לפי דיווח שפורסם ב-10 באוגוסט באתר Non-Billable, האקרים גבו השנה כ-50 מיליון דולר בכופר ממשרדי עורכי דין גדולים, ובשבועות האחרונים נחשפו אירועים נוספים, ב-HSF Kramer וב-Mayer Brown. שמה של קבוצת הסחיטה Luna Moth חוזר בחלק מהמקרים, וההשלכות כבר מורגשות בשוק ביטוח הסייבר.
המשרדים והסכומים
הכתבה ב-Non-Billable מתארת את HSF Kramer כקורבן האחרון של אירוע סייבר במשרד ענק. לפי דיווחים שהוגשו לרגולטורים במדינות בארה"ב, המידע שנחשף כלל מספרי ביטוח לאומי אמריקניים (Social Security) ורשומות רפואיות. המשרד מסר שהאירוע התרחש מוקדם יותר השנה בחלק מסביבת ה-IT שלו בארה"ב, שהוא נחקר והוכל, ושמספר קטן של אנשים נפגע וקיבל הודעה. הכתבה אינה מייחסת את האירוע הזה לקבוצה מסוימת.
ב-Mayer Brown, Luna Moth טענה בשבוע שקדם לפרסום שהמשרד נפגע מדליפה. המשרד הציג גרסה אחרת: עובד שלח בטעות מספר קטן של מסמכים לצד שלישי שהציג את עצמו כמישהו אחר, ולפי בדיקת המשרד מדובר באירוע בודד, והצד השלישי לא חדר למערכות.
הסכומים הגדולים מגיעים מדיווחים של כתב העת The Insurer, כפי שצוטטו ב-Non-Billable. לפיהם WilmerHale שילמה ל-Luna Moth לפחות 18 מיליון דולר, ו-Goodwin שילמה לאותה קבוצה כ-10 מיליון דולר. Goodwin מסרה שהאירוע שלה, באביב, התחיל כשעובד אחד הוטעה ומסר את פרטי ההזדהות שלו, ושהמשרד הודיע למספר מוגבל של לקוחות ונפגעים. היא לא התייחסה לתשלום המדווח, ו-WilmerHale לא הגיבה. עוד דווח ש-Weil שילמה בין 18 ל-20 מיליון דולר אחרי מתקפה מוקדם יותר השנה, וש-Jones Day סירבה לדרישה של 13 מיליון דולר והקבצים שנגנבו ממנה פורסמו. כל הסכומים הם בגדר דיווחים ולא אושרו על ידי המשרדים.
הנדסה חברתית, לא פריצה טכנית
המכנה המשותף לחלק מהמקרים הוא האדם, לא המערכת: עובד שמסר סיסמה, עובד ששלח מסמכים למתחזה. זה תואם את מה שתיאר ה-FBI כבר ב-23 במאי 2025, בהתראה לתעשייה הפרטית (PIN 20250523-001) על קבוצת Silent Ransom Group, המוכרת גם בשמות Luna Moth ו-Chatty Spider. לפי ההתראה, הקבוצה פעילה מ-2022, ומאביב 2023 תוקפת בעקביות משרדי עורכי דין בארה"ב, ככל הנראה בגלל רגישות המידע שבידיהם. על התראה מעודכנת של ה-FBI על הקבוצה דיווחנו כאן בסוף מאי.
ה-FBI תיאר שתי שיטות עיקריות: מיילי פישינג על חיוב מנוי קטן ומזויף, שמובילים את הקורבן להתקשר לתוקפים ולהתקין תוכנת שליטה מרחוק; ומאפריל 2025 גם שיחות טלפון שבהן התוקף מתחזה לעובד מחלקת ה-IT של הארגון, ולעתים שליחת אדם פיזית למשרד כדי לחבר התקן אחסון למחשב. ההמלצות כללו אימות זהות של כל מי שנכנס למשרדי הארגון, הדרכת עובדים, נוהל ברור לאופן שבו מחלקת ה-IT פונה לעובדים, גיבויים סדירים ואימות דו-שלבי לכל העובדים.
המבטחים מגיבים
לפי The Insurer, כפי שצוטט ב-Non-Billable, לפחות מבטח אחד הפסיק לקבל משרדי עורכי דין חדשים כלקוחות ומבקש העלאות של 10% עד 20% בחידושים, ומבטחים נוספים מצמצמים עסקים חדשים מול משרדים. הכתבה מזכירה גם שהעלות של אירוע כזה חורגת בהרבה מהכופר עצמו: חקירה פורנזית, מומחי אבטחה, הודעות לרגולטורים, תיקון והתדיינות אפשרית.
עבור משרדים, גם קטנים בהרבה מאלה שברשימה, המסקנה המעשית פשוטה יחסית: נקודת התורפה המרכזית היא נוהלי ההזדהות והתקשורת של העובדים, ולא בהכרח חומת האש.