Una encuesta 2020 por la American Bar Association encontró que el 29% de los bufetes de abogados participantes encontraron alguna forma de amenaza de ciberseguridad, mientras que el 21% no pudo determinar por completo si había ocurrido un ciberataque o no.
Ejemplos de estas infracciones de seguridad cibernética incluyen el robo de datos y la explotación de sitios web. Además, el estudio encontró que hubo un aumento del 3% en la cantidad de bufetes de abogados que experimentaron amenazas de ciberseguridad de 2019 a 2020.
En un momento en que la pandemia está provocando un aumento en las transacciones comerciales en línea y las configuraciones de trabajo remoto, estos datos deberían ser motivo de preocupación no solo para los bufetes de abogados, sino también para sus clientes. El estudio reporta una aparente sensación de falsa seguridad entre muchos despachos de abogados, considerando que el 70% de los encuestados cree que no se produjo ninguna pérdida o interrupción de su negocio. Sin embargo, como la propia American Bar Association nota en la encuesta, "... es natural preguntarse si las tendencias aparentemente positivas reflejan una inquietante sensación de comodidad a corto plazo en medio de la perspectiva de un daño potencialmente a largo plazo".
As Revista de seguridad anotado en este 2017 artículo, "Las violaciones de datos criminales costarán a las empresas un total de $ 8 billones durante los próximos 5 años, debido a niveles más altos de conectividad a Internet y seguridad inadecuada en toda la empresa". De manera similar, una investigación de 2019 realizada por el grupo de expertos en tecnología digital Juniper Research predijo que el costo de las pérdidas comerciales debido a los ataques de ciberseguridad superará los $ 5 billones para 2024.
¿Por qué los bufetes de abogados son un objetivo global para los ciberdelincuentes?
Los ciberdelincuentes tienen una afinidad particular por atacar bufetes de abogados debido a que este último posee grandes cantidades de información confidencial de la industria y los clientes. Si obtienen acceso a esta información, pueden utilizarla para tomar como rehenes a empresas y clientes. Luego exigirán que se pague un rescate antes de permitir que las víctimas recuperen la posesión de sus datos. O si pueden piratear las credenciales de inicio de sesión para los datos bancarios y de la tarjeta de crédito, pueden robar dinero.
Como se verá más adelante, los ciberdelincuentes no se alejan de los grandes bufetes de abogados. En los últimos años, ha habido varios casos de importantes firmas legales en los EE. UU., El Reino Unido y Australia que han sido atacadas e invadidas. Con una gran inteligencia a su disposición que incluye información de identificación personal (PII), información financiera y datos de fusiones y adquisiciones (M&A), las firmas legales se han convertido en un objetivo favorito para los delincuentes cibernéticos.
Esta inclinación de los ciberdelincuentes a atacar a los abogados se ve reforzada por el hecho de que los bufetes de abogados generalmente tienen sistemas de ciberseguridad más débiles en comparación con las empresas de otras industrias como la tecnología. Incluso las empresas de tecnología de menor tamaño tendrían una mejor protección cibernética que los grandes bufetes de abogados. Como reportaron por Attorney at Law Magazine, muchos abogados "todavía se muestran reacios a contratar expertos en ciberseguridad para sus firmas, ya sea internamente o como consultores, generalmente porque no saben hasta qué punto estos tipos de amenazas en línea pueden ser dañinos".
En Australia, la debilidad de los sistemas de ciberseguridad de muchos bufetes de abogados se refleja en una estadística asombrosa que indica que un tercio de los bufetes de abogados del país no están asignando fondos a la capacitación en ciberseguridad. La investigación realizada por GlobalX y la Asociación Australiana de Gestión de la Práctica Jurídica (ALPMA) reveló una situación paradójica en la que el 79% de los abogados están alarmados por la ciberseguridad, pero solo el 21% confiaba en sus firmas para poder sobrevivir a un ciberataque. A pesar de la conciencia de la gravedad de las amenazas a la seguridad cibernética, el 33% de los bufetes de abogados australianos parecen estar atrapados en una cultura de complacencia en la industria legal. Como veremos más adelante en los estudios de caso, la postura menos proactiva que han mostrado los bufetes de abogados en lo que respecta a la ciberseguridad ha provocado daños masivos a sus negocios.
¿Qué tácticas utilizan los ciberdelincuentes para atacar bufetes de abogados?
Malware
En 2017, DLA Piper fue atacado por un ransomware que debilitó miles de sus computadoras. El ataque obligó a DLA Piper a cerrar sus operaciones digitales a nivel mundial. Los sistemas de correo electrónico y teléfono se desactivaron, lo que obligó a los abogados y otros empleados a hacer negocios utilizando teléfonos móviles. No hace falta decir que fue un asunto muy estresante para el personal de la empresa considerando que una corporación legal depende en gran medida de los documentos para sus operaciones. Abogado americano hace un ajuste observación del efecto adverso del ataque de ransomware: “Considere que los litigantes no pueden acceder a las mociones en una fecha límite. Abogados litigantes que se preparan para argumentos sin documentos clave. Abogados transaccionales que no pueden comunicarse con clientes que intentan cerrar acuerdos multimillonarios ".
Phishing
El Reino Unido se convirtió en un caldo de cultivo para los ataques de phishing contra bufetes de abogados tras los bloqueos de 2020 debido a la pandemia de COVID-19. La Autoridad de Regulación de Abogados ha identificado un aumento del 300% en el phishing incluso en los primeros dos meses desde que se inició el bloqueo. Durante los primeros seis meses de 2020, los bufetes de abogados británicos informaron que los ciberdelincuentes les robaron casi 2.5 millones de libras, más de tres veces la cantidad informada en los primeros seis meses de 2019. Un bufete de abogados informó de una estafa de phishing que victimizó a su socio principal. Un correo electrónico de phishing que contenía malware se disfrazó como si procediera de un cliente. Cuando la víctima hizo clic en el archivo adjunto, envió instantáneamente mensajes de correo electrónico a los contactos del socio principal solicitándoles que hicieran clic en un enlace y proporcionaran la información solicitada. Esto dio lugar a que el bufete de abogados pidiera a su banco que congelara la cuenta de su cliente y enviara una disculpa a los clientes afectados.
Robo de Identidad
En octubre de 2020, el bufete de abogados de inmigración Fragomen, Del Rey, Bernsen & Loewy experimentó acceso no autorizado a datos a archivos I-9 que contenían información personal de empleados pasados y presentes de Google. Este bufete de abogados realiza exámenes de verificación para que las empresas determinen si sus empleados tienen un estatus legal saludable para trabajar en los Estados Unidos. Los archivos I-9 contienen una gran cantidad de datos confidenciales que incluyen información de pasaportes, licencias de conducir y tarjetas de identificación, lo que los convierte en un pastel dulce para los piratas informáticos y los ladrones de identidad.
Ejemplos recientes de ataques a bufetes de abogados
En enero de 2021, un proveedor de Goodwin Procter a cargo de grandes transferencias de archivos se convirtió en víctima de piratería. Esto permitió a los ciberdelincuentes obtener acceso a los datos que el proveedor supervisaba para la corporación legal. La investigación de Goodwin concluyó que: algunos de los clientes del bufete de abogados podrían haber obtenido acceso no autorizado a material sensible, solo un pequeño porcentaje de los empleados de Goodwin se vieron afectados y no había pruebas que indicaran que otros activos y operaciones comerciales se vieron afectados negativamente. Sin embargo, como importante empresa de inteligencia Law.com reconoce, "Algunos creen que los dramas reales están sucediendo en privado".
Allens, uno de los bufetes de abogados australianos más grandes y respetados, también fue víctima de una sofisticada violación de ciberseguridad en enero de 2021. Se informó que el ataque se inició en un sistema de almacenamiento y transferencia de archivos de dos décadas de antigüedad utilizado por Accellion. , una firma de ciberseguridad con sede en California que brinda servicios de transferencia y almacenamiento de archivos para grandes corporaciones, incluidas muchas firmas legales en todo el mundo. Accellion solo actualizó su producto heredado el año pasado cuando descubrió una vulnerabilidad en el sistema. De una manera bastante irónica, el ex gerente de infraestructura de Allens, Shawn Schmidt, fue citado en el sitio web de Accellion con respecto a la elección de la empresa de ciberseguridad por parte de la firma legal australiana: “Podríamos haber permitido fácilmente que los empleados usaran soluciones para consumidores como Dropbox que, en la superficie, hubieran hecho el trabajo. Pero sabíamos que nuestra firma y nuestros clientes necesitaban algo en lo que pudieran confiar y en lo que pudieran confiar ".
Jones Day, el décimo bufete de abogados más grande de los Estados Unidos y también cliente de Accellion, informó en febrero de 10 que los datos privados de sus clientes, así como los archivos de comunicación de la empresa, también fueron pirateados debido a una vulnerabilidad en el archivo de Accellion de dos décadas de antigüedad. Dispositivo de transferencia.
Conclusión
La encuesta de ciberseguridad de 2020 realizada por la American Bar Association revela el gran daño que han experimentado los bufetes de abogados debido a las infracciones. Treinta y cinco por ciento de los participantes en el estudio informaron pérdida de horas imputables a sus clientes; el treinta y nueve por ciento tuvo que gastar honorarios de consulta para la reparación; el diecisiete por ciento tuvo que reemplazar su hardware o software; el veintitrés por ciento perdió su acceso a la red; y el diez por ciento perdió el acceso a su sitio web.
Los bufetes de abogados deben adoptar una postura más proactiva para poder combatir los ataques de ciberseguridad. Deben estar en comunicación constante con su proveedor de seguridad para recibir los últimos parches y actualizaciones. Incluso las empresas de ciberseguridad pueden caer en la complacencia y, por lo tanto, depende de los bufetes de abogados elegir cuidadosamente a sus proveedores de servicios.
Los abogados saben, ante todo, que mantener la confidencialidad de la información es un estándar de oro en su negocio. Es uno de los pilares de la reputación de su empresa. Es la base para desarrollar una relación de confianza con sus clientes. Y les brinda protección contra demandas por negligencia. Al final, los bufetes de abogados deberían buscar invertir en productos y servicios de ciberseguridad que sean de vanguardia y tengan excelentes críticas.
