Datainnbrudd hos Quinn Emanuel og McDermott: Dette vet vi – og dette er fortsatt uklart

De amerikanske advokatfirmaene Quinn Emanuel og McDermott har opplyst om hver sine nylige cyberhendelser med tilgang til sensitive filer og personopplysninger. Begge sier at politiet eller andre rettshåndhevende myndigheter er varslet. Offentlig tilgjengelige opplysninger beskriver avgrenset tilgang, men sakene er alvorlige fordi advokatfirmaer forvalter fortrolige saksdokumenter og identitetsopplysninger. 3

Quinn Emanuel: Filer knyttet til Muddy Waters ble åpnet

Quinn Emanuel opplyste i et brev 25. august til advokaten for aktivistiske shortselgeren Muddy Waters at en uautorisert tredjepart fikk tilgang 14. august gjennom sosial manipulering. Noen filer relatert til Muddy Waters ble åpnet. Materialet var tidligere innhentet av Quinn Emanuel i en separat rettssak i Florida. 3

Ifølge firmaet gjaldt hendelsen uautorisert tilgang til lagrede filer i én programvareapplikasjon, via én midlertidig kompromittert brukerkonto. Quinn Emanuel beskrev de berørte klientdokumentene som begrensede og sa at berørte parter var varslet. Det er ikke offentlig opplyst hvor mange filer eller personer som var berørt. 3

McDermott: Amerikanske personnumre og helseopplysninger

McDermott rapporterte uautorisert tilgang til lagrede filer i én programvareapplikasjon, også her gjennom én midlertidig kompromittert brukerkonto. En regulatorisk melding identifiserte 15 berørte personer. Informasjonen omfattet amerikanske personnumre (Social Security numbers) og helseopplysninger. 3

Firmaet sendte varsler til delstatsmyndigheter i tillegg til å melde fra til rettshåndhevende myndigheter. I en separat, publisert sikkerhetsmelding opplyste McDermott at eksterne spesialister ble engasjert for å undersøke hendelsen og analysere berørte filer. Firmaet sa også at administrative og tekniske sikkerhetstiltak var styrket, og at ansatte hadde fått ytterligere opplæring i cybersikkerhet. 3

Det som fortsatt ikke er kjent

Ingen av de offentlige redegjørelsene identifiserer personen eller gruppen bak innbruddene. De fastslår heller ikke at de to hendelsene er forbundet, at en løsepenge- eller utpressingsgruppe var involvert, eller at data ble kopiert ut utover filene som er omtalt i varslene. 3

Den forsiktige konklusjonen er derfor at begge sakene viser hvilken risiko én kompromittert konto kan utgjøre. De er ikke dokumentasjon på en felles gjerningsaktør eller én koordinert kampanje. 3

Hvorfor Muddy Waters-materialet er ekstra sensitivt

Quinn Emanuels sak fikk særlig oppmerksomhet fordi de åpnete filene gjaldt Muddy Waters, en tidligere klient av firmaet. Quinn Emanuel representerte senere produsenten av elektroverktøy Techtronic Industries i en rettssak mot Muddy Waters. Muddy Waters ba retten om å frata firmaet oppdraget og hevdet at det tidligere klientforholdet skapte en interessekonflikt. 6

En føderal dommer i Austin i Texas fjernet senere Quinn Emanuel fra Techtronic-saken og konkluderte med at den tidligere representasjonen av Muddy Waters skapte en konflikt. Quinn Emanuel sa at det ville anke og avviste at det forelå en interessekonflikt. 5

Avgjørelsen gjelder advokatetikk og lojalitetsplikten overfor klienter. Den fastslår ikke at Quinn Emanuel forårsaket cyberhendelsen, eller at en inntrenger handlet på vegne av Techtronic eller en annen aktør i tvisten. 5

Del av et bredere problem i advokatbransjen

Hendelsene kom etter flere andre offentliggjorte sikkerhetshendelser hos advokatfirmaer i 2026. Herbert Smith Freehills Kramer opplyste at uvedkommende hadde fått tilgang til en begrenset del av systemene etter en hendelse firmaet ble kjent med sent i mai. Goodwin Procter og Taft Stettinius & Hollister leverte også meldinger om datainnbrudd til delstatsmyndigheter omtrent i samme periode.

WilmerHale ble møtt med et foreslått føderalt gruppesøksmål etter et cyberangrep som angivelig eksponerte følsomme personopplysninger, blant annet navn og amerikanske personnumre. Firmaet sa at en uautorisert tredjepart som rettet seg mot selskaper i advokatbransjen, hadde fått tak i et begrenset sett med opplysninger.

Samlet viser sakene hvorfor advokatfirmaer er verdifulle mål: Én konto eller én applikasjon kan åpne veien til fortrolige rettsdokumenter og identitetsdata. Men den tilgjengelige rapporteringen gir ikke grunnlag for å behandle alle hendelser i bransjen som én bekreftet kampanje. Hvem som står bak, omfanget og hva som har skjedd med dataene, må vurderes i hver enkelt sak. 3