Brechas en Quinn Emanuel y McDermott: qué datos quedaron expuestos y qué sigue sin aclararse

Quinn Emanuel y McDermott, dos firmas de abogados de Estados Unidos, revelaron incidentes de ciberseguridad distintos que afectaron a archivos sensibles y datos personales. La información disponible apunta a accesos limitados, no a una campaña de ransomware identificada públicamente. Aun así, el tipo de material involucrado —documentos de litigios, números de la Seguridad Social y registros de salud— eleva la gravedad de los casos. Ambas firmas dijeron haber informado a las autoridades. 3

Qué reveló Quinn Emanuel

Quinn Emanuel indicó que un tercero no autorizado obtuvo acceso el 14 de agosto mediante ingeniería social: técnicas de manipulación destinadas a engañar a una persona para conseguir acceso o información. En una carta del 25 de agosto dirigida al abogado del vendedor en corto activista Muddy Waters, la firma señaló que se había accedido a algunos archivos relacionados con esa empresa. Esos documentos habían sido obtenidos por Quinn Emanuel en un litigio separado en Florida. 3

Según la firma, el incidente afectó archivos almacenados en una aplicación de software y se produjo a través de una cuenta de usuario comprometida temporalmente. Quinn Emanuel describió los documentos de clientes afectados como limitados y afirmó que avisó a las partes correspondientes. Los reportes públicos no precisan cuántos archivos ni cuántas personas pudieron verse afectadas. 3

Qué se sabe del caso de McDermott

McDermott comunicó también un acceso no autorizado a archivos almacenados en una aplicación de software, a través de una cuenta de usuario comprometida temporalmente. Una notificación regulatoria identificó a 15 personas afectadas. Entre los datos expuestos había números de la Seguridad Social estadounidense y registros de información sanitaria. 3

Además de informar a las autoridades, McDermott presentó notificaciones de brecha ante autoridades estatales. En un aviso público separado sobre el incidente, la firma dijo que contrató a especialistas externos para investigar y analizar los archivos afectados, reforzó sus salvaguardas administrativas y técnicas y ofreció formación adicional en ciberseguridad a su personal. 3

Lo que todavía no se conoce

Las divulgaciones no identifican públicamente a la persona o grupo responsable. Tampoco prueban que los dos incidentes estén relacionados, que participara un grupo de ransomware o extorsión, ni que los datos accedidos fueran extraídos más allá de los archivos descritos en los avisos.

La conclusión compartida debe ser prudente: ambos casos muestran el riesgo que supone comprometer una cuenta de usuario, pero no constituyen prueba de un mismo atacante u operación. 3

Por qué los archivos de Muddy Waters añaden sensibilidad al caso

El incidente de Quinn Emanuel atrajo especial atención porque el material accedido estaba relacionado con Muddy Waters, antiguo cliente de la firma. Posteriormente, Quinn Emanuel representó al fabricante de herramientas eléctricas Techtronic Industries en un litigio contra Muddy Waters. La firma de inversión pidió que Quinn Emanuel fuera apartada del caso, al sostener que la relación anterior planteaba un conflicto de intereses. 6

Un juez federal de Austin, Texas, retiró después a Quinn Emanuel de la representación de Techtronic, al determinar que su trabajo previo para Muddy Waters creaba un conflicto. Quinn Emanuel dijo que recurriría la decisión y negó que existiera tal conflicto. El fallo se refiere a deberes de ética profesional y lealtad al cliente; no establece que Quinn Emanuel provocara el incidente cibernético ni que el intruso actuara para Techtronic u otra parte del litigio. 5

Un problema más amplio en el sector legal, pero no una campaña confirmada

Los avisos de Quinn Emanuel y McDermott llegaron después de otras revelaciones de ciberseguridad en despachos de abogados durante 2026. Herbert Smith Freehills Kramer informó de que usuarios no autorizados accedieron a una parte limitada de sus sistemas tras un incidente del que tuvo conocimiento a finales de mayo. Goodwin Procter y Taft Stettinius & Hollister también realizaron notificaciones de brecha ante reguladores estatales en fechas cercanas.

WilmerHale afrontó una propuesta de demanda colectiva federal tras un ciberataque que presuntamente expuso datos personales sensibles, incluidos nombres y números de la Seguridad Social. La firma afirmó que un tercero no autorizado que estaba atacando a organizaciones del sector jurídico obtuvo un conjunto limitado de información.

En conjunto, estos casos muestran por qué los despachos son objetivos de alto valor: una sola cuenta o aplicación puede abrir la puerta a documentos protegidos por el secreto profesional y a datos de identidad. Sin embargo, los reportes disponibles no permiten tratar cada incidente como parte de una única campaña confirmada. La atribución, el alcance y el uso de los datos deben evaluarse caso por caso. 3