クイン・エマニュエルとマクダーモットの情報漏えい、流出範囲と未解明点

米大手法律事務所のクイン・エマニュエルとマクダーモットは、それぞれ別のサイバーセキュリティ事案を公表した。公開情報から確認できるのは、限定されたアクセスだったという説明であり、特定のランサムウェア攻撃や恐喝キャンペーンが確認されたわけではない。ただし、訴訟資料、社会保障番号、医療情報といった機微性の高いデータが対象に含まれるため、影響は軽視できない。両事務所は法執行機関に通報したとしている。3

クイン・エマニュエルが明らかにした内容

クイン・エマニュエルによると、8月14日に第三者がソーシャルエンジニアリングを使って不正アクセスを得た。空売り投資家のマディ・ウォーターズの代理人宛ての8月25日付書簡では、同社に関する一部ファイルがアクセスされたと説明された。これらは、クイン・エマニュエルがフロリダ州での別訴訟を通じて取得していた資料だった。3

同事務所は、一時的に侵害された1つのユーザーアカウントを通じ、1つのソフトウェアアプリケーションに保存されたファイルへ不正アクセスがあったとしている。影響を受けたクライアント文書は限定的で、関係者には通知済みだという。一方、アクセスされたファイルの総数や、影響を受けた人数は公表報道では明らかになっていない。3

マクダーモットの事案：15人の情報に影響

マクダーモットも、1つのソフトウェアアプリケーションに保存されたファイルへ、一時的に侵害された1つのユーザーアカウントを介して不正アクセスがあったと報告した。規制当局への届け出では、影響を受けた人は15人とされ、対象データには社会保障番号と医療情報の記録が含まれていた。3

同事務所は法執行機関への通報に加え、州当局にも情報漏えい通知を提出した。別途公表したセキュリティインシデント通知では、外部の専門家を起用して調査と影響ファイルの分析を行い、管理面・技術面の保護措置を強化したほか、職員向けのサイバーセキュリティ研修を追加したとしている。3

まだ分かっていないこと

公表資料では、犯行者や犯行グループは特定されていない。また、2件の情報漏えいが関連していること、ランサムウェアまたは恐喝グループが関与したこと、通知で説明されたファイルを超えてデータが外部へ持ち出されたことも確認されていない。

したがって、現時点で導ける共通点は、ユーザーアカウントの侵害が法律事務所の重要ファイルへの入口になり得るという点までだ。同一の実行主体による一連の攻撃だったという証拠はない。3

マディ・ウォーターズ資料が持つ、もう一つの機微性

クイン・エマニュエルの事案が特に注目された背景には、アクセスされた資料が同事務所の元顧客であるマディ・ウォーターズに関係していたことがある。

クイン・エマニュエルは後に、電動工具メーカーのテクトロニック・インダストリーズがマディ・ウォーターズを相手取った訴訟で同社を代理した。マディ・ウォーターズは、以前の顧問関係が利益相反を生むとして、同事務所の代理人資格を外すよう求めていた。6

その後、テキサス州オースティンの連邦判事は、マディ・ウォーターズに対する過去の代理が利益相反に当たるとして、クイン・エマニュエルをテクトロニックの事件から外した。同事務所は利益相反を否定し、上訴する方針を示している。この判断は弁護士倫理や顧客への忠実義務に関するものであり、クイン・エマニュエルがサイバー事案を引き起こしたこと、あるいは侵入者がテクトロニックや訴訟関係者のために行動したことを示すものではない。5

法律業界で相次ぐ開示、ただし「単一キャンペーン」とは限らない

2026年には、他の法律事務所からもサイバーセキュリティ事案の開示が続いた。ハーバート・スミス・フリーヒルズ・クレイマーは、5月下旬に把握した事案で、自社システムの限定的な部分に無許可の利用者がアクセスしたと説明した。グッドウィン・プロクターとタフト・ステティニアス＆ホリスターも、ほぼ同時期に州規制当局へ情報漏えいを届け出ている。

ウィルマーヘイルでは、氏名や社会保障番号を含む機微な個人情報がサイバー攻撃で露出したとされ、連邦裁判所に集団訴訟案が提起された。同事務所は、法律業界の事務所を標的にしている第三者が限定的な情報を取得したと説明している。

一連の開示は、法律事務所が高価値の標的である理由を示す。アカウントやアプリケーションが1つ侵害されるだけでも、秘匿特権の対象となり得る訴訟文書や個人識別情報へ到達する可能性があるためだ。ただし、各事案の公表内容だけから、すべてを単一の攻撃キャンペーンとみなすことはできない。犯行主体、侵害範囲、データが実際にどう扱われたかは、個別に検証する必要がある。3