0 0 Uma onda de 10 ataques cibernéticos atingindo seis escritórios de advocacia diferentes se materializou ao longo de janeiro e fevereiro, tentando infectar funcionários do escritório de advocacia com malware para roubo de informações. As campanhas são emblemáticas do cenário de ataques em rápido crescimento na profissão jurídica, impulsionados pelo tesouro de dados que as empresas possuem: detalhes pessoais sobre clientes, informações sobre processos de defesa criminal, informações contratuais muito específicas, dados de contas financeiras e muito mais .
Para escritórios de advocacia, o risco é duplo: o custo de correção e manutenção do status operacional diante de um ataque cibernético e possíveis consequências legais se os dados que eles possuem forem expostos.
De acordo com a Threat Response Unit (TRU) da eSentire , a onda de ataques mais recente veio de duas campanhas de ameaças em andamento separadas. Na primeira campanha, os invasores tentaram infectar os funcionários do escritório de advocacia usando envenenamento de SEO para atrair as vítimas para sites WordPress comprometidos. Os sites foram semeados com links maliciosos para contratos falsos ou modelos de acordo que executavam o malware GootLoader. A segunda campanha utilizou ataques watering hole contra as vítimas, envenenando o site de um notário público com malware SocGholish, na esperança de atrair advogados e outros profissionais jurídicos relacionados.
“Escritórios de advocacia e organizações de serviços jurídicos têm acesso excepcional a dados não públicos e confidenciais em todas as facetas dos setores público e privado”, diz Larry Gagnon, vice-presidente sênior de serviços de segurança e resposta a incidentes da eSentire. “Eles, portanto, enfrentam ameaças cibernéticas significativas da intenção dos adversários em crimes cibernéticos financeiros que desejam roubar e vender dados confidenciais associados a esses clientes e suas atividades”.
E, de fato, uma análise publicada em janeiro pelo The American Lawyer no Law.com mostra que os ataques cibernéticos no setor jurídico aumentaram significativamente nos últimos anos. Ao analisar conjuntos de dados nacionais publicados por quatro governos estaduais obrigados a divulgar publicamente os dados, entre 2014 e 2019, menos de 20.000 americanos tiveram suas informações de identificação pessoal (PII) comprometidas por violações de escritórios de advocacia. Mas entre 2020 e 2022, esse número disparou exponencialmente para 779.000. Embora seja apenas um conjunto de dados limitado, a estatística de crescimento fornece uma excelente prova para o fato de que os invasores são atraídos para escritórios de advocacia como mariposas para a luz.
Por que as empresas jurídicas são tão atraentes para os hackers
Não é apenas a sensibilidade dos dados que as empresas jurídicas lidam, mas também o escopo e os detalhes dos dados que podem ser desenterrados por invasores que violam com sucesso uma única empresa – especialmente se for grande. Um ataque pode ser um balcão único para monetizar os dados e o acesso roubado não apenas de uma organização, mas de todo um portfólio deles.
“Os escritórios de advocacia se conectam e oferecem suporte a muitos clientes a qualquer momento. O comprometimento de um escritório de advocacia dá aos malfeitores acesso a várias redes de clientes sem ter que entrar em contato diretamente com cada um deles”, diz Michael Tal, diretor técnico da Votiro, uma empresa de segurança de arquivos em nuvem empresa que trabalha extensivamente com a indústria jurídica. “Arquivos são a principal forma de comunicação e transformá-los em armas dá aos malfeitores uma maneira segura de fazer com que os clientes abram e infectem os clientes.”
Por exemplo, ele observou um possível ataque que sua equipe descobriu em que um hacker conseguiu invadir a caixa de entrada de e-mail de um escritório de advocacia e estava usando esse acesso para enviar arquivos compactados protegidos por senha maliciosos para seguradoras.
O outro elemento atraente para os hackers é que escritórios de advocacia e empresas de serviços jurídicos tendem a ser alvos muito fáceis.
“A maioria dos escritórios de advocacia não tem programas ou pessoal de segurança cibernética dedicados. Como resultado, sua postura de segurança cibernéticaprovavelmente falhou em acompanhar seus requisitos como um negócio”, diz Gagnon da eSentire, que observa que o ambiente jurídico de TI também tende a ser difícil de proteger porque normalmente é composto por uma mistura de tecnologia legada e soluções mais modernas baseadas em nuvem que às vezes não funcionam bem juntas sem suporte avançado. “Quando os invasores violam com sucesso uma organização legal, eles tendem a progredir além do ponto de apoio inicial para a fase de intrusão mais rapidamente”.
Provavelmente, isso também é atribuído ao fato de que menos da metade dos escritórios de advocacia possui algum tipo de plano de resposta a incidentes cibernéticos. De acordo com o relatório técnico anual da American Bar Association (ABA) , publicado em novembro passado, apenas 42% das empresas têm um plano em vigor.
Um ataque cibernético é um cenário de pesadelo para escritórios de advocacia que correm o risco não apenas de ter sua reputação destruída, mas também de quebrar mandatos de conformidade e leis de confidencialidade muito rígidos. Mas a boa notícia é que muitos escritórios de advocacia estão pelo menos aumentando a conscientização sobre os riscos de segurança cibernética entre seus negócios e advogados.
O relatório da ABA mostra que o número de entrevistados que relatam pelo menos algumas políticas de segurança cibernética em vigor para uso de tecnologia cresceu de 77% há dois anos para 89% em 2022.
Pode demorar um pouco para que os investimentos alcancem a conscientização, diz Fran Haasch, advogado fundador do Fran Haasch Law Group.
“Alguns escritórios de advocacia podem ver a segurança cibernética como uma despesa desnecessária ou não priorizá-la em detrimento de outras preocupações comerciais”, diz ela. “No entanto, com a crescente prevalência de ameaças cibernéticas e as possíveis repercussões legais e financeiras de um ataque cibernético, os escritórios de advocacia devem levar a segurança cibernética a sério e investir em medidas apropriadas para proteger seus clientes e a si mesmos.”
FONTE: DARK READING
