Uma sequência de incidentes de segurança envolvendo alguns dos maiores escritórios de advocacia dos Estados Unidos acendeu um alerta para um setor que concentra uma quantidade particularmente valiosa de informações: documentos pessoais, dados financeiros, estratégias processuais, investigações internas, operações empresariais e informações protegidas por sigilo profissional.
Os casos recentes mostram que escritórios de advocacia estão se tornando alvos estratégicos para cibercriminosos e que nem sempre é necessário explorar uma vulnerabilidade sofisticada para chegar às informações. Em diversos incidentes, o ponto de entrada foi o próprio usuário, por meio de técnicas de engenharia social.
Segundo informações divulgadas pela Reuters em setembro de 2026, escritórios como Greenberg Traurig, Eckert Seamans, Quinn Emanuel e McDermott Will & Schulte enfrentaram incidentes envolvendo acesso não autorizado ou exposição de informações.
Documentos da Greenberg Traurig chegaram à dark web
Um dos casos envolve a Greenberg Traurig, um dos grandes escritórios norte-americanos, com mais de 3.200 advogados.
O escritório confirmou que um agente não autorizado teve acesso a uma quantidade limitada de documentos e posteriormente publicou parte desse material na dark web. Segundo a empresa, um pequeno número de clientes foi afetado.
A Greenberg Traurig afirmou que seus sistemas corporativos não foram comprometidos de maneira geral e que suas operações continuaram normalmente. Entretanto, uma notificação apresentada às autoridades do estado de Vermont indicou que o incidente envolveu informações de Social Security, número utilizado nos Estados Unidos que possui grande relevância para identificação e operações financeiras.
O episódio demonstra uma característica importante dos incidentes modernos: uma organização não precisa necessariamente sofrer o comprometimento completo de sua infraestrutura para enfrentar uma violação significativa de dados.
O acesso a uma única conta, aplicação ou conjunto documental pode ser suficiente para expor informações altamente sensíveis.
Engenharia social compromete escritório e expõe dados pessoais
Outro incidente atingiu o escritório Eckert Seamans.
Segundo informações relacionadas ao caso, um advogado teria sido alvo de um ataque de engenharia social, permitindo acesso não autorizado a determinados arquivos.
Entre as informações potencialmente expostas estavam datas de nascimento e números de Social Security. O incidente também resultou em propostas de ações coletivas contra o escritório nos Estados Unidos.
A engenharia social merece atenção especial porque desloca o ataque da infraestrutura tecnológica para o comportamento humano.
Em vez de tentar quebrar diretamente mecanismos de criptografia ou explorar servidores, o criminoso procura convencer uma pessoa autorizada a executar determinada ação: clicar em um link, fornecer uma credencial, aprovar uma autenticação, abrir um arquivo ou conceder acesso a determinado sistema.
Quando o alvo é um advogado com acesso privilegiado a documentos de clientes, uma única credencial comprometida pode abrir caminho para informações extremamente valiosas.
Quinn Emanuel e McDermott também registraram incidentes
Os casos não estão isolados.
A Quinn Emanuel informou que, em agosto, um terceiro não autorizado conseguiu acesso por meio de engenharia social envolvendo uma conta de usuário temporariamente comprometida. Alguns arquivos relacionados a clientes foram acessados.
Já a McDermott Will & Schulte informou ter enfrentado um incidente isolado de engenharia social envolvendo um único usuário e um número limitado de documentos. O escritório afirmou ter investigado o episódio com auxílio de especialistas em segurança cibernética e comunicado as autoridades competentes.
Outros grandes escritórios norte-americanos também divulgaram incidentes recentemente, reforçando a percepção de que o setor jurídico passou a ocupar posição privilegiada na lista de alvos dos criminosos digitais.
Por que escritórios de advocacia são alvos tão valiosos?
Um escritório de advocacia funciona, sob a perspectiva de um atacante, como um grande repositório de inteligência.
Dependendo de sua área de atuação, seus sistemas podem armazenar:
- documentos de identificação de clientes;
- endereços, telefones e informações cadastrais;
- dados bancários e financeiros;
- contratos;
- documentos societários;
- informações trabalhistas;
- prontuários e dados relacionados à saúde;
- estratégias jurídicas;
- documentos relacionados a litígios;
- informações sobre fusões e aquisições;
- investigações corporativas internas;
- comunicações confidenciais;
- documentos protegidos por sigilo profissional.
Em determinadas situações, atacar o escritório responsável por uma empresa pode ser mais vantajoso para o criminoso do que atacar diretamente a própria empresa.
O objetivo pode não ser apenas vender dados pessoais.
Documentos jurídicos podem ser utilizados para extorsão, fraude, espionagem empresarial, manipulação de negociações, engenharia social e obtenção de informações estratégicas sobre processos judiciais ou operações comerciais.
O valor da informação contextualizada
Existe ainda outra característica que torna esse tipo de vazamento especialmente perigoso.
Dados isolados possuem determinado valor. Dados contextualizados possuem um valor muito maior.
Imagine que um criminoso obtenha apenas nome e endereço de e-mail de determinada pessoa. Essas informações permitem algumas tentativas de fraude.
Agora considere que o atacante possua nome, telefone, documentos, nome do advogado responsável, número do processo, valores discutidos, cópias de contratos e conhecimento sobre uma negociação em andamento.
A capacidade de produzir uma abordagem convincente aumenta consideravelmente.
É nesse ponto que vazamentos de dados e engenharia social passam a se alimentar mutuamente.
O criminoso pode utilizar informações obtidas em um primeiro incidente para construir ataques extremamente personalizados em uma segunda etapa.
O problema não termina na senha
A recorrência de ataques envolvendo engenharia social também demonstra que políticas de segurança baseadas exclusivamente em senhas fortes são insuficientes.
Uma estratégia adequada de proteção de dados precisa trabalhar com camadas de segurança.
Entre as medidas relevantes estão autenticação multifator resistente a phishing, controle de privilégios, segmentação de acessos, monitoramento de atividades anômalas, criptografia, gestão de dispositivos, políticas de retenção e descarte, treinamento periódico e procedimentos específicos para confirmação de solicitações sensíveis.
Também deve existir atenção ao chamado princípio do menor privilégio: cada usuário deve possuir acesso apenas às informações necessárias para desempenhar suas funções.
Dessa forma, o comprometimento de uma única conta não necessariamente proporciona acesso indiscriminado ao acervo documental da organização.
O fator humano continua no centro da segurança
Os incidentes envolvendo escritórios de advocacia mostram ainda que cibersegurança e proteção de dados não podem ser tratadas exclusivamente como problemas do departamento de tecnologia.
Um sistema tecnicamente seguro pode ser comprometido se um funcionário for convencido a fornecer acesso.
Criminosos podem se apresentar como clientes, fornecedores, profissionais de suporte técnico, executivos da própria organização ou representantes de instituições conhecidas.
Com ferramentas de inteligência artificial generativa, esse cenário tende a ficar ainda mais complexo. Mensagens fraudulentas podem ser produzidas com excelente qualidade textual e adaptadas ao contexto profissional da vítima.
Ataques também podem incorporar informações previamente obtidas em redes sociais, vazamentos anteriores e fontes públicas.
Por isso, uma mensagem aparentemente legítima não deve ser considerada segura apenas porque contém informações verdadeiras sobre a vítima ou sua organização.
Proteção de dados exige governança
O crescimento desses incidentes também reforça uma distinção importante: privacidade, proteção de dados e segurança da informação estão relacionadas, mas não são exatamente a mesma coisa.
Uma organização pode possuir antivírus, firewall e autenticação multifator e ainda assim apresentar problemas graves de proteção de dados.
É necessário saber quais informações são coletadas, onde são armazenadas, quem pode acessá-las, durante quanto tempo permanecem disponíveis, com quem são compartilhadas e como serão eliminadas quando deixarem de ser necessárias.
No Brasil, essa discussão ganha relevância adicional diante da Lei Geral de Proteção de Dados Pessoais (LGPD).
Escritórios de advocacia também realizam operações de tratamento de dados pessoais e, dependendo da atividade realizada, podem lidar rotineiramente com dados pessoais sensíveis.
Isso exige uma estrutura de governança compatível com os riscos existentes.
Lições para empresas brasileiras
Embora os episódios tenham ocorrido nos Estados Unidos, as lições são plenamente aplicáveis às organizações brasileiras.
A primeira é que empresas que concentram informações confidenciais precisam assumir que serão alvo de tentativas de engenharia social.
A segunda é que o treinamento dos usuários precisa ser acompanhado de controles técnicos. Transferir toda a responsabilidade ao funcionário é uma estratégia inadequada de segurança.
A terceira é que o acesso aos dados deve ser compartimentado. Uma conta comprometida não deveria permitir que um invasor percorresse livremente documentos de diferentes clientes ou departamentos.
Por fim, organizações precisam possuir um plano de resposta a incidentes previamente estabelecido.
Quando uma violação ocorre, não é o momento adequado para decidir quem deverá investigar, preservar registros, avaliar os dados atingidos, comunicar a direção, contratar especialistas ou analisar eventual necessidade de comunicação à autoridade competente e aos titulares.
Essas responsabilidades devem estar definidas antes do incidente.
Privacidade também é segurança institucional
Os ataques contra grandes escritórios norte-americanos revelam um problema que ultrapassa o setor jurídico.
Vivemos em um ambiente no qual praticamente toda organização se tornou uma custodiante de dados.
Empresas, escritórios, clínicas, escolas, órgãos públicos e profissionais liberais armazenam informações capazes de identificar pessoas, revelar sua situação financeira, seus relacionamentos profissionais e, em determinadas circunstâncias, aspectos extremamente particulares de suas vidas.
Quanto mais valioso e contextualizado for esse conjunto de informações, maior será o interesse de criminosos.
O desafio contemporâneo da proteção de dados, portanto, não consiste apenas em impedir que alguém “invada um computador”.
Consiste em construir uma estrutura capaz de impedir que pessoas não autorizadas obtenham informações que jamais deveriam estar ao seu alcance — independentemente de o ataque ocorrer por uma vulnerabilidade técnica ou pela manipulação de uma pessoa autorizada.
Fonte principal: Reuters — Law firm Greenberg Traurig says ‘limited’ data posted to dark web as cyber attacks mount
Fonte complementar: Reuters — Data at law firms Quinn Emanuel, McDermott exposed in cyber breaches
