Dois grandes escritórios de advocacia informaram aos clientes que seus dados foram envolvidos em um ataque direcionado a pessoas, e não a softwares. Holland & Knight e Squire Patton Boggs divulgaram violações em outubro de 2026, notificando 14 clientes após um ataque de engenharia social. O caso é um lembrete útil de como funciona um incidente de violação de dados em escritório de advocacia por engenharia social, e do que os clientes afetados podem fazer a respeito.

A reportagem da fonte é breve, então este post se atém ao que foi confirmado e explica a mecânica geral desse tipo de ataque. Não especula sobre quais dados foram obtidos nem sobre quem estaria por trás disso.

O que Holland & Knight e Squire Patton Boggs divulgaram

Segundo a reportagem, ambos os escritórios divulgaram incidentes de segurança em outubro de 2026. Juntos, 14 clientes foram notificados. A causa foi descrita como um ataque de engenharia social.

A fonte não detalha quais tipos de informação foram expostos, por quanto tempo os atacantes tiveram acesso ou como o golpe foi aplicado. Até que os escritórios ou os reguladores publiquem mais informações, essas questões permanecem em aberto. Se você é cliente de um dos dois escritórios, a notificação que receber é a fonte autoritativa sobre o que se aplica ao seu caso.

Como a engenharia social supera as defesas de um escritório de advocacia

Engenharia social significa enganar uma pessoa para que ela faça algo que ajude um atacante, como compartilhar uma senha, aprovar um prompt de login, abrir um arquivo ou entregar informações. Não é preciso derrotar um firewall nem explorar uma falha de software. Basta que uma mensagem convincente chegue a um funcionário ocupado.

É por isso que as defesas técnicas, sozinhas, têm limites. Criptografia, monitoramento de rede e controles de acesso partem do princípio de que as pessoas que detêm as chaves as usam corretamente. Um atacante que se passa por um colega, um cliente ou um help desk de TI às vezes consegue contornar esses controles pedindo que um usuário legítimo abra a porta.

Entre as defesas comuns em que as organizações confiam estão:

  • Autenticação multifator resistente a phishing, como chaves de segurança físicas
  • Procedimentos de verificação para solicitações incomuns, como retornar a ligação por um número conhecido
  • Limitar quem pode acessar quais arquivos de clientes
  • Treinamento regular da equipe e exercícios simulados de phishing

Nenhuma medida isolada é infalível, e é por isso que controles em camadas importam.

Por que os dados de clientes em empresas de serviços profissionais ficam expostos

Os escritórios de advocacia guardam uma mistura concentrada de informações: contratos, registros financeiros, dados pessoais e correspondências ligadas a seus clientes. Isso os torna um alvo atraente, porque uma única intrusão bem-sucedida pode atingir muitos clientes de uma só vez.

Do ponto de vista do cliente, há também uma lacuna de confiança. Você escolhe um escritório por sua competência e discrição, mas raramente enxerga suas práticas internas de segurança. Seus dados estão tão seguros quanto os hábitos das pessoas que os manipulam, e você tem pouco controle sobre esses hábitos. As divulgações desses dois escritórios mostram que até organizações grandes e bem estruturadas podem ser afetadas quando um golpe funciona.

O que isso significa para você

Se você é um dos 14 clientes notificados, leia sua notificação com atenção e siga qualquer instrução que ela apresente. Se não for, os mesmos princípios valem para qualquer escritório, banco ou fornecedor que guarde suas informações.

Alguns passos práticos:

  • Trate mensagens de acompanhamento com desconfiança. Após uma violação, os atacantes às vezes se passam pela organização afetada. Não clique em links de e-mails ou mensagens de texto inesperados sobre o incidente. Contate o escritório usando um telefone ou endereço em que você já confia.
  • Revise a higiene das suas credenciais. Use uma senha única para cada conta, guarde-as em um gerenciador de senhas e ative a autenticação multifator sempre que ela for oferecida. Se você reutilizou uma senha em qualquer lugar ligado a essa relação, troque-a.
  • Pergunte o que foi exposto. Os clientes têm todo o direito de perguntar ao escritório quais dados foram envolvidos e o que ele está fazendo para evitar uma repetição.
  • Ative o monitoramento de notificações de violação. Muitos navegadores, gerenciadores de senhas e serviços de crédito podem avisar quando seu endereço de e-mail ou outros dados aparecem em uma violação conhecida.
  • Fique de olho nas suas contas. Acompanhe extratos financeiros e alertas de login incomuns nos próximos meses.

Para uma visão mais ampla sobre os passos a tomar quando dados pessoais são envolvidos em um incidente de grande porte, veja nossa cobertura da violação de dados da Carnival Corporation, que afetou cerca de 6 milhões de pessoas.

A conclusão

As divulgações de Holland & Knight e Squire Patton Boggs mostram que um ataque de engenharia social com violação de dados em escritório de advocacia não precisa de malware avançado para alcançar informações sigilosas de clientes. Precisa de um pretexto convincente e de uma pessoa disposta a confiar nele. Os escritórios carregam a principal responsabilidade de treinar a equipe e incorporar a verificação às suas rotinas, mas os clientes não ficam indefesos.

Comece hoje: audite suas senhas, ative a autenticação multifator, configure alertas de violação e desconfie de qualquer mensagem que mencione esses incidentes. Esses pequenos hábitos limitam os danos se o funcionário de outra pessoa for enganado.