Baker McKenzie、Troutman：法律事務所2社の情報漏えい、影響は約9万人

ソーシャルエンジニアリング攻撃により、大手法律事務所2社で機密性の高い法律関連ファイルが流出しました。ただし、攻撃者が独自にシステムへアクセスした形跡は確認されていません。

Baker McKenzieとTroutman Pepper Lockeは、2026年8月に個人情報を含む文書が関わる別々のインシデントが発生したと報告しました。10月に公開されたテキサス州の規制当局への届出の概要によると、影響を受けた人数はBaker McKenzieが25,837人、Troutmanが63,358人です。2件の報告件数を合わせると、約9万人に上ります。

今回の開示は、従業員が不審な依頼を見抜けるかどうかに頼る運用のリスクを浮き彫りにしています。Confidencialの共同創業者兼最高技術責任者（CTO）であるKarim Eldefrawy博士（PhD）は、「人為的なミスが重大なデータ漏えいに発展する前に、追加の技術的対策が働く仕組みが必要です」と述べています。

攻撃者が法律関連ファイルを入手した手口

Baker McKenzieによると、攻撃者は8月14日と17日に2人のユーザーをソーシャルエンジニアリングで欺き、限られた数のファイルを入手しました。同事務所は情報漏えいの通知で、認証情報の侵害、ほかのアカウントの侵害、攻撃者による独自のシステムへの不正アクセスを示す証拠は見つかっていないと報告しています。

テキサス州への届出の概要によると、影響を受けた個人は25,837人で、うち831人がテキサス州の住民です。報告されている漏えい情報の種類には、社会保障番号（SSN）や医療情報が含まれます。

Troutmanは、8月7日に別の攻撃を受けたと報告しています。従業員が一見正当に見えるやり取りに応じ、権限のない第三者に誤って文書を送信しました。その後、同事務所のITセキュリティチームに通報しています。

Troutmanの通知によると、受信者が同事務所のシステムにアクセスした事実はなく、業務への影響もありませんでした。10月30日付のテキサス州への届出の概要では、影響を受けた個人は63,358人で、うち4,194人がテキサス州の住民です。漏えいした情報には、氏名とSSNが含まれていました。

両事務所ともサイバーセキュリティの専門家に調査を依頼し、法執行機関にも通報しました。さらに、影響を受けた個人に対し、24カ月間のクレジットモニタリングまたはID保護サービスを無償で提供しています。

今回の漏えいは、第三者が保有するデータの保護に関する懸念も高めています。無関係の事例ですが、数百万件のレコードが関わる委託先のマルウェア感染インシデントは、データの窃取が確認されていなくても、第三者のセキュリティインシデントによって機密情報が危険にさらされ得ることを示しています。

どちらの事務所の通知にも、攻撃者の特定や、2件のインシデントの関連性を示す記載はありません。

文書の漏えいを抑える対策

攻撃者は、信頼されている通信や業務フローを悪用することで、企業のシステムを独自に侵害しなくても機密情報を入手できます。

Eldefrawy氏は、暗号化と受信者ごとの認可によって機密文書を保護するよう推奨しています。文書へのアクセス権、復号権、共有権を分離しておけば、ファイルを誤送信したり盗まれたりしても、被害を限定できます。

組織は、次の5つの対策で防御を強化できます。

• 機密性の高い依頼を確認する：通常と異なる転送依頼は、独立した別の経路で確認します。リスクの高い開示には承認を必須とします。
• アクセスと共有を制限する：最小権限の原則に基づく権限を適用し、機密性の高い操作には追加の認可を求めます。
• 機密文書を保護する：ファイルを分類し、暗号化、受信者ごとの認可、取り消し可能なアクセス制御を使用します。
• データ転送を監視する：データ損失防止（DLP）の対策で、大量ダウンロードや不正な共有を検知します。
• インシデント対応計画をテストする：従業員が欺かれるシナリオやファイルの誤送信シナリオを訓練します。封じ込め、証拠保全、通知までを演習に含めます。

Eldefrawy氏は、攻撃者が無制限の復号権も手に入れた場合、セッションの侵害によって暗号化が無力化されかねないと注意を促しています。認証済みアカウントを悪用したMicrosoft 365のフィッシングキャンペーンは、ログイン後も継続的な監視と認可の確認が必要であることを示しています。

以後の復号を停止すれば、さらなる漏えいを抑えられます。ただし、平文ですでに開示された情報は、暗号技術では取り戻せません。機密ファイルを開く人、復号する人、共有する人を管理することが、従業員が欺かれたときの被害の拡大を防ぐ助けになります。

関連記事：攻撃者は法的権威も悪用しています。連邦裁判所を装ったフィッシングキャンペーンでは、10万社超に及ぶ可能性があると報告されています。