Violazioni informatiche a Quinn Emanuel e McDermott: quali dati sono stati esposti e cosa resta da chiarire

Due grandi studi legali statunitensi, Quinn Emanuel e McDermott, hanno reso note violazioni informatiche separate che hanno riguardato file riservati e dati personali. Le informazioni pubbliche descrivono accessi circoscritti, non una campagna ransomware o di estorsione attribuita pubblicamente. Ma la natura dei dati coinvolti — documenti legali, numeri di Social Security e informazioni sanitarie — rende gli episodi particolarmente delicati. Entrambi gli studi hanno dichiarato di aver informato le forze dell’ordine. 3

Quinn Emanuel: accesso ai file legati a Muddy Waters

Quinn Emanuel ha comunicato che un soggetto non autorizzato ha ottenuto accesso il 14 agosto attraverso tecniche di social engineering, cioè manipolando o ingannando una persona per aggirare le normali difese di sicurezza. In una lettera del 25 agosto al legale del venditore allo scoperto attivista Muddy Waters, lo studio ha riferito che erano stati consultati alcuni file relativi alla società. I documenti erano stati acquisiti da Quinn Emanuel nell’ambito di un distinto contenzioso in Florida. 3

Secondo lo studio, l’episodio ha comportato accesso non autorizzato a file archiviati in una sola applicazione software, tramite un solo account utente temporaneamente compromesso. Quinn Emanuel ha definito limitato il numero dei documenti dei clienti coinvolti e ha affermato di aver avvisato le parti interessate. Non è però noto pubblicamente il numero complessivo di file né quante persone possano essere state coinvolte. 3

McDermott: esposti numeri di Social Security e dati sanitari

McDermott ha segnalato un accesso non autorizzato a file archiviati tramite una sola applicazione software e un solo account utente temporaneamente compromesso. Una comunicazione alle autorità competenti indica 15 persone interessate. Fra le informazioni esposte figurano numeri di Social Security — l’equivalente statunitense del codice identificativo usato per fini previdenziali e fiscali — e dati sanitari. 3

Lo studio ha effettuato notifiche di violazione a livello statale oltre a informare le forze dell’ordine. In un separato avviso sull’incidente, McDermott ha dichiarato di aver incaricato specialisti esterni di indagare e analizzare i file interessati, oltre ad aver rafforzato le misure amministrative e tecniche di sicurezza e svolto ulteriore formazione sulla cybersicurezza per il personale. 3

Cosa non è stato chiarito

Le comunicazioni non identificano pubblicamente l’autore o il gruppo responsabile. Non dimostrano neppure che le due violazioni siano collegate, che sia coinvolto un gruppo ransomware o di estorsione, oppure che i dati siano stati sottratti e trasferiti oltre l’accesso ai file indicati negli avvisi.

La conclusione comune, quindi, deve restare prudente: entrambi i casi mostrano quanto possa essere rischioso il compromesso di un singolo account, ma non costituiscono prova di un medesimo autore o di una campagna unica. 3

Perché i documenti Muddy Waters hanno aumentato la sensibilità del caso

L’episodio di Quinn Emanuel ha attirato particolare attenzione perché i materiali consultati riguardavano Muddy Waters, ex cliente dello studio. In seguito Quinn Emanuel ha rappresentato il produttore di utensili elettrici Techtronic Industries in una causa contro Muddy Waters. Quest’ultima aveva chiesto l’esclusione dello studio dal caso, sostenendo che il precedente rapporto professionale generasse un conflitto di interessi. 6

Un giudice federale di Austin, in Texas, ha poi escluso Quinn Emanuel dalla causa Techtronic, ritenendo che la precedente rappresentanza di Muddy Waters creasse un conflitto. Lo studio ha annunciato ricorso e ha negato l’esistenza del conflitto. La decisione riguarda gli obblighi deontologici e di lealtà verso il cliente: non stabilisce che Quinn Emanuel abbia causato l’incidente informatico né che l’intruso agisse per Techtronic o per un’altra parte del contenzioso. 5

Un segnale per l’intero settore legale, non la prova di una sola offensiva

Le segnalazioni di Quinn Emanuel e McDermott sono arrivate dopo altre comunicazioni di incidenti nel settore legale nel 2026. Herbert Smith Freehills Kramer ha riferito che utenti non autorizzati avevano avuto accesso a una porzione limitata dei suoi sistemi dopo un incidente di cui lo studio era venuto a conoscenza alla fine di maggio. Nello stesso periodo anche Goodwin Procter e Taft Stettinius & Hollister hanno presentato notifiche di violazione alle autorità statali.

WilmerHale, inoltre, è stata destinataria di una proposta di azione collettiva federale dopo un attacco informatico che avrebbe esposto dati personali sensibili, inclusi nomi e numeri di Social Security. Lo studio ha dichiarato che un soggetto non autorizzato, impegnato a colpire aziende del comparto legale, aveva ottenuto un insieme limitato di informazioni.

Nel loro insieme, questi casi spiegano perché gli studi legali siano obiettivi di alto valore: un singolo account o un’applicazione possono aprire la strada a documenti coperti da segreto professionale, atti di cause e dati identificativi. Le informazioni disponibili, tuttavia, non consentono di trattare ogni incidente come parte di una campagna confermata: attribuzione, portata dell’accesso e gestione dei dati vanno valutate caso per caso. 3