การสำรวจปี 2020 โดยเนติบัณฑิตยสภาอเมริกันพบว่า 29% ของสำนักงานกฎหมายที่เข้าร่วมพบภัยคุกคามความปลอดภัยทางไซเบอร์บางรูปแบบ ในขณะที่ 21% ไม่สามารถระบุได้อย่างสมบูรณ์ว่าการโจมตีทางไซเบอร์เกิดขึ้นหรือไม่
ตัวอย่างของการละเมิดความปลอดภัยทางไซเบอร์เหล่านี้รวมถึงการขโมยข้อมูลและการแสวงหาประโยชน์จากเว็บไซต์ นอกจากนี้ ผลการศึกษายังพบว่ามีจำนวนบริษัทกฎหมายที่เพิ่มขึ้น 3% ที่เคยถูกคุกคามด้านความปลอดภัยทางไซเบอร์ระหว่างปี 2019 ถึง 2020
ในช่วงเวลาที่การระบาดใหญ่ทำให้เกิดการทำธุรกรรมทางธุรกิจออนไลน์และการตั้งค่าการทำงานทางไกลเพิ่มขึ้น ข้อมูลนี้ควรเป็นสาเหตุของความกังวล ไม่ใช่แค่สำหรับสำนักงานกฎหมายเท่านั้น แต่สำหรับลูกค้าของพวกเขาด้วย ผลการศึกษานี้รายงานถึงความรู้สึกที่ชัดเจนของการรักษาความปลอดภัยที่ผิดพลาดในหมู่สำนักงานกฎหมายหลายแห่ง โดยพิจารณาว่า 70% ของผู้ตอบแบบสอบถามเชื่อว่าไม่มีการสูญเสียหรือการหยุดชะงักของธุรกิจเกิดขึ้น อย่างไรก็ตามในฐานะที่ American Bar Association เอง ในการสำรวจพบว่า “…เป็นเรื่องปกติธรรมดาที่จะสงสัยว่าแนวโน้มเชิงบวกที่ดูเหมือนสะท้อนความรู้สึกสบายใจที่น่าหนักใจในระยะสั้นท่ามกลางความเสี่ยงที่อาจเกิดอันตรายในระยะยาวหรือไม่”
As นิตยสารความปลอดภัย ระบุไว้ใน 2017 นี้ บทความ, “การละเมิดข้อมูลทางอาญาจะทำให้ธุรกิจมีมูลค่ารวม 8 ล้านล้านดอลลาร์ในช่วง 5 ปีข้างหน้า อันเนื่องมาจากการเชื่อมต่ออินเทอร์เน็ตในระดับที่สูงขึ้นและการรักษาความปลอดภัยทั่วทั้งองค์กรไม่เพียงพอ” ในทำนองเดียวกัน งานวิจัยในปี 2019 ที่ใช้เทคโนโลยีดิจิทัลคิดว่า Juniper Research คาดการณ์ว่าต้นทุนของการสูญเสียทางธุรกิจอันเนื่องมาจากการโจมตีด้านความปลอดภัยทางไซเบอร์จะผ่าน 5 ล้านล้านดอลลาร์ภายในปี 2024
เหตุใดสำนักงานกฎหมายจึงเป็นเป้าหมายระดับโลกสำหรับอาชญากรไซเบอร์
อาชญากรไซเบอร์มีความเกี่ยวข้องเป็นพิเศษกับ โจมตีสำนักงานกฎหมาย เนื่องจากการครอบครองของลูกค้าที่ละเอียดอ่อนและข้อมูลอุตสาหกรรมจำนวนมาก หากพวกเขาเข้าถึงข้อมูลนี้ พวกเขาสามารถใช้มันเพื่อจับบริษัทและลูกค้าเป็นตัวประกัน จากนั้นพวกเขาจะเรียกค่าไถ่ก่อนที่จะอนุญาตให้เหยื่อได้ข้อมูลของตนกลับคืนมา หรือหากพวกเขาสามารถแฮ็คข้อมูลการเข้าสู่ระบบสำหรับรายละเอียดการธนาคารและบัตรเครดิต พวกเขาสามารถขโมยเงินได้ทันที
ดังที่จะแสดงในภายหลัง อาชญากรไซเบอร์ไม่ได้หลบเลี่ยงจากบริษัทกฎหมายขนาดใหญ่ ในช่วงไม่กี่ปีที่ผ่านมา มีหลายกรณีที่บริษัทกฎหมายรายใหญ่ในสหรัฐอเมริกา สหราชอาณาจักร และออสเตรเลียถูกโจมตีและบุกรุก ด้วยข้อมูลอัจฉริยะขนาดใหญ่ที่มีอยู่รวมถึงข้อมูลส่วนบุคคลที่สามารถระบุตัวตนได้ (PII) ข้อมูลทางการเงิน และข้อมูลการควบรวมกิจการ (M&A) บริษัทกฎหมายจึงกลายเป็นเป้าหมายยอดนิยมสำหรับอาชญากรไซเบอร์
ความโน้มเอียงของอาชญากรไซเบอร์ในการโจมตีทนายความนั้นแข็งแกร่งขึ้นจากข้อเท็จจริงที่ว่าบริษัทกฎหมายโดยทั่วไปมีระบบความปลอดภัยทางไซเบอร์ที่อ่อนแอกว่าเมื่อเปรียบเทียบกับบริษัทในอุตสาหกรรมอื่นๆ เช่น เทคโนโลยี แม้แต่บริษัทเทคโนโลยีที่มีขนาดเล็กกว่าก็จะได้รับการคุ้มครองทางไซเบอร์ได้ดีกว่าบริษัทกฎหมายขนาดใหญ่ เนื่องจาก รายงาน โดย Attorney at Law Magazine นักกฎหมายจำนวนมาก “ยังคงไม่เต็มใจที่จะจ้างผู้เชี่ยวชาญด้านความปลอดภัยในโลกไซเบอร์ให้กับบริษัทของพวกเขา ไม่ว่าจะในบ้านหรือในฐานะที่ปรึกษา โดยปกติแล้วเพราะพวกเขาไม่รู้ว่าภัยคุกคามออนไลน์ประเภทนี้สามารถสร้างความเสียหายได้มากน้อยเพียงใด”
ในออสเตรเลีย จุดอ่อนในระบบความปลอดภัยทางไซเบอร์ของสำนักงานกฎหมายหลายแห่งสะท้อนให้เห็นในสถิติที่น่าตกใจซึ่งบ่งชี้ว่าหนึ่งในสามของบริษัทกฎหมายในประเทศไม่ได้จัดสรรเงินทุนสำหรับการฝึกอบรมด้านความปลอดภัยทางไซเบอร์ การวิจัยโดย GlobalX และ Australian Legal Practice Management Association (ALPMA) เผยให้เห็นสถานการณ์ที่ขัดแย้งกันซึ่งทนายความ 79% ตื่นตระหนกเกี่ยวกับความปลอดภัยในโลกไซเบอร์ แต่มีเพียง 21% เท่านั้นที่ไว้วางใจให้บริษัทของตนอยู่รอดจากการโจมตีทางไซเบอร์ แม้จะตระหนักถึงความร้ายแรงของภัยคุกคามความปลอดภัยในโลกไซเบอร์ แต่สำนักงานกฎหมายของออสเตรเลีย 33% ดูเหมือนจะติดอยู่ในวัฒนธรรมของความพึงพอใจในอุตสาหกรรมกฎหมาย ดังที่เราจะได้เห็นในกรณีศึกษาในภายหลัง ท่าทีเชิงรุกที่น้อยกว่าที่สำนักงานกฎหมายได้แสดงให้เห็นเมื่อพูดถึงความปลอดภัยทางไซเบอร์ ส่งผลให้เกิดความเสียหายอย่างใหญ่หลวงต่อธุรกิจของพวกเขา
อาชญากรไซเบอร์ใช้กลวิธีใดในการโจมตีบริษัทกฎหมาย?
มัลแวร์
ในปี 2017 DLA Piper ถูกโจมตีโดยแรนซัมแวร์ที่ทำให้คอมพิวเตอร์หลายพันเครื่องเสียหาย การโจมตีดังกล่าวทำให้ DLA Piper ปิดการดำเนินการทางดิจิทัลทั่วโลก ระบบอีเมลและโทรศัพท์ถูกปิดใช้งาน ทำให้ทนายความและพนักงานคนอื่นๆ ทำธุรกิจโดยใช้โทรศัพท์มือถือ จำเป็นต้องพูด มันเป็นเรื่องเครียดมากสำหรับพนักงานของบริษัทเมื่อพิจารณาว่าบริษัทกฎหมายต้องพึ่งพาเอกสารสำหรับการดำเนินงานเป็นอย่างมาก ทนายความชาวอเมริกัน ทำให้เหมาะสม การสังเกต ของผลกระทบจากการโจมตีของแรนซัมแวร์: “พิจารณาผู้ดำเนินคดีที่ไม่สามารถเข้าถึงการเคลื่อนไหวตามกำหนดเวลา ทนายความคดีเตรียมการโต้แย้งโดยไม่มีเอกสารสำคัญ ทนายความด้านธุรกรรมไม่สามารถสื่อสารกับลูกค้าที่พยายามปิดข้อตกลงมูลค่าหลายพันล้านดอลลาร์”
ฟิชชิ่ง
สหราชอาณาจักรกลายเป็นแหล่งเพาะพันธุ์สำหรับการโจมตีแบบฟิชชิ่งต่อบริษัทกฎหมาย หลังจากการล็อกดาวน์ในปี 2020 เนื่องจากการแพร่ระบาดของโควิด-19 หน่วยงานกำกับดูแลทนายความระบุว่าฟิชชิ่งเพิ่มขึ้น 300% แม้ในช่วงสองเดือนแรกนับตั้งแต่เริ่มล็อกดาวน์ ในช่วงหกเดือนแรกของปี 2020 บริษัทกฎหมายของอังกฤษรายงานว่าอาชญากรไซเบอร์ขโมยเงินจากพวกเขาไปเกือบ 2.5 ล้านปอนด์ ซึ่งมากกว่าจำนวนที่รายงานในช่วงหกเดือนแรกของปี 2019 ถึง XNUMX เท่า บริษัทกฎหมายแห่งหนึ่งรายงานว่ากลโกงฟิชชิ่งที่ตกเป็นเหยื่อของคู่หูอาวุโสของพวกเขา อีเมลฟิชชิ่งที่มีมัลแวร์ถูกปลอมแปลงว่ามาจากไคลเอนต์ เมื่อเหยื่อคลิกไฟล์แนบ ระบบจะส่งข้อความอีเมลไปยังผู้ติดต่อของคู่หูอาวุโสในทันทีเพื่อขอให้คลิกลิงก์และให้ข้อมูลที่ร้องขอ ส่งผลให้สำนักงานกฎหมายขอให้ธนาคารระงับบัญชีลูกค้าและส่งคำขอโทษไปยังลูกค้าที่ได้รับผลกระทบ
ขโมยข้อมูลประจำตัว
ในเดือนตุลาคม 2020 สำนักงานกฎหมายตรวจคนเข้าเมือง Fragomen, Del Rey, Bernsen & Loewy ประสบปัญหาการเข้าถึงข้อมูลโดยไม่ได้รับอนุญาตในไฟล์ I-9 ซึ่งมีข้อมูลส่วนบุคคลของพนักงาน Google ทั้งในอดีตและปัจจุบัน สำนักงานกฎหมายนี้ดำเนินการคัดกรองการตรวจสอบสำหรับบริษัทต่างๆ เพื่อตรวจสอบว่าพนักงานของตนมีสถานะทางกฎหมายที่ดีในการทำงานในสหรัฐอเมริกาหรือไม่ ไฟล์ I-9 มีข้อมูลที่เป็นความลับมากมาย รวมถึงข้อมูลหนังสือเดินทาง ใบขับขี่ และบัตรประจำตัว ทำให้เป็นข้อมูลลับสำหรับแฮ็กเกอร์และขโมยข้อมูลประจำตัว
ตัวอย่างล่าสุดของการโจมตีสำนักงานกฎหมาย
ในเดือนมกราคมปี 2021 ผู้ขายของ Goodwin Procter ที่ดูแลการถ่ายโอนไฟล์ขนาดใหญ่ตกเป็นเหยื่อของการแฮ็ก สิ่งนี้ทำให้อาชญากรไซเบอร์สามารถเข้าถึงข้อมูลที่ผู้ขายดูแลสำหรับองค์กรกฎหมาย การตรวจสอบของ Goodwin สรุปว่า ลูกค้าของบริษัทกฎหมายบางรายอาจได้รับการเข้าถึงข้อมูลที่มีความละเอียดอ่อนโดยไม่ได้รับอนุญาต มีพนักงานของ Goodwin เพียงไม่กี่เปอร์เซ็นต์เท่านั้นที่ได้รับผลกระทบ และไม่มีหลักฐานที่บ่งชี้ว่าทรัพย์สินและการดำเนินธุรกิจอื่นๆ ได้รับผลกระทบในทางลบ อย่างไรก็ตาม ในฐานะบริษัทข่าวกรองรายใหญ่ Law.com บันทึก, “บางคนเชื่อว่าละครจริงกำลังเกิดขึ้นในที่ส่วนตัว”
Allens หนึ่งในสำนักงานกฎหมายที่ใหญ่ที่สุดและได้รับการยกย่องมากที่สุดของออสเตรเลีย ก็ตกเป็นเหยื่อของการละเมิดความปลอดภัยทางไซเบอร์ที่มีความซับซ้อนเมื่อเดือนมกราคม 2021 เมื่อเดือนมกราคม พ.ศ. XNUMX มีรายงานว่าการโจมตีเกิดขึ้นบนระบบถ่ายโอนไฟล์และการจัดเก็บที่มีอายุกว่า XNUMX ทศวรรษที่ Accellion ใช้ บริษัทรักษาความปลอดภัยทางไซเบอร์ในแคลิฟอร์เนียที่ให้บริการถ่ายโอนไฟล์และจัดเก็บไฟล์สำหรับองค์กรขนาดใหญ่ รวมถึงบริษัทกฎหมายหลายแห่งทั่วโลก Accellion อัปเดตเฉพาะผลิตภัณฑ์รุ่นเก่าเมื่อปีที่แล้วเมื่อพบช่องโหว่ในระบบ Shawn Schmidt อดีตผู้จัดการโครงสร้างพื้นฐานของ Allens พูดอย่างตรงไปตรงมาในเว็บไซต์ของ Accellion เกี่ยวกับทางเลือกของบริษัทกฎหมายของออสเตรเลียในการเลือกบริษัทรักษาความปลอดภัยทางไซเบอร์: “เราสามารถอนุญาตให้พนักงานใช้โซลูชันระดับผู้บริโภค เช่น Dropbox ได้อย่างง่ายดาย ซึ่งจะทำให้งานสำเร็จลุล่วงไปโดยเปล่าประโยชน์ แต่เรารู้ว่าบริษัทของเราและลูกค้าของเราต้องการสิ่งที่พวกเขาไว้วางใจและไว้วางใจได้”
Jones Day ซึ่งเป็นสำนักงานกฎหมายที่ใหญ่ที่สุดลำดับที่ 10 ในสหรัฐอเมริกาและเป็นลูกค้าของ Accellion รายงานเมื่อเดือนกุมภาพันธ์ 2021 ว่าข้อมูลส่วนตัวจากลูกค้าและไฟล์การสื่อสารของบริษัทก็ถูกแฮ็กเช่นกัน เนื่องจากช่องโหว่ในไฟล์ที่มีอายุ XNUMX ทศวรรษของ Accellion โอนอุปกรณ์.
สรุป
การสำรวจความปลอดภัยทางไซเบอร์ในปี 2020 โดย American Bar Association เผยให้เห็นถึงความเสียหายที่บริษัทกฎหมายได้รับจากการฝ่าฝืน ผู้เข้าร่วมการศึกษาร้อยละสามสิบห้ารายงานการสูญเสียชั่วโมงที่เรียกเก็บจากลูกค้า ร้อยละสามสิบเก้าต้องเสียค่าธรรมเนียมการปรึกษาเพื่อการซ่อมแซม สิบเจ็ดเปอร์เซ็นต์ต้องเปลี่ยนฮาร์ดแวร์หรือซอฟต์แวร์ ร้อยละยี่สิบสามสูญเสียการเข้าถึงเครือข่าย และสิบเปอร์เซ็นต์ไม่สามารถเข้าถึงเว็บไซต์ของตนได้
บริษัทกฎหมายจำเป็นต้องมีจุดยืนเชิงรุกมากขึ้นหากต้องการสามารถต่อสู้กับการโจมตีด้านความปลอดภัยทางไซเบอร์ได้ พวกเขาควรสื่อสารกับผู้ให้บริการความปลอดภัยอย่างต่อเนื่องเพื่อรับโปรแกรมแก้ไขและอัปเดตล่าสุด แม้แต่บริษัทรักษาความปลอดภัยในโลกไซเบอร์ก็อาจรู้สึกไม่สบายใจได้ ดังนั้นบริษัทกฎหมายจึงต้องเลือกผู้ให้บริการอย่างรอบคอบ
ทนายความทราบในประการแรกว่าการรักษาความลับของข้อมูลเป็นมาตรฐานทองคำในธุรกิจของพวกเขา เป็นหนึ่งในรากฐานของชื่อเสียงของบริษัท เป็นพื้นฐานสำหรับการพัฒนาความสัมพันธ์ของความไว้วางใจกับลูกค้าของพวกเขา และให้ความคุ้มครองแก่พวกเขาจากการฟ้องร้องคดีทุจริตต่อหน้าที่ ในท้ายที่สุด บริษัทกฎหมายควรมองหาการลงทุนในผลิตภัณฑ์และบริการด้านความปลอดภัยทางไซเบอร์ที่ล้ำสมัยและมีบทวิจารณ์ที่ยอดเยี่ยม
