Rò rỉ dữ liệu tại Quinn Emanuel và McDermott: Đã lộ gì, còn những gì chưa rõ?

Hai hãng luật Mỹ Quinn Emanuel và McDermott đã công bố các sự cố an ninh mạng riêng biệt làm lộ nguy cơ đối với hồ sơ khách hàng và dữ liệu cá nhân. Thông tin công khai hiện cho thấy phạm vi truy cập được mô tả là hạn chế, chứ chưa phải một chiến dịch ransomware đã được xác định. Tuy nhiên, loại dữ liệu liên quan — từ tài liệu tố tụng đến số An sinh Xã hội và hồ sơ sức khỏe — khiến các sự cố này đặc biệt đáng chú ý. Cả hai hãng cho biết đã báo cơ quan thực thi pháp luật. 3

Quinn Emanuel: tệp liên quan Muddy Waters bị truy cập

Quinn Emanuel cho biết một bên trái phép đã có được quyền truy cập vào ngày 14/8 bằng hình thức kỹ nghệ xã hội — tức thao túng hoặc lừa người dùng để có quyền truy cập. Trong thư ngày 25/8 gửi luật sư của Muddy Waters, hãng nói một số tệp liên quan đến công ty bán khống chủ động này đã bị truy cập. Các tài liệu đó được Quinn Emanuel thu thập trong một vụ kiện riêng tại Florida. 3

Theo hãng, sự cố liên quan đến việc truy cập trái phép các tệp lưu trữ trong một ứng dụng phần mềm, thông qua một tài khoản người dùng bị xâm phạm tạm thời. Quinn Emanuel mô tả số tài liệu khách hàng bị ảnh hưởng là có hạn và cho biết đã thông báo cho các bên bị tác động. Báo cáo công khai chưa nêu tổng số tệp hoặc số người bị ảnh hưởng. 3

McDermott: 15 người bị ảnh hưởng, gồm dữ liệu định danh và y tế

McDermott cũng báo cáo việc truy cập trái phép các tệp lưu trữ qua một ứng dụng phần mềm và một tài khoản người dùng bị xâm phạm tạm thời. Hồ sơ thông báo với cơ quan quản lý xác định có 15 người bị ảnh hưởng. Dữ liệu liên quan bao gồm số An sinh Xã hội của Mỹ và thông tin trong hồ sơ sức khỏe. 3

Ngoài việc báo cơ quan thực thi pháp luật, McDermott còn gửi thông báo vi phạm dữ liệu tới cơ quan quản lý cấp bang. Trong một thông báo sự cố bảo mật đã công bố riêng, hãng cho biết đã thuê chuyên gia bên thứ ba điều tra và phân tích các tệp bị ảnh hưởng; đồng thời tăng cường biện pháp quản trị, biện pháp kỹ thuật và đào tạo an ninh mạng cho nhân sự. 3

Những điểm vẫn chưa được xác định

Các công bố chưa nêu danh tính cá nhân hoặc nhóm đứng sau các vụ việc. Cũng chưa có căn cứ công khai để khẳng định hai vụ xâm nhập có liên quan, có sự tham gia của nhóm ransomware hay tống tiền, hoặc dữ liệu đã bị đưa ra ngoài phạm vi các tệp được nêu trong thông báo. 3

Vì vậy, kết luận phù hợp nhất hiện nay là: cả hai sự cố cho thấy mức độ rủi ro của một tài khoản người dùng bị xâm phạm, không phải bằng chứng về một tác nhân chung đứng sau.

Vì sao tài liệu Muddy Waters làm sự cố của Quinn Emanuel nhạy cảm hơn?

Vụ việc của Quinn Emanuel nhận nhiều chú ý vì các tệp bị truy cập liên quan đến Muddy Waters — khách hàng cũ của hãng. Sau đó, Quinn Emanuel đại diện cho nhà sản xuất dụng cụ điện Techtronic Industries trong vụ kiện chống Muddy Waters. Muddy Waters từng đề nghị tòa loại Quinn Emanuel khỏi vụ án, cho rằng quan hệ trước đây đã tạo ra xung đột lợi ích. 6

Một thẩm phán liên bang tại Austin, bang Texas, sau đó đã loại Quinn Emanuel khỏi vụ kiện của Techtronic, với nhận định việc đại diện trước đây cho Muddy Waters tạo ra xung đột lợi ích. Quinn Emanuel cho biết sẽ kháng cáo và phủ nhận có xung đột. 5

Điều quan trọng là phán quyết này nói về nghĩa vụ nghề nghiệp và lòng trung thành với khách hàng của hãng luật. Nó không xác lập rằng Quinn Emanuel gây ra sự cố mạng, hoặc kẻ xâm nhập hành động cho Techtronic hay bất cứ bên nào tham gia tranh chấp.

Một phần của rủi ro toàn ngành luật, nhưng chưa phải chiến dịch chung đã được xác nhận

Các thông báo của Quinn Emanuel và McDermott được đưa ra sau một số vụ công bố an ninh mạng khác trong ngành luật năm 2026. Herbert Smith Freehills Kramer nói người không được phép đã truy cập một phần hạn chế hệ thống của hãng sau sự cố mà họ phát hiện vào cuối tháng 5. Goodwin Procter và Taft Stettinius & Hollister cũng công bố thông tin vi phạm dữ liệu với cơ quan quản lý cấp bang trong cùng giai đoạn.

WilmerHale đối mặt với một vụ kiện tập thể liên bang được đề xuất sau một cuộc tấn công mạng bị cáo buộc làm lộ dữ liệu cá nhân nhạy cảm, gồm tên và số An sinh Xã hội. Hãng nói một bên trái phép nhắm vào các công ty trong lĩnh vực pháp lý đã thu được một tập dữ liệu giới hạn.

Nhìn chung, những vụ việc này cho thấy vì sao các tổ chức pháp lý là mục tiêu giá trị cao: chỉ một tài khoản hoặc một ứng dụng bị xâm phạm có thể dẫn tới tài liệu được bảo mật theo quan hệ luật sư–khách hàng, dữ liệu tranh tụng và thông tin định danh. Tuy vậy, quy kết mọi sự cố tại hãng luật là một chiến dịch duy nhất sẽ vượt quá những gì bằng chứng công khai hiện cho phép. Mức độ ảnh hưởng, nguồn gốc và cách dữ liệu được xử lý cần được đánh giá riêng cho từng vụ. 3