Goodwin Procter, um dos maiores escritórios de advocacia dos Estados Unidos, pagou cerca de US$ 10 milhões ao grupo de extorsão conhecido como Luna Moth após uma violação de segurança de dados que o escritório revelou no início deste ano, de acordo com pessoas familiarizadas com o assunto. O pagamento, que, segundo informações, teve a Brit assumindo um papel de liderança na resposta, representa um dos maiores valores de resgate publicamente conhecidos ligados a uma violação de um único escritório de advocacia e coloca em evidência a forma como as instituições jurídicas lidam com dados de clientes quando os atacantes batem à porta.

O que aconteceu na Goodwin Procter

Os detalhes permanecem limitados, mas os fatos centrais são diretos: a Goodwin Procter sofreu uma violação de segurança de dados no início do ano, o incidente foi divulgado e o escritório acabou pagando cerca de US$ 10 milhões a um grupo de extorsão em vez de permitir que os dados roubados fossem vazados ou vendidos. O Luna Moth, grupo por trás da extorsão, não é um nome conhecido como algumas gangues de ransomware, mas sua atuação segue um padrão cada vez mais comum: os atacantes obtêm acesso a arquivos confidenciais, os exfiltram e depois exigem pagamento para evitar a divulgação pública, em vez de necessariamente criptografar os sistemas de imediato.

A dimensão do pagamento é notável. Exigências de resgate na casa das dezenas de milhões historicamente estiveram associadas a grandes redes hospitalares, fabricantes ou instituições financeiras. Um escritório de advocacia atingir esse valor sinaliza o quanto arquivos de processos judiciais, comunicações com clientes e registros privilegiados se tornaram valiosos para operadores de extorsão, e o quanto os escritórios estão dispostos a gastar para manter esses dados longe dos olhos do público.

Por que os escritórios de advocacia são alvos atraentes

Os escritórios de advocacia concentram uma quantidade incomum de material sensível. Arquivos de litígios, documentos de fusões, registros pessoais ligados a questões familiares e sucessórias e comunicações privilegiadas com clientes passam pelos servidores dos escritórios. Diferentemente de um varejista ou de um prestador de serviços de saúde, os dados de um escritório de advocacia muitas vezes envolvem múltiplos terceiros ao mesmo tempo: clientes, advogados da parte contrária, tribunais e órgãos reguladores. Essa teia de exposição confere aos grupos de extorsão uma alavancagem significativa, porque um vazamento não apenas prejudica o escritório, mas pode comprometer as obrigações de confidencialidade devidas a cada cliente cujos arquivos foram acessados.

Essa dinâmica reflete o que tem ocorrido em outros setores recentemente. O ataque de vishing à Cushman & Wakefield mostrou como os atacantes podem usar engenharia social para alcançar profundamente os registros de uma organização, enquanto incidentes como a violação de dados da Napoleon Perdis demonstram a rapidez com que dados de clientes vazados acabam circulando publicamente quando um agente de ameaças decide monetizá-los. Em ambos os casos, e agora no da Goodwin Procter, o cálculo subjacente para as vítimas é o mesmo: pesar o custo do pagamento contra o custo e o dano reputacional de um vazamento público.

O que isso significa para você

Para o público em geral, o pagamento de resgate por um escritório de advocacia pode parecer distante das preocupações cotidianas de privacidade, mas os efeitos em cadeia são reais. Se você é um cliente atual ou antigo de um escritório afetado por uma violação como essa, seus registros pessoais, detalhes financeiros ou o histórico do seu caso podem ter sido parte dos dados levados, independentemente de um resgate ter sido pago no final. O pagamento não garante que os dados foram destruídos ou que não foram copiados para outro lugar.

Isso faz parte de uma tendência mais ampla em que informações pessoais sensíveis, sejam registros jurídicos, arquivos de eleitores ou bases de dados de clientes, são tratadas como mercadoria por grupos de extorsão. O debate sobre o tratamento de dados não se limita aos escritórios de advocacia; ele ecoa preocupações levantadas em discussões sobre compartilhamento de dados de eleitores e direitos de privacidade, nas quais instituições que detêm grandes volumes de dados pessoais enfrentam um escrutínio crescente sobre como essas informações são protegidas e divulgadas.

Se você recebeu uma notificação de violação de qualquer organização, incluindo um escritório de advocacia, leve a sério mesmo que o aviso diga que um resgate foi pago ou a situação foi resolvida. Pagar a um grupo de extorsão compra silêncio no curto prazo, não uma garantia de que seus dados nunca foram copiados, vendidos ou retidos por um agente secundário.

Pontos-chave para os leitores

Aqui está o que você pode fazer se estiver preocupado com a exposição decorrente de um incidente como este:

  • Acompanhe de perto qualquer correspondência de notificação de violação e não presuma que um incidente resolvido significa que seus dados estão seguros.
  • Utilize serviços de monitoramento de crédito ou de proteção contra roubo de identidade se for notificado de que registros financeiros ou pessoais foram envolvidos.
  • Altere senhas e ative a autenticação multifator em todas as contas vinculadas à organização afetada.
  • Mantenha-se cético em relação a e-mails ou ligações de acompanhamento que mencionem a violação, pois os atacantes às vezes usam detalhes vazados para realizar tentativas secundárias de phishing.

O caso Goodwin Procter é um lembrete de que pagamentos de resgate, mesmo que elevados, não eliminam o risco de privacidade subjacente para as pessoas cujos dados foram levados. À medida que grupos de extorsão continuam visando organizações que detêm registros sensíveis, permanecer atento às notificações de violação e adotar medidas básicas de proteção continua sendo a defesa mais confiável disponível para os indivíduos.