Kebocoran Data Quinn Emanuel dan McDermott: Apa yang Terungkap dan yang Masih Belum Jelas

Kebocoran data di firma hukum bisa sangat sensitif karena satu akun atau satu aplikasi dapat menjadi pintu masuk ke dokumen perkara, informasi klien, serta data identitas pribadi. Quinn Emanuel dan McDermott mengungkap insiden keamanan siber terpisah yang melibatkan akses tidak sah ke berkas sensitif. Keduanya menyatakan telah memberi tahu aparat penegak hukum. 3

Meski demikian, pengungkapan yang tersedia tidak menyebut pelakunya, tidak memastikan adanya kelompok ransomware atau pemerasan, dan tidak membuktikan bahwa kedua insiden itu saling berkaitan.

Yang diungkap Quinn Emanuel

Quinn Emanuel menyatakan pihak ketiga tanpa wewenang memperoleh akses pada 14 Agustus melalui social engineering atau rekayasa sosial—taktik manipulasi untuk menipu pengguna agar memberikan akses atau informasi.

Dalam surat tertanggal 25 Agustus kepada kuasa hukum Muddy Waters, firma tersebut mengatakan bahwa sejumlah berkas terkait Muddy Waters telah diakses. Berkas itu sebelumnya diperoleh Quinn Emanuel dalam perkara terpisah di Florida. 3

Menurut firma tersebut, akses tidak sah terjadi pada berkas tersimpan di satu aplikasi perangkat lunak, melalui satu akun pengguna yang sempat dikompromikan. Quinn Emanuel menyebut jumlah dokumen klien yang terdampak terbatas dan pihak-pihak terkait telah diberi tahu. Namun, jumlah total berkas maupun orang yang terdampak belum diungkap ke publik. 3

Yang diungkap McDermott

McDermott melaporkan pola akses yang serupa dalam skalanya: berkas tersimpan pada satu aplikasi perangkat lunak diakses melalui satu akun pengguna yang sempat dikompromikan.

Pemberitahuan kepada regulator menyebut 15 individu terdampak. Jenis data yang terpapar mencakup nomor Jaminan Sosial AS (Social Security numbers) dan catatan informasi kesehatan. 3

Selain melapor kepada aparat penegak hukum, McDermott mengajukan notifikasi kebocoran kepada otoritas negara bagian di AS. Dalam pemberitahuan insiden keamanan yang dipublikasikan terpisah, firma itu mengatakan telah melibatkan spesialis pihak ketiga untuk menyelidiki insiden dan menganalisis berkas terdampak. McDermott juga menyatakan telah memperkuat pengamanan administratif dan teknis, serta menambah pelatihan keamanan siber bagi personelnya. 3

Hal-hal yang masih belum diketahui

Sejauh informasi publik yang tersedia, tidak ada nama individu atau kelompok yang ditetapkan sebagai pelaku. Pengungkapan tersebut juga belum membuktikan bahwa:

• insiden Quinn Emanuel dan McDermott terkait satu sama lain;
• ada kelompok ransomware atau pemerasan di baliknya; atau
• data yang diakses telah diekstraksi atau disebarluaskan melampaui berkas yang disebut dalam pemberitahuan.

Karena itu, kesimpulan yang paling aman adalah bahwa kedua kasus memperlihatkan risiko kompromi satu akun pengguna. Kesamaan tersebut bukan bukti adanya satu operator atau kampanye bersama. 3

Mengapa berkas Muddy Waters menambah sensitivitas kasus

Insiden Quinn Emanuel menjadi perhatian lebih besar karena berkas yang diakses terkait Muddy Waters, penjual saham secara short selling yang pernah menjadi klien firma tersebut.

Quinn Emanuel kemudian mewakili produsen peralatan listrik Techtronic Industries dalam perkara melawan Muddy Waters. Muddy Waters meminta firma itu didiskualifikasi dari perkara tersebut dengan alasan hubungan sebelumnya menimbulkan konflik kepentingan. 6

Seorang hakim federal di Austin, Texas, kemudian mengeluarkan Quinn Emanuel dari perkara Techtronic. Hakim memutuskan bahwa perwakilan Quinn Emanuel sebelumnya terhadap Muddy Waters menciptakan konflik kepentingan. Quinn Emanuel menyatakan akan mengajukan banding dan membantah adanya konflik. 5

Putusan itu berkaitan dengan etika profesi hukum dan kewajiban loyalitas kepada klien. Putusan tersebut tidak membuktikan bahwa Quinn Emanuel menyebabkan insiden siber, ataupun bahwa penyusup bertindak untuk Techtronic atau pihak lain dalam sengketa itu. 5

Bagian dari risiko yang lebih luas di sektor hukum

Laporan Quinn Emanuel dan McDermott muncul setelah sejumlah pengungkapan insiden keamanan siber di firma hukum lain sepanjang 2026. Herbert Smith Freehills Kramer menyatakan pengguna tanpa wewenang mengakses bagian terbatas dari sistemnya setelah insiden yang diketahui pada akhir Mei. Goodwin Procter dan Taft Stettinius & Hollister juga membuat pengungkapan kebocoran kepada regulator negara bagian pada periode yang berdekatan.

WilmerHale menghadapi gugatan kelompok yang diusulkan di pengadilan federal setelah serangan siber yang diduga mengekspos data pribadi sensitif, termasuk nama dan nomor Jaminan Sosial AS. Firma itu menyatakan pihak ketiga tanpa wewenang yang menargetkan firma-firma di industri hukum telah memperoleh sejumlah informasi terbatas.

Rangkaian pengungkapan ini menunjukkan mengapa organisasi hukum menjadi target bernilai tinggi: akses melalui satu akun atau aplikasi saja dapat membuka dokumen yang dilindungi kerahasiaan profesional serta data identitas. Namun, laporan-laporan tersebut tidak cukup untuk menyimpulkan seluruh insiden firma hukum merupakan bagian dari satu kampanye yang telah terkonfirmasi. Atribusi pelaku, cakupan insiden, dan penanganan data tetap perlu dinilai kasus per kasus. 3