken en vertrouwelijke cliëntcommunicatie passeren allemaal de servers van een kantoor. Anders dan bij een winkel of zorgverlener raken de gegevens van een advocatenkantoor vaak meerdere derde partijen tegelijk: cliënten, tegenpartij, rechtbanken en toezichthouders. Dat web van blootstelling geeft afpersingsgroepen aanzienlijke drukmiddelen, want een lek beschadigt niet alleen het kantoor, maar kan ook de vertrouwelijkheidsverplichtingen raken die tegenover elke cliënt van wie de dossiers zijn geraakt, bestaan.

Deze dynamiek weerspiegelt wat zich recent in andere sectoren heeft afgespeeld. De vishing-aanval op Cushman & Wakefield liet zien hoe aanvallers social engineering kunnen inzetten om diep in de administratie van een organisatie door te dringen, terwijl incidenten zoals het datalek bij Napoleon Perdis aantonen hoe snel gelekte klantgegevens publiekelijk gaan circuleren zodra een dreigingsactor besluit ze te gelde te maken. In beide gevallen, en nu ook bij Goodwin Procter, is de onderliggende rekensom voor slachtoffers dezelfde: weeg de kosten van betalen af tegen de kosten en reputatieschade van een openbaar lek.

Wat dit voor jou betekent

Voor het grote publiek lijkt een losgeldbetaling door een advocatenkantoor misschien ver weg van alledaagse privacyzorgen, maar de rimpeleffecten zijn reëel. Als je huidig of voormalig cliënt bent van een kantoor dat door een dergelijk lek is getroffen, kunnen jouw persoonlijke gegevens, financiële details of zaakshistorie deel hebben uitgemaakt van de buitgemaakte informatie, ongeacht of er uiteindelijk losgeld is betaald. Betaling biedt geen garantie dat data is vernietigd of nooit elders is gekopieerd.

Dit is onderdeel van een bredere trend waarbij gevoelige persoonsgegevens – of het nu juridische dossiers, kiezersbestanden of klantdatabases zijn – door afpersingsgroepen worden behandeld als handelswaar. Het debat over gegevensbeheer beperkt zich niet tot advocatenkantoren; het sluit aan bij zorgen die naar voren kwamen in discussies over delen van kiezersdata en privacyrechten, waarbij instellingen die grote hoeveelheden persoonsgegevens bezitten, steeds kritischer worden bekeken op hoe ze die informatie beveiligen en openbaar maken.

Heb je van welke organisatie dan ook, inclusief een advocatenkantoor, een datalekmelding ontvangen, neem die dan serieus, ook als de melding stelt dat er losgeld is betaald of dat de situatie is opgelost. Betalen aan een afpersingsgroep koopt op korte termijn stilte, maar geen garantie dat jouw gegevens nooit zijn gekopieerd, verkocht of achtergehouden door een andere actor.

Wat lezers moeten onthouden

Dit kun je doen als je je zorgen maakt over blootstelling door zo'n incident:

  • Houd alle correspondentie over datalekmeldingen nauwlettend in de gaten en ga er niet automatisch van uit dat een opgelost incident betekent dat jouw gegevens veilig zijn.
  • Maak gebruik van kredietmonitoring of identiteitsdiefstalbescherming als je bericht krijgt dat financiële of persoonlijke gegevens betrokken waren.
  • Verander wachtwoorden en schakel meervoudige authenticatie in op alle accounts die gekoppeld zijn aan de getroffen organisatie.
  • Blijf sceptisch tegenover vervolg-e-mails of telefoontjes die naar het datalek verwijzen, want aanvallers gebruiken gelekte details soms voor secundaire phishingpogingen.

De zaak-Goodwin Procter is een herinnering dat losgeldbetalingen, zelfs van grote bedragen, het onderliggende privacyrisico voor de mensen van wie de gegevens zijn buitgemaakt, niet wegnemen. Nu afpersingsgroepen doorgaan met het aanvallen van organisaties die gevoelige dossiers bewaren, blijft alert zijn op datalekmeldingen en het nemen van eenvoudige beschermende stappen de meest betrouwbare verdediging voor individuen.