Twee grote advocatenkantoren hebben cliënten laten weten dat hun gegevens betrokken waren bij een aanval die zich op mensen richtte in plaats van op software. Holland & Knight en Squire Patton Boggs maakten in oktober 2026 datalekken bekend en informeerden 14 cliënten na een social-engineeringaanval. De zaak is een nuttige herinnering aan hoe een datalek bij een advocatenkantoor door social engineering werkt, en aan wat de cliënten aan de ontvangende kant eraan kunnen doen.

De bron waarop wordt gerapporteerd is beknopt, dus dit bericht houdt zich aan wat bevestigd is en legt de algemene werking van dit soort aanvallen uit. Er wordt niet gespeculeerd over welke gegevens zijn buitgemaakt of wie erachter zat.

Wat Holland & Knight en Squire Patton Boggs hebben bekendgemaakt

Volgens de berichtgeving hebben beide kantoren in oktober 2026 beveiligingsincidenten bekendgemaakt. Samen werden 14 cliënten geïnformeerd. De oorzaak werd beschreven als een social-engineeringaanval.

De bron gaat niet in detail in op welke soorten informatie zijn blootgesteld, hoe lang aanvallers toegang hadden of hoe de misleiding werd uitgevoerd. Totdat de kantoren of toezichthouders meer publiceren, blijven die vragen open. Als u cliënt bent van een van beide kantoren, is de kennisgeving die u ontvangt de gezaghebbende bron voor wat op u van toepassing is.

Hoe social engineering de verdediging van advocatenkantoren omzeilt

Social engineering betekent dat iemand wordt misleid om iets te doen dat een aanvaller helpt, zoals het delen van een wachtwoord, het goedkeuren van een inlogprompt, het openen van een bestand of het overdragen van informatie. Het hoeft geen firewall te verslaan of een softwarefout uit te buiten. Het heeft slechts één overtuigend bericht nodig dat één drukke medewerker bereikt.

Daarom hebben technische verdedigingsmaatregelen alleen beperkingen. Versleuteling, netwerkmonitoring en toegangscontroles gaan er allemaal van uit dat de mensen die de sleutels hebben ze correct gebruiken. Een aanvaller die zich voordoet als een collega, een cliënt of een IT-helpdesk kan die controles soms omzeilen door een legitieme gebruiker te vragen de deur te openen.

Veelvoorkomende verdedigingsmaatregelen waarop organisaties vertrouwen zijn onder meer:

  • Phishingbestendige multi-factorauthenticatie, zoals hardwarematige beveiligingssleutels
  • Verificatieprocedures voor ongebruikelijke verzoeken, zoals terugbellen naar een bekend nummer
  • Beperken wie toegang heeft tot welke cliëntbestanden
  • Regelmatige training van medewerkers en gesimuleerde phishingoefeningen

Geen enkele maatregel is waterdicht, daarom zijn gelaagde controles belangrijk.

Waarom cliëntgegevens bij professionele dienstverleners kwetsbaar zijn

Advocatenkantoren bewaren een geconcentreerde mix van informatie: contracten, financiële administratie, persoonlijke gegevens en correspondentie die aan hun cliënten is gekoppeld. Dat maakt ze een aantrekkelijke plek om te zoeken, omdat één succesvolle inbraak veel cliënten tegelijk kan raken.

Vanuit het perspectief van een cliënt is er ook een vertrouwenskloof. U kiest een kantoor vanwege zijn expertise en discretie, maar u ziet zelden de interne beveiligingspraktijken. Uw gegevens zijn alleen zo veilig als de gewoonten van de mensen die ermee omgaan, en op die gewoonten heeft u weinig invloed. De bekendmakingen van deze twee kantoren laten zien dat zelfs grote, goed uitgeruste organisaties kunnen worden getroffen wanneer één misleiding werkt.

Wat dit voor u betekent

Als u een van de 14 geïnformeerde cliënten bent, lees uw kennisgeving dan zorgvuldig en volg alle instructies daarin op. Als u dat niet bent, gelden dezelfde principes voor elk kantoor, elke bank of elke aanbieder die uw informatie bewaart.

Een paar praktische stappen:

  • Behandel vervolgberichten met wantrouwen. Na een datalek doen aanvallers zich soms voor als de getroffen organisatie. Klik niet op links in onverwachte e-mails of sms'jes over het incident. Neem contact op met het kantoor via een telefoonnummer of adres dat u al vertrouwt.
  • Controleer uw referentiehygiëne. Gebruik een uniek wachtwoord voor elk account, bewaar ze in een wachtwoordmanager en schakel multi-factorauthenticatie in waar die wordt aangeboden. Als u ergens een wachtwoord hebt hergebruikt dat met deze relatie te maken heeft, wijzig het dan.
  • Vraag wat er is blootgesteld. Cliënten hebben alle recht om een kantoor te vragen welke gegevens betrokken waren en wat het doet om herhaling te voorkomen.
  • Schakel monitoring van datalekmeldingen in. Veel browsers, wachtwoordmanagers en kredietdiensten kunnen u waarschuwen wanneer uw e-mailadres of andere gegevens in een bekend datalek opduiken.
  • Houd uw accounts in de gaten. Let de komende maanden op financiële overzichten en ongebruikelijke inlogwaarschuwingen.

Voor een breder overzicht van de stappen die u kunt nemen wanneer persoonlijke gegevens betrokken raken bij een groot incident, zie onze berichtgeving over het datalek bij Carnival Corporation, dat ongeveer 6 miljoen mensen trof.

De kern

De bekendmakingen van Holland & Knight en Squire Patton Boggs laten zien dat een datalek bij een advocatenkantoor door een social-engineeringaanval geen geavanceerde malware nodig heeft om gevoelige cliëntinformatie te bereiken. Het heeft een overtuigend voorwendsel nodig en een persoon die bereid is het te vertrouwen. Kantoren dragen de hoofdverantwoordelijkheid voor het trainen van medewerkers en het inbouwen van verificatie in hun routines, maar cliënten staan niet machteloos.

Begin vandaag: controleer uw wachtwoorden, schakel multi-factorauthenticatie in, stel datalekwaarschuwingen in en wees op uw hoede voor elk bericht dat naar deze incidenten verwijst. Die kleine gewoonten beperken de schade als de medewerker van iemand anders wordt misleid.