Wycieki danych w Quinn Emanuel i McDermott: co ujawniono, a czego nadal nie wiadomo

Amerykańskie kancelarie Quinn Emanuel i McDermott ujawniły odrębne incydenty cyberbezpieczeństwa dotyczące wrażliwych plików oraz danych osobowych. Publicznie dostępne informacje wskazują na ograniczony dostęp do zasobów, a nie na zidentyfikowaną kampanię ransomware. Nie zmniejsza to jednak wagi spraw: kancelarie przechowują zarówno materiały objęte tajemnicą zawodową, jak i dane identyfikacyjne klientów oraz pracowników. Obie firmy poinformowały organy ścigania. 3

Quinn Emanuel: pliki dotyczące Muddy Waters

Quinn Emanuel podała, że 14 sierpnia nieuprawniona osoba trzecia uzyskała dostęp w wyniku socjotechniki, czyli manipulacji mającej skłonić użytkownika do ujawnienia dostępu lub wykonania określonej czynności. W liście z 25 sierpnia do pełnomocnika aktywistycznej firmy inwestycyjnej Muddy Waters kancelaria przyznała, że uzyskano dostęp do części plików dotyczących Muddy Waters. Materiały te Quinn Emanuel pozyskała w odrębnym sporze sądowym na Florydzie. 3

Według kancelarii incydent dotyczył plików przechowywanych w jednej aplikacji, do których dostęp uzyskano przez jedno tymczasowo przejęte konto użytkownika. Firma określiła liczbę dotkniętych dokumentów klientów jako ograniczoną i poinformowała, że zawiadomiła osoby, których sprawa dotyczyła. Nie podano natomiast publicznie łącznej liczby plików ani osób objętych naruszeniem. 3

McDermott: numery Social Security i informacje zdrowotne

McDermott zgłosiła nieuprawniony dostęp do plików zapisanych w jednej aplikacji, uzyskany przez jedno tymczasowo przejęte konto użytkownika. Zgłoszenie regulacyjne wskazywało 15 osób dotkniętych incydentem. Wśród ujawnionych informacji znalazły się numery Social Security — amerykańskie identyfikatory używane m.in. w sprawach podatkowych i kredytowych — oraz dokumentacja zawierająca informacje zdrowotne. 3

Kancelaria, poza zawiadomieniem organów ścigania, złożyła także wymagane zgłoszenia dotyczące naruszenia danych na poziomie stanowym. W opublikowanym odrębnie komunikacie o incydencie podała, że zaangażowała zewnętrznych specjalistów do zbadania sprawy i analizy objętych nią plików. McDermott przekazała również, że wzmocniła zabezpieczenia administracyjne i techniczne oraz przeprowadziła dodatkowe szkolenia z cyberbezpieczeństwa. 3

Czego nadal nie ustalono

Żadne z ujawnień nie wskazuje publicznie osoby ani grupy odpowiedzialnej za ataki. Nie wykazano też, że oba naruszenia były ze sobą powiązane, że uczestniczyła w nich grupa ransomware lub wymuszająca okup, ani że dane zostały wyprowadzone poza pliki opisane w komunikatach.

Wniosek, który można obecnie wyciągnąć, jest węższy: oba przypadki pokazują, jak poważne konsekwencje może mieć przejęcie pojedynczego konta użytkownika. Nie są natomiast dowodem na działanie wspólnego sprawcy. 3

Dlaczego sprawa Muddy Waters budziła dodatkowe emocje

Incydent w Quinn Emanuel przyciągnął szczególną uwagę z powodu materiałów dotyczących Muddy Waters, byłego klienta kancelarii. Quinn Emanuel później reprezentowała producenta elektronarzędzi Techtronic Industries w sporze przeciwko Muddy Waters. Firma inwestycyjna domagała się wyłączenia kancelarii ze sprawy, argumentując, że wcześniejsza relacja z klientem stwarza konflikt interesów. 6

Federalny sędzia w Austin w Teksasie następnie odsunął Quinn Emanuel od reprezentowania Techtronic w tej sprawie, uznając, że wcześniejsza obsługa Muddy Waters stanowiła konflikt interesów. Quinn Emanuel zapowiedziała odwołanie i zaprzeczyła istnieniu konfliktu. Orzeczenie dotyczy obowiązków zawodowych oraz lojalności wobec klienta; nie dowodzi, że kancelaria spowodowała incydent cybernetyczny ani że intruz działał na rzecz Techtronic lub innego uczestnika sporu. 5

Element szerszego problemu kancelarii, ale nie dowód jednej operacji

Ujawnienia Quinn Emanuel i McDermott nastąpiły po innych zgłoszeniach naruszeń bezpieczeństwa w sektorze prawnym w 2026 r. Herbert Smith Freehills Kramer podała, że po incydencie, o którym dowiedziała się pod koniec maja, nieuprawnieni użytkownicy uzyskali dostęp do ograniczonej części jej systemów. W podobnym okresie zgłoszenia do regulatorów stanowych złożyły także Goodwin Procter i Taft Stettinius & Hollister.

WilmerHale mierzyła się z proponowanym federalnym pozwem zbiorowym po cyberataku, który według zarzutów doprowadził do ujawnienia wrażliwych danych osobowych, w tym nazwisk i numerów Social Security. Kancelaria oświadczyła, że nieuprawniona osoba trzecia, atakująca firmy z branży prawniczej, uzyskała ograniczony zestaw informacji.

Te przypadki pokazują, dlaczego kancelarie są atrakcyjnym celem: jedno konto lub jedna aplikacja mogą otworzyć drogę do uprzywilejowanej korespondencji procesowej, dokumentów klientów i danych tożsamościowych. Dostępne informacje nie pozwalają jednak uznać wszystkich incydentów w kancelariach za element jednej potwierdzonej kampanii. Sprawcę, zakres naruszenia i sposób obchodzenia się z danymi należy oceniać osobno w każdej sprawie. 3