Datalekken bij Quinn Emanuel en McDermott: wat is bekend en wat niet

Twee grote Amerikaanse advocatenkantoren, Quinn Emanuel en McDermott, hebben afzonderlijke datalekken gemeld. De openbaar gemaakte informatie wijst op beperkte, ongeautoriseerde toegang via een gebruikersaccount — niet op een publiek geïdentificeerde ransomwarecampagne. De mogelijke impact is desondanks groot: advocatenkantoren bewaren vertrouwelijke processtukken én gevoelige persoonsgegevens. Beide kantoren zeggen de politie en andere opsporingsinstanties te hebben geïnformeerd. 3

Wat Quinn Emanuel bekendmaakte

Quinn Emanuel stelde dat een onbevoegde derde op 14 augustus via social engineering toegang kreeg. In een brief van 25 augustus aan de advocaat van activistische shortseller Muddy Waters schreef het kantoor dat bestanden over Muddy Waters waren geraadpleegd. Die stukken waren door Quinn Emanuel verkregen in een afzonderlijke rechtszaak in Florida. 3

Volgens het kantoor ging het om ongeautoriseerde toegang tot opgeslagen bestanden in één softwareapplicatie, via één tijdelijk gecompromitteerd gebruikersaccount. Quinn Emanuel omschreef het aantal betrokken cliëntdocumenten als beperkt en zei de getroffen partijen te hebben geïnformeerd. In de openbare berichtgeving is geen totaal genoemd van het aantal bestanden of personen dat is geraakt. 3

Wat McDermott bekendmaakte

McDermott meldde eveneens ongeautoriseerde toegang tot opgeslagen bestanden in één softwareapplicatie via één tijdelijk gecompromitteerd gebruikersaccount. In een melding aan toezichthouders werden 15 getroffen personen genoemd. Tot de betrokken gegevens behoorden Social Security-nummers — het Amerikaanse equivalent van een sociaalzekerheidsnummer — en medische gegevens. 3

Naast de melding aan opsporingsinstanties deed McDermott meldingen bij Amerikaanse staten. In een afzonderlijke openbare kennisgeving over een beveiligingsincident meldde het kantoor dat externe specialisten waren ingeschakeld om het incident en de getroffen bestanden te onderzoeken. Ook zouden administratieve en technische beveiligingsmaatregelen zijn aangescherpt en medewerkers extra cyberbeveiligingstraining hebben gekregen. 3

Wat nog altijd onduidelijk is

In de openbare meldingen wordt geen verantwoordelijke persoon of groep genoemd. Ook is niet vastgesteld dat de twee datalekken met elkaar verband houden, dat een ransomware- of afpersingsgroep betrokken was, of dat de geraadpleegde gegevens verder zijn buitgemaakt dan in de meldingen staat beschreven.

De gedeelde conclusie moet dus beperkt blijven: beide incidenten laten zien welke risico's één gecompromitteerd gebruikersaccount kan opleveren. Ze vormen geen bewijs voor één gezamenlijke dader of operatie. 3

Waarom de Muddy Waters-bestanden extra gevoelig lagen

De zaak bij Quinn Emanuel trok extra aandacht omdat de geraadpleegde informatie betrekking had op Muddy Waters, een voormalige cliënt. Het kantoor vertegenwoordigde later fabrikant van elektrisch gereedschap Techtronic Industries in een procedure tegen Muddy Waters. De shortseller vroeg daarop om uitsluiting van Quinn Emanuel en voerde aan dat de eerdere relatie tot een belangenconflict leidde. 6

Een federale rechter in Austin, Texas, verwijderde Quinn Emanuel vervolgens uit de zaak van Techtronic. De rechter oordeelde dat de eerdere vertegenwoordiging van Muddy Waters inderdaad een belangenconflict opleverde. Quinn Emanuel zei in beroep te gaan en ontkende dat sprake was van een conflict. Deze uitspraak gaat over beroepsethiek en loyaliteit aan cliënten; zij bewijst niet dat Quinn Emanuel het cyberincident heeft veroorzaakt of dat een indringer handelde namens Techtronic of een andere partij in het proces. 5

Onderdeel van een breder probleem in de advocatuur — maar geen bewezen campagne

De meldingen van Quinn Emanuel en McDermott volgden op andere openbaar gemaakte cyberincidenten bij advocatenkantoren in 2026. Herbert Smith Freehills Kramer meldde dat onbevoegden na een incident waarvan het kantoor eind mei kennisnam toegang hadden gehad tot een beperkt deel van de systemen. Goodwin Procter en Taft Stettinius & Hollister deden rond dezelfde periode eveneens datalekmeldingen bij toezichthouders op staatsniveau.

WilmerHale kreeg te maken met een voorgenomen federale collectieve rechtszaak na een cyberaanval waarbij volgens de aanklacht gevoelige persoonsgegevens, waaronder namen en Social Security-nummers, waren blootgesteld. Het kantoor verklaarde dat een onbevoegde derde die zich op kantoren in de juridische sector richtte, een beperkte hoeveelheid informatie had verkregen.

Samen onderstrepen deze meldingen waarom advocatenkantoren aantrekkelijke doelwitten zijn: één account of applicatie kan toegang bieden tot vertrouwelijke procesdossiers en identiteitsgegevens. Toch rechtvaardigt de beschikbare informatie niet om alle incidenten bij advocatenkantoren als één bevestigde campagne te behandelen. Daderidentificatie, omvang en omgang met de gegevens moeten per zaak worden beoordeeld. 3