Fuites chez Quinn Emanuel et McDermott : ce qui a été exposé, et ce qui reste inconnu

Les cabinets d’avocats américains Quinn Emanuel et McDermott ont révélé deux incidents de cybersécurité distincts impliquant des fichiers sensibles et des données personnelles. Les éléments rendus publics décrivent des accès ciblés et circonscrits, plutôt qu’une campagne de rançongiciel identifiée publiquement. Mais la nature des données concernées — documents de contentieux, numéros de sécurité sociale américains et informations de santé — donne à ces affaires une portée particulière. Les deux cabinets affirment avoir alerté les autorités compétentes. 3

Ce que Quinn Emanuel a déclaré

Quinn Emanuel a indiqué qu’un tiers non autorisé avait obtenu un accès le 14 août, à la suite d’une opération d’ingénierie sociale — une technique de manipulation visant, par exemple, à amener un utilisateur à divulguer ses identifiants. Dans une lettre du 25 août adressée à l’avocat du vendeur à découvert activiste Muddy Waters, le cabinet a précisé que certains fichiers relatifs à Muddy Waters avaient été consultés. Ces documents avaient été obtenus par Quinn Emanuel dans le cadre d’un autre litige en Floride. 3

Selon le cabinet, l’incident concernait l’accès non autorisé à des fichiers stockés dans une seule application logicielle, au moyen d’un seul compte utilisateur temporairement compromis. Quinn Emanuel a qualifié le volume de documents clients affectés de limité et a déclaré avoir informé les parties concernées. Les informations publiques ne permettent pas de connaître le nombre total de fichiers ni de personnes touchés. 3

Ce que McDermott a déclaré

McDermott a, de son côté, rapporté un accès non autorisé à des fichiers stockés via une seule application logicielle et un seul compte utilisateur temporairement compromis. Une déclaration réglementaire fait état de 15 personnes concernées. Les données exposées comprennent des numéros de sécurité sociale américains et des dossiers contenant des informations de santé. 3

Au-delà du signalement aux autorités, McDermott a effectué des notifications auprès d’autorités étatiques compétentes en matière de violations de données. Dans un avis distinct sur l’incident, le cabinet a indiqué avoir mandaté des spécialistes externes pour enquêter et analyser les fichiers concernés. Il affirme aussi avoir renforcé ses mesures administratives et techniques de sécurité, ainsi que la formation de ses équipes à la cybersécurité. 3

Ce que les divulgations ne permettent pas d’affirmer

Les informations rendues publiques n’identifient ni individu ni groupe responsable. Elles n’établissent pas non plus que les deux incidents soient liés, qu’un groupe spécialisé dans le rançongiciel ou l’extorsion soit impliqué, ou que les données consultées aient été exfiltrées au-delà des fichiers décrits dans les notifications.

La conclusion commune doit donc rester prudente : ces deux cas illustrent le risque qu’entraîne la compromission d’un compte utilisateur. Ils ne constituent pas une preuve de l’existence d’un même opérateur. 3

Pourquoi les fichiers liés à Muddy Waters sont particulièrement sensibles

L’incident chez Quinn Emanuel a retenu l’attention parce que les documents consultés concernaient Muddy Waters, ancien client du cabinet. Quinn Emanuel a ensuite représenté le fabricant d’outils électriques Techtronic Industries dans une procédure contre Muddy Waters. Ce dernier a demandé que le cabinet soit écarté du dossier, estimant que la relation antérieure créait un conflit d’intérêts. 6

Un juge fédéral d’Austin, au Texas, a par la suite retiré Quinn Emanuel du dossier opposant Techtronic à Muddy Waters, concluant que la représentation antérieure de Muddy Waters constituait un conflit d’intérêts. Quinn Emanuel a annoncé son intention de faire appel et a contesté l’existence d’un conflit. Cette décision porte sur les obligations déontologiques et la loyauté envers le client ; elle n’établit ni que Quinn Emanuel a provoqué l’incident informatique, ni qu’un intrus aurait agi pour le compte de Techtronic ou d’une autre partie au litige. 5

Un problème plus large pour les cabinets d’avocats, sans preuve d’une campagne unique

Les divulgations de Quinn Emanuel et McDermott interviennent après d’autres incidents signalés par des cabinets d’avocats en 2026. Herbert Smith Freehills Kramer a indiqué que des utilisateurs non autorisés avaient accédé à une portion limitée de ses systèmes, après un incident dont le cabinet a eu connaissance fin mai. Goodwin Procter et Taft Stettinius & Hollister ont également déposé des notifications de violation auprès de régulateurs d’États américains sur une période proche.

WilmerHale fait par ailleurs l’objet d’une proposition d’action collective fédérale après une cyberattaque qui aurait exposé des données personnelles sensibles, notamment des noms et des numéros de sécurité sociale. Le cabinet a déclaré qu’un tiers non autorisé ciblant des cabinets du secteur juridique avait obtenu un ensemble limité d’informations.

L’ensemble de ces divulgations rappelle pourquoi les structures juridiques sont des cibles de premier plan : un seul compte ou une seule application peut ouvrir l’accès à des documents couverts par le secret professionnel et à des données d’identité. Elles ne justifient toutefois pas de présenter toutes les affaires comme les volets d’une campagne confirmée. L’attribution, l’ampleur de l’accès et le traitement des données doivent être évalués dossier par dossier. 3