Quinn Emanuel ve McDermott veri ihlalleri: Açığa çıkanlar ve hâlâ bilinmeyenler

Quinn Emanuel ve McDermott, hassas dosyalar ile kişisel verileri kapsayan ayrı siber güvenlik olaylarını kamuoyuna açıkladı. Açıklamalar, kamuya açık biçimde tanımlanmış bir fidye yazılımı kampanyasından ziyade sınırlı erişim vakalarına işaret ediyor. Ancak dava materyalleri, Sosyal Güvenlik numaraları ve sağlık kayıtlarının söz konusu olması olayları ciddi kılıyor. İki firma da kolluk kuvvetlerine bildirim yaptığını söyledi. 3

Quinn Emanuel ne açıkladı?

Quinn Emanuel, yetkisiz bir üçüncü tarafın 14 Ağustos'ta sosyal mühendislik yöntemiyle erişim sağladığını bildirdi. Firma, aktivist açığa satış şirketi Muddy Waters'ın avukatına 25 Ağustos'ta gönderdiği mektupta, Muddy Waters ile ilgili bazı dosyalara erişildiğini belirtti. Bu materyaller, Quinn Emanuel'in Florida'daki ayrı bir davada elde ettiği belgelerdi. 3

Firma, olayın tek bir yazılım uygulamasında saklanan dosyalara, geçici olarak ele geçirilen tek bir kullanıcı hesabı üzerinden yetkisiz erişim içerdiğini söyledi. Etkilenen müşteri belgelerinin sınırlı olduğunu ve ilgili tarafların bilgilendirildiğini ifade etti. Kamuya açık haberlerde, etkilenen toplam dosya veya kişi sayısı ortaya konmadı. 3

McDermott olayında hangi veriler yer aldı?

McDermott, saklanan dosyalara tek bir yazılım uygulaması aracılığıyla ve geçici olarak ele geçirilen tek bir kullanıcı hesabı üzerinden yetkisiz erişim sağlandığını açıkladı. Düzenleyici bildirimde 15 kişinin etkilendiği belirtildi. Açığa çıkan bilgiler arasında Sosyal Güvenlik numaraları ve sağlık bilgileri bulunuyordu. 3

McDermott, kolluk kuvvetlerine bildirim yapmasının yanı sıra eyalet düzeyinde veri ihlali bildirimleri de yaptı. Ayrı bir güvenlik olayı duyurusunda firma, etkilenen dosyaları incelemek için bağımsız uzmanlarla çalıştığını; idari ve teknik korumaları güçlendirdiğini ve çalışanlarına ilave siber güvenlik eğitimi verdiğini belirtti. 3

Hâlâ hangi sorular yanıtsız?

Kamuya yapılan açıklamalar, sorumlu kişi ya da grubun kimliğini ortaya koymadı. Ayrıca iki ihlalin bağlantılı olduğunu, bir fidye yazılımı veya şantaj grubunun işin içinde bulunduğunu ya da erişilen verilerin duyurularda belirtilen dosyaların ötesine çıkarıldığını da kanıtlamadı.

Dolayısıyla ortak sonuç dikkatle sınırlandırılmalı: Her iki olay da tek bir kullanıcı hesabının ele geçirilmesinin doğurabileceği riski gösteriyor; ortak bir saldırganın varlığına kanıt oluşturmuyor. 3

Muddy Waters dosyaları neden ayrıca hassas?

Quinn Emanuel vakası, erişilen materyallerin firmanın eski müvekkili Muddy Waters ile ilişkili olması nedeniyle özellikle dikkat çekti. Quinn Emanuel daha sonra, elektrikli el aletleri üreticisi Techtronic Industries'i Muddy Waters'a karşı açılan davada temsil etti. Muddy Waters, önceki vekâlet ilişkisinin çıkar çatışması yarattığını savunarak firmanın davadan çekilmesini talep etti. 6

Austin, Teksas'taki bir federal hâkim daha sonra Quinn Emanuel'i Techtronic davasındaki temsil görevinden aldı ve önceki Muddy Waters temsilinin çıkar çatışması oluşturduğuna hükmetti. Quinn Emanuel kararı temyize götürmeyi planladığını, çıkar çatışması bulunduğu görüşünü kabul etmediğini açıkladı. Bu karar meslek etiği ve müvekkile sadakat yükümlülükleriyle ilgilidir; Quinn Emanuel'in siber olaya neden olduğunu ya da saldırganın Techtronic veya davadaki başka bir taraf adına hareket ettiğini göstermez. 5

Hukuk sektörü için daha geniş bir sorun, ancak kanıtlanmış tek kampanya değil

Quinn Emanuel ve McDermott açıklamaları, 2026'da diğer hukuk bürolarının yaptığı siber güvenlik bildirimlerinin ardından geldi. Herbert Smith Freehills Kramer, mayıs sonlarında farkına vardığı bir olayın ardından yetkisiz kişilerin sistemlerinin sınırlı bir bölümüne eriştiğini duyurdu. Goodwin Procter ve Taft Stettinius & Hollister da yaklaşık aynı dönemde eyalet düzenleyicilerine veri ihlali bildirimleri yaptı.

WilmerHale ise adlar ve Sosyal Güvenlik numaraları dahil hassas kişisel verilerin açığa çıktığı iddia edilen siber saldırının ardından önerilen bir federal toplu davayla karşı karşıya kaldı. Firma, hukuk sektöründeki firmaları hedef alan yetkisiz bir üçüncü tarafın sınırlı bir bilgi seti elde ettiğini söyledi.

Bu bildirimler, hukuk kuruluşlarının neden yüksek değerli hedefler olduğunu gösteriyor: Tek bir hesap veya uygulama, avukat-müvekkil gizliliği kapsamındaki belgelere ve kimlik verilerine erişim sağlayabilir. Bununla birlikte, her hukuk bürosu olayını tek bir doğrulanmış kampanyanın parçası saymak için yeterli veri yok. Saldırganın atfı, olayın kapsamı ve verilerin nasıl işlendiği her vaka için ayrı değerlendirilmelidir. 3