Ett dataintrång hos en advokatbyrå som exponerar personnummer drabbar nu klienter hos flera stora amerikanska byråer. Enligt rapportering från Cybernews meddelade Holland & Knight 14 klienter efter ett intrång, då flera amerikanska advokatbyråer rapporterade incidenter där personnummer exponerades.

Källsammanfattningen är kortfattad, så detta inlägg håller sig till vad som har rapporterats och fokuserar på vad drabbade personer kan göra. Kärnpunkten är enkel: advokatbyråer förvarar känsliga personuppgifter, och när en av dem drabbas av intrång kan personer vars uppgifter finns i dessa filer påverkas även om de aldrig har haft direkt kontakt med byrån.

Vad intrången hos advokatbyråerna exponerade

Det centrala problemet i dessa incidenter är exponeringen av personnummer. Till skillnad från ett lösenord kan ett personnummer inte enkelt ändras, och det är en viktig uppgift som används för att öppna konton, deklarera skatt och verifiera identitet i USA. Det är därför det är så värdefullt för kriminella.

Advokatbyråer är ett attraktivt mål eftersom de rutinmässigt hanterar dokument som innehåller personliga identifierare. Klientfiler, anställningsregister, dödsbofrågor och rättegångsmaterial kan alla innehålla den här typen av information. En enda byrå som komprometteras kan innehålla uppgifter om många personer och organisationer samtidigt.

Sammanfattningen beskriver inte hur angriparna tog sig in eller exakt vilka andra datatyper som togs, så dessa detaljer bör inte antas. Om du får ett meddelande bör själva brevet beskriva vad som var inblandat i ditt fall.

Vilka byråer som har rapporterat incidenter

Den enda byrån som nämns i källsammanfattningen är Holland & Knight, som meddelade 14 klienter. Artikeln anger att även andra amerikanska advokatbyråer rapporterade intrång som exponerade personnummer, och uppmanar läsare att se vilka byråer som rapporterade incidenter. Sammanfattningen som tillhandahålls listar inte dessa andra byråer, så vi namnger inga utöver Holland & Knight.

Siffran 14 avser klienter som meddelats, vilket inte nödvändigtvis är samma sak som det totala antalet individer vars uppgifter exponerades. En enda klient, till exempel ett företag, kan representera många personer vars information fanns i filerna. Betrakta siffran som en utgångspunkt snarare än ett fullständigt mått på påverkan.

Hur du kontrollerar om du har fått ett intrångsmeddelande

Meddelanden om intrång kan komma via post, och bedragare vet det. Innan du agerar på något meddelande, verifiera det.

  • Kontrollera avsändaren. Bekräfta att meddelandet namnger en byrå eller organisation som du har en verklig koppling till, direkt eller indirekt, till exempel genom en arbetsgivare, en juridisk fråga eller ett företag du arbetar med.
  • Kontakta byrån självständigt. Slå upp organisationens kontaktuppgifter själv i stället för att använda telefonnummer eller länkar i meddelandet.
  • Var vaksam mot brådska. Ett legitimt meddelande förklarar vad som hände och vad du kan göra. Det kräver inte betalning eller ditt personnummer för att "bekräfta" intrånget.
  • Granska eventuella erbjudna tjänster. Meddelanden nämner ofta kreditövervakning eller identitetsskydd. Anmäl dig via officiella instruktioner som du har verifierat, inte via oönskade e-postmeddelanden eller sms.

Om du inte har fått ett meddelande men tror att dina uppgifter kan ha varit inblandade, till exempel för att en advokat eller arbetsgivare hanterade dina uppgifter, kan du fråga den relevanta organisationen om din information påverkades.

Steg för att skydda din identitet efter exponering

När ett personnummer exponeras är målet att göra det svårt för någon att använda det. Överväg dessa steg:

  1. Spärra din kredit. En spärr hos kreditbyråerna blockerar de flesta nya konton från att öppnas i ditt namn. Det är gratis och kan hävas när du behöver ansöka om kredit.
  2. Övervaka dina konton. Granska bank-, kort- och kreditrapportaktivitet regelbundet för något obekant.
  3. Se upp för nätfiske. Angripare kan använda stulna uppgifter för att skapa övertygande meddelanden. Klicka inte på länkar eller dela information som svar på oväntad kontakt.
  4. Säkra dina inloggningar. Använd unika lösenord och multifaktorautentisering, särskilt för e-post och finansiella konton.
  5. Spara meddelandet. Spara brevet och eventuella referensnummer om du behöver bestrida bedrägeri senare.

Vad detta innebär för dig

Du behöver inte vara klient hos en advokatbyrå för att påverkas av ett dataintrång hos en advokatbyrå. Ditt personnummer kan finnas i filer som hålls för en arbetsgivares, ett företags eller en annan parts räkning. Ta alla meddelanden på allvar, verifiera dem via oberoende kanaler och agera snabbt med skyddsåtgärder.

Ett VPN skyddar inte data som redan lagras av en tredje part, så de mest effektiva åtgärderna här är på kontonivå: kreditspärrar, övervakning och försiktig hantering av oväntade meddelanden. Intrång av detta slag är inte heller begränsade till juristsektorn. Storskalig datastöld har drabbat offentliga organ också, vilket sågs när iranska hackare slog till mot LA Metro och stal 700 GB data.

Viktiga slutsatser

Det rapporterade dataintrånget hos advokatbyrån som exponerade personnummer är en påminnelse om att känsliga uppgifter finns på många platser som du kanske inte kontrollerar. Om du får ett intrångsmeddelande, verifiera det, spärra din kredit och övervaka dina konton noggrant. Att vidta dessa åtgärder nu kostar lite och kan förhindra mycket större problem senare.