Två stora advokatbyråer har informerat klienter om att deras data fångades upp i en attack som riktade sig mot människor snarare än programvara. Holland & Knight och Squire Patton Boggs avslöjade intrång i oktober 2026 och meddelade 14 klienter efter en social-engineering-attack. Fallet är en användbar påminnelse om hur en social-engineering-incident vid en advokatbyrå fungerar, och om vad klienterna på mottagarsidan kan göra åt det.

Källrapporteringen är kortfattad, så detta inlägg håller sig till det som har bekräftats och förklarar den allmänna mekaniken i den här typen av attack. Det spekulerar inte om vilken data som togs eller vem som låg bakom.

Vad Holland & Knight och Squire Patton Boggs avslöjade

Enligt rapporteringen avslöjade båda byråerna säkerhetsincidenter i oktober 2026. Tillsammans meddelades 14 klienter. Orsaken beskrevs som en social-engineering-attack.

Källan beskriver inte vilka typer av information som exponerades, hur länge angriparna hade åtkomst eller hur bedrägeriet genomfördes. Tills byråerna eller tillsynsmyndigheterna publicerar mer förblir dessa frågor öppna. Om du är klient hos någon av byråerna är det meddelande du får den auktoritativa källan för vad som gäller för dig.

Hur social engineering tar sig förbi advokatbyråers försvar

Social engineering innebär att lura en person att göra något som hjälper en angripare, till exempel att dela ett lösenord, godkänna en inloggningsprompt, öppna en fil eller lämna över information. Det behöver inte besegra en brandvägg eller utnyttja en mjukvarubrist. Det behöver bara ett övertygande meddelande som når en upptagen anställd.

Det är därför enbart tekniska försvar har sina gränser. Kryptering, nätverksövervakning och åtkomstkontroller förutsätter alla att de som håller i nycklarna använder dem korrekt. En angripare som utger sig för att vara en kollega, en klient eller en IT-helpdesk kan ibland kringgå dessa kontroller genom att be en legitim användare att öppna dörren.

Vanliga försvar som organisationer förlitar sig på inkluderar:

  • Nätfiskeresistent multi-factor-autentisering, till exempel hårdvarusäkerhetsnycklar
  • Verifieringsrutiner för ovanliga förfrågningar, som att ringa tillbaka på ett känt nummer
  • Begränsa vem som kan komma åt vilka klientfiler
  • Regelbunden personalutbildning och simulerade nätfiskeövningar

Ingen enskild åtgärd är idiotsäker, vilket är anledningen till att lager av kontroller spelar roll.

Varför klientdata hos professionella tjänsteföretag är exponerad

Advokatbyråer har en koncentrerad blandning av information: avtal, finansiella register, personuppgifter och korrespondens knuten till sina klienter. Det gör dem till en attraktiv plats att leta på, eftersom ett enda lyckat intrång kan beröra många klienter samtidigt.

Ur en klients perspektiv finns det också en förtroendeklyfta. Du väljer en byrå för dess expertis och diskretion, men du ser sällan dess interna säkerhetspraxis. Din data är bara så säker som vanorna hos de människor som hanterar den, och du har liten kontroll över dessa vanor. Avslöjandena från dessa två byråer visar att även stora organisationer med goda resurser kan påverkas när ett bedrägeri lyckas.

Vad detta innebär för dig

Om du är en av de 14 meddelade klienterna, läs ditt meddelande noggrant och följ eventuella instruktioner det ger. Om du inte är det gäller samma principer för alla byråer, banker eller leverantörer som har din information.

Några praktiska steg:

  • Behandla uppföljningsmeddelanden med misstänksamhet. Efter ett intrång utger sig angripare ibland för att vara den drabbade organisationen. Klicka inte på länkar i oväntade e-postmeddelanden eller sms om incidenten. Kontakta byrån via ett telefonnummer eller en adress som du redan litar på.
  • Se över din hantering av inloggningsuppgifter. Använd ett unikt lösenord för varje konto, förvara dem i en lösenordshanterare och aktivera multi-factor-autentisering där det erbjuds. Om du har återanvänt ett lösenord någonstans kopplat till denna relation, ändra det.
  • Fråga vad som exponerades. Klienter har all rätt att fråga en byrå vilken data som var inblandad och vad byrån gör för att förhindra en upprepning.
  • Aktivera övervakning av intrångsmeddelanden. Många webbläsare, lösenordshanterare och kredittjänster kan varna dig när din e-postadress eller andra uppgifter förekommer i ett känt intrång.
  • Håll koll på dina konton. Håll ett öga på kontoutdrag och ovanliga inloggningsvarningar under de kommande månaderna.

För en bredare genomgång av stegen att vidta när personuppgifter fångas upp i en stor incident, se vår bevakning av Carnival Corporations dataintrång, som drabbade cirka 6 miljoner människor.

Slutsatsen

Avslöjandena från Holland & Knight och Squire Patton Boggs visar att en social-engineering-attack vid en advokatbyrå inte behöver avancerad skadlig programvara för att nå känslig klientinformation. Den behöver ett övertygande svepskäl och en person som är villig att lita på det. Byråerna bär huvudansvaret för att utbilda personal och bygga in verifiering i sina rutiner, men klienter är inte maktlösa.

Börja idag: granska dina lösenord, aktivera multi-factor-autentisering, ställ in intrångsaviseringar och var vaksam mot alla meddelanden som hänvisar till dessa incidenter. Dessa små vanor begränsar skadorna om någon annans anställd blir lurad.