Vazamentos em escritórios de advocacia expõem risco de uma única conta comprometida

Os escritórios de advocacia americanos Quinn Emanuel e McDermott divulgaram incidentes cibernéticos distintos que envolveram acesso não autorizado a arquivos sensíveis. Embora os relatos públicos descrevam um alcance limitado, o tipo de conteúdo em jogo — documentos de litígios, números do Seguro Social dos Estados Unidos e registros de saúde — aumenta a gravidade dos casos. As duas bancas afirmaram ter comunicado as autoridades policiais. 3

O que a Quinn Emanuel informou

A Quinn Emanuel disse que um terceiro não autorizado obteve acesso em 14 de agosto por meio de engenharia social — técnica em que alguém é induzido a fornecer credenciais ou outras informações. Em carta de 25 de agosto ao advogado da gestora de posições vendidas Muddy Waters, o escritório afirmou que alguns arquivos relacionados à empresa foram acessados. Os materiais haviam sido obtidos pela Quinn Emanuel em outro processo judicial na Flórida. 3

Segundo a banca, o incidente envolveu acesso indevido a arquivos armazenados em um aplicativo de software, por meio de uma conta de usuário temporariamente comprometida. A empresa classificou como limitado o número de documentos de clientes afetados e disse que as partes impactadas foram avisadas. Não há informação pública sobre o total de arquivos acessados nem sobre o número de pessoas atingidas. 3

O que a McDermott informou

A McDermott relatou acesso não autorizado a arquivos armazenados em um aplicativo de software, também por meio de uma conta de usuário temporariamente comprometida. Uma notificação regulatória identificou 15 pessoas afetadas. Entre as informações expostas estavam números do Seguro Social dos EUA e registros de informações de saúde. 3

Além de avisar as autoridades policiais, a McDermott apresentou notificações de violação de dados a órgãos estaduais. Em um comunicado separado sobre o incidente, o escritório informou que contratou especialistas independentes para investigar o caso e analisar os arquivos afetados. Também declarou ter reforçado salvaguardas administrativas e técnicas e oferecido treinamento adicional de cibersegurança a seus profissionais. 3

O que permanece sem resposta

As divulgações não identificaram publicamente a pessoa ou o grupo responsável. Também não demonstraram que os dois incidentes tenham ligação entre si, que um grupo de ransomware ou extorsão estivesse envolvido, ou que os dados acessados tenham sido extraídos para além dos arquivos mencionados nas notificações.

A conclusão possível, por enquanto, é limitada: ambos os episódios mostram como o comprometimento de uma única conta pode abrir caminho para arquivos jurídicos e dados pessoais sensíveis. Eles não são, porém, prova de um mesmo operador ou de uma campanha coordenada. 3

Por que os arquivos da Muddy Waters tornaram o caso mais delicado

O incidente na Quinn Emanuel chamou atenção adicional porque o material acessado dizia respeito à Muddy Waters, antiga cliente do escritório. Posteriormente, a Quinn Emanuel passou a representar a fabricante de ferramentas elétricas Techtronic Industries em um processo contra a Muddy Waters. A gestora pediu que o escritório fosse afastado do caso, alegando conflito de interesses em razão da relação anterior. 6

Um juiz federal em Austin, no Texas, depois retirou a Quinn Emanuel da representação da Techtronic, concluindo que o trabalho prévio para a Muddy Waters criava um conflito de interesses. O escritório afirmou que recorreria da decisão e negou haver conflito. A decisão trata de deveres éticos e de lealdade ao cliente; ela não estabelece que a Quinn Emanuel tenha causado o incidente cibernético nem que o invasor tenha agido para a Techtronic ou qualquer participante do litígio. 5

Parte de um problema maior no setor jurídico — mas não de uma campanha comprovada

Os relatos da Quinn Emanuel e da McDermott vieram após outras divulgações de incidentes de cibersegurança em escritórios de advocacia em 2026. A Herbert Smith Freehills Kramer informou que usuários não autorizados acessaram uma parte limitada de seus sistemas após um incidente do qual tomou conhecimento no fim de maio. Goodwin Procter e Taft Stettinius & Hollister também fizeram notificações de violações a reguladores estaduais no mesmo período.

A WilmerHale passou a enfrentar uma proposta de ação coletiva federal após um ataque cibernético que teria exposto dados pessoais sensíveis, como nomes e números do Seguro Social dos EUA. O escritório declarou que um terceiro não autorizado, que visava empresas do setor jurídico, obteve um conjunto limitado de informações.

Em conjunto, os casos ajudam a explicar por que bancas jurídicas são alvos de alto valor: uma única conta ou aplicação pode dar acesso a documentos protegidos por sigilo profissional, informações de processos e dados de identificação. Ainda assim, os registros disponíveis não permitem tratar todos os incidentes envolvendo escritórios de advocacia como parte de uma única campanha confirmada. A atribuição, o alcance e o destino dos dados precisam ser avaliados caso a caso. 3