Goodwin Procter, jedna z największych kancelarii prawnych w Stanach Zjednoczonych, zapłaciła około 10 milionów dolarów grupie wymuszającej okup o nazwie Luna Moth po naruszeniu bezpieczeństwa danych, które firma ujawniła na początku tego roku – wynika z informacji przekazanych przez osoby zaznajomione ze sprawą. Płatność, w której – jak się uważa – wiodącą rolę w odpowiedzi odegrała firma Brit, stanowi jedną z największych publicznie znanych sum okupu związaną z pojedynczym naruszeniem w kancelarii prawnej i rzuca światło na to, jak instytucje prawne obchodzą się z danymi klientów, gdy atakujący pukają do drzwi.

Co się wydarzyło w Goodwin Procter

Szczegóły pozostają ograniczone, ale podstawowe fakty są proste: Goodwin Procter padło ofiarą naruszenia bezpieczeństwa danych na początku roku, incydent został ujawniony, a firma ostatecznie zapłaciła grupie wymuszającej około 10 milionów dolarów, zamiast pozwolić na wyciek lub sprzedaż skradzionych danych. Luna Moth, grupa stojąca za wymuszeniem, nie jest powszechnie znana tak jak niektóre gangi ransomware, ale jej działalność wpisuje się w coraz bardziej powszechny schemat: atakujący uzyskują dostęp do wrażliwych plików, wykradają je, a następnie żądają zapłaty, aby zapobiec ich publicznemu ujawnieniu, niekoniecznie szyfrując przy tym systemy.

Skala płatności jest godna uwagi. Żądania okupu sięgające dziesiątek milionów dolarów historycznie kojarzone były z dużymi systemami szpitalnymi, producentami czy instytucjami finansowymi. Fakt, że kancelaria prawna osiągnęła taką kwotę, sygnalizuje, jak cenne stały się akta spraw sądowych, korespondencja z klientami i dokumenty objęte tajemnicą zawodową dla operatorów wymuszeń oraz ile firmy są skłonne wydać, aby utrzymać te dane z dala od opinii publicznej.

Dlaczego kancelarie prawne są atrakcyjnymi celami

Kancelarie prawne gromadzą niezwykłe zagęszczenie wrażliwych materiałów. Akta procesowe, dokumenty fuzyjne, dane osobowe związane ze sprawami rodzinnymi i majątkowymi oraz objęta tajemnicą korespondencja z klientami – wszystko to przechodzi przez firmowe serwery. W przeciwieństwie do sprzedawcy detalicznego czy placówki opieki zdrowotnej, dane kancelarii często dotykają jednocześnie wielu stron trzecich: klientów, adwokatów strony przeciwnej, sądów i organów regulacyjnych. Ta sieć ekspozycji daje grupom wymuszającym znaczną dźwignię, ponieważ wyciek nie tylko szkodzi samej firmie, ale może naruszyć zobowiązania do poufności wobec każdego klienta, którego akta zostały dotknięte.

Ta dynamika odzwierciedla to, co w ostatnim czasie działo się w innych sektorach. Atak vishingowy na Cushman & Wakefield pokazał, w jaki sposób atakujący mogą wykorzystywać socjotechnikę, aby dotrzeć głęboko do dokumentacji organizacji, podczas gdy incydenty takie jak naruszenie danych w Napoleon Perdis demonstrują, jak szybko wyciekłe dane klientów trafiają do publicznego obiegu, gdy tylko aktor grożący zdecyduje się je spieniężyć. W obu przypadkach, a teraz także w sprawie Goodwin Procter, podstawowa kalkulacja ofiar jest taka sama: zważyć koszt płatności względem kosztów i skutków wizerunkowych publicznego wycieku.

Co to oznacza dla Ciebie

Dla ogółu społeczeństwa zapłacenie okupu przez kancelarię prawną może wydawać się odległe od codziennych obaw o prywatność, ale skutki pośrednie są realne. Jeśli jesteś obecnym lub byłym klientem firmy dotkniętej takim naruszeniem, Twoje dane osobowe, szczegóły finansowe czy historia sprawy mogły znaleźć się wśród przechwyconych danych, niezależnie od tego, czy okup ostatecznie zapłacono. Zapłata nie gwarantuje, że dane zostały zniszczone lub nigdy nie zostały skopiowane gdzie indziej.

To część szerszego trendu, w którym wrażliwe dane osobowe – czy to akta prawne, pliki wyborcze, czy bazy klientów – są traktowane przez grupy wymuszające jak towar. Debata na temat obchodzenia się z danymi nie ogranicza się zresztą do kancelarii prawnych; pobrzmiewają w niej obawy poruszane w dyskusjach wokół udostępniania danych wyborczych i praw do prywatności, gdzie instytucje przechowujące ogromne ilości danych osobowych znajdują się pod coraz większą presją dotyczącą sposobu ich ochrony i ujawniania.

Jeśli otrzymałeś powiadomienie o naruszeniu od jakiejkolwiek organizacji, w tym kancelarii prawnej, potraktuj je poważnie, nawet jeśli zawiadomienie mówi, że okup został zapłacony lub sytuacja została rozwiązana. Zapłacenie grupie wymuszającej kupuje ciszę na krótką metę, a nie gwarancję, że Twoje dane nigdy nie zostały skopiowane, sprzedane ani przechowane przez innego aktora.

Wnioski dla czytelników

Oto, co możesz zrobić, jeśli obawiasz się ekspozycji w wyniku takiego incydentu:

  • Uważnie śledź wszelką korespondencję związaną z powiadomieniem o naruszeniu i nie zakładaj, że rozwiązanie incydentu oznacza, że Twoje dane są bezpieczne.
  • Skorzystaj z monitorowania kredytu lub usług ochrony przed kradzieżą tożsamości, jeśli zostaniesz powiadomiony, że w incydencie brały udział dane finansowe lub osobowe.
  • Zmień hasła i włącz uwierzytelnianie wieloskładnikowe na wszystkich kontach powiązanych z organizacją, której dotyczyło naruszenie.
  • Zachowaj sceptycyzm wobec wiadomości e-mail lub telefonów następczych odwołujących się do naruszenia, ponieważ atakujący czasami wykorzystują ujawnione szczegóły do przeprowadzania wtórnych prób phishingu.

Sprawa Goodwin Procter przypomina, że płatności okupu, nawet te wysokie, nie eliminują podstawowego ryzyka dla prywatności osób, których dane skradziono. Ponieważ grupy wymuszające nadal biorą na cel organizacje przechowujące wrażliwe dane, zachowanie czujności wobec powiadomień o naruszeniach i podejmowanie podstawowych działań ochronnych pozostaje najbardziej niezawodną obroną dostępną dla jednostek.