Goodwin Procter, et av de største advokatfirmaene i USA, betalte omtrent 10 millioner dollar til utpressingsgruppen kjent som Luna Moth etter et datainnbrudd firmaet offentliggjorde tidligere i år, ifølge personer med kjennskap til saken. Betalingen, rapportert med Brit antatt å ha hatt en ledende rolle i responsen, er et av de største offentlig kjente løsepengebeløpene knyttet til et enkelt advokatfirmainnbrudd og setter søkelys på hvordan juridiske institusjoner håndterer klientdata når angripere kommer på døren.

Hva skjedde hos Goodwin Procter

Detaljene er fortsatt begrensede, men kjernepunktene er enkle: Goodwin Procter opplevde et datainnbrudd tidligere i år, hendelsen ble offentliggjort, og firmaet endte opp med å betale en utpressingsgruppe omtrent 10 millioner dollar i stedet for å la stjålne data bli lekket eller solgt. Luna Moth, gruppen bak utpressingen, er ikke et kjent navn slik enkelte ransomware-gjenger er, men aktiviteten følger et mønster som har blitt stadig mer vanlig: angripere får tilgang til sensitive filer, eksfiltrerer dem og krever deretter betaling for å forhindre offentliggjøring, snarere enn nødvendigvis å kryptere systemene direkte.

Størrelsen på betalingen er bemerkelsesverdig. Løsepengekrav på titalls millioner har historisk vært knyttet til store sykehussystemer, produsenter eller finansinstitusjoner. Et advokatfirma som når dette beløpet, viser hvor verdifulle rettsdokumenter, klientkommunikasjon og privilegerte dokumenter har blitt for utpressingsaktører, og hvor mye firmaer er villige til å betale for å holde disse dataene unna offentligheten.

Hvorfor advokatfirmaer er attraktive mål

Advokatfirmaer sitter på en uvanlig konsentrasjon av sensitivt materiale. Rettsdokumenter, fusjonsdokumenter, personopplysninger knyttet til familie- og arvesaker, samt privilegert klientkommunikasjon, passerer alle gjennom firmaets servere. Til forskjell fra en forhandler eller en helseleverandør, berører et advokatfirmas data ofte flere tredjeparter samtidig: klienter, motparter, domstoler og tilsynsmyndigheter. Dette nettverket av eksponering gir utpressingsgrupper betydelig innflytelse, fordi en lekkasje ikke bare skader firmaet, men også kan ramme taushetsplikten overfor hver enkelt klient hvis filer har blitt berørt.

Dette speiler det vi har sett i andre sektorer nylig. Cushman & Wakefield vishing-angrep viste hvordan angripere kan bruke sosial manipulasjon for å trenge dypt inn i en organisasjons arkiver, mens hendelser som Napoleon Perdis datainnbrudd demonstrerer hvor raskt lekke kundedata havner på avveie når en trusselaktør bestemmer seg for å tjene penger på dem. I begge disse tilfellene, og nå i Goodwin Procter-saken, er den underliggende vurderingen for ofrene den samme: veie kostnaden ved å betale opp mot kostnaden og omdømmetapet ved en offentlig lekkasje.

Hva dette betyr for deg

For folk flest kan betaling av løsepenger fra et advokatfirma virke fjernt fra dagligdagse personvernhensyn, men ringvirkningene er reelle. Hvis du er en nåværende eller tidligere klient hos et firma som er rammet av et slikt innbrudd, kan personopplysningene dine, økonomiske detaljer eller saksdokumenter ha vært en del av de stjålne dataene, uansett om løsepenger til slutt ble betalt. Betaling er ingen garanti for at dataene ble destruert eller ikke kopiert et annet sted.

Dette er en del av en bredere trend der sensitiv personinformasjon – enten det er juridiske dokumenter, velgerregistre eller kundedatabaser – behandles som en handelsvare av utpressingsgrupper. Debatten om datahåndtering er heller ikke begrenset til advokatfirmaer; den gjenspeiler bekymringer som har kommet til uttrykk i diskusjoner om deling av velgerdata og personvernrettigheter, der institusjoner som sitter på store mengder persondata, møter stadig sterkere granskning av hvordan opplysningene beskyttes og utleveres.

Hvis du har mottatt et varsel om datainnbrudd fra en organisasjon, inkludert et advokatfirma, bør du ta det på alvor selv om det står at løsepenger er betalt eller at saken er løst. Å betale en utpressingsgruppe kjøper stillhet på kort sikt, ikke en garanti for at dataene dine aldri ble kopiert, solgt eller beholdt av en annen aktør.

Dette bør leserne merke seg

Her er det du kan gjøre hvis du er bekymret for eksponering som følge av en slik hendelse:

  • Følg nøye med på all korrespondanse om datainnbrudd, og ikke anta at en løst hendelse betyr at dataene dine er trygge.
  • Bruk kredittovervåking eller identitetstyveribeskyttelse hvis du får beskjed om at økonomiske opplysninger eller personlige dokumenter har vært involvert.
  • Endre passord og aktiver flerfaktorautentisering på alle kontoer knyttet til den berørte organisasjonen.
  • Vær skeptisk til oppfølgings-e-poster eller samtaler som viser til innbruddet, ettersom angripere noen ganger bruker lekke detaljer til å gjennomføre nye phishing-forsøk.

Goodwin Procter-saken er en påminnelse om at løsepengeutbetalinger, selv store, ikke fjerner den underliggende personvernrisikoen for dem hvis data ble tatt. Ettersom utpressingsgrupper fortsetter å angripe organisasjoner som oppbevarer sensitive dokumenter, er årvåkenhet overfor varsler om datainnbrudd og grunnleggende beskyttelsestiltak det mest pålitelige forsvaret den enkelte har.