Social-Engineering-Angriffe legten sensible Rechtsdokumente bei zwei großen Kanzleien offen, ohne dass es Hinweise darauf gibt, dass die Angreifer unabhängig auf deren Systeme zugriffen.
Baker McKenzie und Troutman Pepper Locke meldeten separate Vorfälle im August 2026, bei denen Dokumente mit personenbezogenen Daten betroffen waren. Die im Oktober veröffentlichten Zusammenfassungen der Meldungen an die texanischen Aufsichtsbehörden führen bei Baker McKenzie 25.837 betroffene Personen und bei Troutman 63.358 auf – insgesamt fast 90.000 gemeldete Fälle in beiden Vorfällen.
Die Meldungen zeigen die Risiken auf, die entstehen, wenn man darauf vertraut, dass Mitarbeitende täuschende Anfragen erkennen. Karim Eldefrawy, PhD, Mitgründer und Chief Technology Officer bei Confidencial, sagte: „Ein menschlicher Fehler sollte auf zusätzliche technische Kontrollen treffen, bevor daraus eine erhebliche Datenoffenlegung wird.“
Wie die Angreifer an die Rechtsdokumente gelangten
Baker McKenzie teilte mit, dass ein Angreifer am 14. und 17. August zwei Nutzer durch Social Engineering manipulierte und eine begrenzte Zahl von Dateien erlangte. In seiner Meldung über den Datenschutzverstoß meldete die Kanzlei, dass es keine Hinweise auf kompromittierte Zugangsdaten, eine weitere Kontokompromittierung oder einen unabhängigen böswilligen Zugriff auf die Systeme gebe.
Eine Zusammenfassung der Meldung an die texanischen Behörden führt 25.837 betroffene Personen auf, darunter 831 Einwohner von Texas. Zu den gemeldeten Datenkategorien gehören Sozialversicherungsnummern und medizinische Informationen.
Troutman meldete am 7. August einen separaten Angriff. Ein Mitarbeiter reagierte auf scheinbar legitime Kommunikation und schickte versehentlich Dokumente an eine unbefugte Person, bevor er das IT-Sicherheitsteam der Kanzlei alarmierte.
Laut Meldung von Troutman griff der Empfänger nicht auf die Systeme zu, und der Betrieb war nicht beeinträchtigt. Eine Zusammenfassung der Meldung an die texanischen Behörden vom 30. Oktober nennt 63.358 betroffene Personen, darunter 4.194 Einwohner von Texas. Zu den betroffenen Informationen gehörten Namen und Sozialversicherungsnummern.
Beide Kanzleien beauftragten Cybersicherheitsspezialisten, informierten die Strafverfolgungsbehörden und boten den betroffenen Personen 24 Monate kostenlose Kreditüberwachung oder Schutz vor Identitätsdiebstahl an.
Der Vorfall wirft außerdem Fragen zum Datenschutz bei Drittanbietern auf. Ein unabhängiger Malwarevorfall bei einem Auftragnehmer mit Millionen betroffener Datensätze zeigt, wie Sicherheitsvorfälle bei Drittanbietern sensible Informationen gefährden können, selbst wenn kein Datendiebstahl bestätigt wurde.
Keine der beiden Kanzleien nennt einen Angreifer oder stellt einen Zusammenhang zwischen den Vorfällen her.
Kontrollen zur Begrenzung der Offenlegung von Dokumenten
Angreifer können vertrauenswürdige Kommunikation und Geschäftsabläufe ausnutzen, um vertrauliche Informationen zu erlangen, ohne die Systeme eines Unternehmens unabhängig zu kompromittieren.
Eldefrawy empfahl, sensible Dokumente durch Verschlüsselung und eine empfängerbezogene Autorisierung zu schützen. Die getrennte Verwaltung von Dokumentenzugriff, Entschlüsselungsrechten und Freigabeberechtigungen kann die Offenlegung begrenzen, wenn Dateien fehlgeleitet oder gestohlen werden.
Organisationen können ihre Abwehr durch fünf Maßnahmen stärken:
- Anfragen zu sensiblen Daten überprüfen:Bestätigen Sie ungewöhnliche Übertragungen über unabhängige Kanäle und verlangen Sie für die Offenlegung von Daten mit hohem Risiko eine Genehmigung.
- Zugriff und Freigaben beschränken:Verwenden Sie Berechtigungen nach dem Prinzip der geringsten Privilegien und zusätzliche Autorisierungen für sensible Aktionen.
- Vertrauliche Dokumente schützen:Klassifizieren Sie Dateien und verwenden Sie Verschlüsselung, empfängerbezogene Autorisierungen und widerrufbare Zugriffskontrollen.
- Datenübertragungen überwachen:Nutzen Sie Data-Loss-Prevention-Kontrollen, um umfangreiche Downloads und unbefugte Freigaben zu erkennen.
- Reaktionspläne für Sicherheitsvorfälle testen:Üben Sie Szenarien mit der Täuschung von Mitarbeitenden und fehlgeleiteten Dateien, einschließlich Eindämmung, Beweissicherung und Benachrichtigung.
Eldefrawy warnte, dass kompromittierte Sitzungen die Verschlüsselung aushebeln könnten, wenn Angreifer zugleich uneingeschränkte Entschlüsselungsrechte erlangten. Phishingkampagnen gegen Microsoft 365 mit authentifizierten Konten verdeutlichen, wie wichtig eine kontinuierliche Überwachung und Autorisierungsprüfungen nach der Anmeldung sind.
Das Aussetzen künftiger Entschlüsselungen kann eine weitere Offenlegung begrenzen, doch Informationen, die bereits im Klartext offengelegt wurden, lassen sich kryptografisch nicht zurückholen. Die Kontrolle darüber, wer vertrauliche Dateien öffnen, entschlüsseln und teilen darf, hilft, den Schaden einzudämmen, wenn die Täuschung von Mitarbeitenden erfolgreich ist.
Weiterlesen: Angreifer nutzen außerdem die rechtliche Autorität in einer Phishingkampagne mit einem vorgetäuschten Bundesgericht mit einer gemeldeten potenziellen Reichweite von mehr als 100.000 Unternehmen.