大手法律事務所2社でソーシャルエンジニアリング攻撃により機密性の高い法律関連ファイルが流出したが、攻撃者が独自に両社のシステムへアクセスした証拠はない。
Baker McKenzieとTroutman Pepper Lockeは、個人情報を含む文書が関係する別々のインシデントを2026年8月に報告した。10月に公表されたテキサス州当局への届出概要によると、影響を受けた人はBaker McKenzieで25,837人、Troutmanで63,358人に上り、両インシデントの報告件数は合計で約9万人となる。
今回の公表は、従業員が巧妙な依頼を見抜くことに依存するリスクを浮き彫りにした。Confidencialの共同創業者兼最高技術責任者であるKarim Eldefrawy博士は、「人為的なミスが重大なデータ開示につながる前に、追加の技術的対策を講じるべきだ」と述べた。
攻撃者はいかに法律関連ファイルを入手したのか
Baker McKenzieによると、攻撃者は8月14日と17日に2人のユーザーをソーシャルエンジニアリングでだまし、限られた数のファイルを入手した。同事務所の情報漏えい通知では、認証情報の侵害や、追加のアカウント侵害、独立した悪意あるシステムアクセスの証拠はないと報告している。
同事務所のテキサス州届出の概要には、影響を受けた個人が25,837人、そのうちテキサス州の居住者が831人と記載されている。報告されたデータの種類には、社会保障番号や医療情報が含まれる。
Troutmanは8月7日に別の攻撃を受けたと報告した。従業員が一見正当な通信に応答し、誤って文書を権限のない人物に送信した後、同事務所のITセキュリティチームに報告した。
Troutmanの通知によると、受信者は同事務所のシステムにアクセスしておらず、業務への影響もなかった。また、10月30日付のテキサス州届出の概要には、影響を受けた個人が63,358人、そのうちテキサス州の居住者が4,194人と記載されている。関係した情報には氏名と社会保障番号が含まれていた。
両事務所はサイバーセキュリティ専門家を起用し、法執行機関に通知するとともに、影響を受けた個人に24カ月間の無料の信用情報監視または個人情報保護サービスを提供した。
今回の流出は、第三者によるデータ保護にも懸念を投げかけている。無関係の数百万件の記録に関係する委託業者のマルウェアインシデントは、データ窃取が確認されていない場合でも、第三者のセキュリティインシデントによって機密情報が危険にさらされる可能性を示している。
いずれの事務所の通知も、攻撃者を特定しておらず、両インシデントの関連性も示していない。
文書の露出を抑える対策
攻撃者は信頼された通信や業務ワークフローを悪用し、企業システムを独自に侵害することなく機密情報を入手できる。
Eldefrawy氏は、暗号化と受信者ごとの認可によって機密文書を保護するよう推奨した。文書へのアクセス権、復号権限、共有権限を分離すれば、ファイルの誤送信や盗難が発生した場合の露出を抑えられる。
組織は、次の5つの対策によって防御を強化できる。
- 機密性の高い依頼を検証する：通常と異なる送付や移転は独立した経路で確認し、リスクの高い開示には承認を必須とする。
- アクセスと共有を制限する：最小権限のアクセス許可を適用し、機密性の高い操作には追加の認可を求める。
- 機密文書を保護する：ファイルを分類し、暗号化、受信者ごとの認可、取り消し可能なアクセス制御を利用する。
- データ転送を監視する：データ損失防止（DLP）対策を利用して、大量ダウンロードや権限のない共有を検知する。
- インシデント対応計画をテストする：従業員をだます手口やファイルの誤送信を想定したシナリオを、封じ込め、証拠保全、通知まで含めて訓練する。
Eldefrawy氏は、攻撃者が制限のない復号権限も取得した場合、侵害されたセッションによって暗号化が無力化される可能性があると警告した。認証済みアカウントが関係するMicrosoft 365のフィッシングキャンペーンは、ログイン後も継続的な監視と認可確認が必要であることを示している。
今後の復号を停止すれば追加の露出を制限できるが、すでに平文で開示された情報を暗号技術によって回収することはできない。機密ファイルを開き、復号し、共有できる人物を管理すれば、従業員をだます攻撃が成功した場合にも被害を封じ込めやすくなる。
詳しくはこちら：攻撃者はさらに偽の連邦裁判所を装ったフィッシングキャンペーンを仕掛けており、報告された潜在的な対象は10万社超に及ぶ。