Korzystasz z usług kancelarii prawniczej? Niektóre mają problem z bezpieczeństwem

Korzystanie z usług kancelarii prawniczej powinno być gwarantem bezpieczeństwa informacji klienta – tak jednak nie jest. Powodem jest nie tylko niska świadomość zagrożeń w kancelariach, ale i charakter pracy – niektóre wiadomości, choć wyglądają podejrzanie, muszą zostać odczytane.

Receptą na ataki hakerskie jest zaawansowana cyberochrona, która integruje nowoczesne technologie, zabezpiecza przed różnymi rodzajami zagrożeń i pozwala korzystać z nich nawet laikowi.

Szanowny Panie, uprzejmie proszę o ocenę możliwości zajęcia się moją sprawą - szczegóły w załączeniu - tak może wyglądać typowy e-mail od hakera. Otworzenie załącznika powoduje instalację złośliwego oprogramowania przechwytującego hasła lub blokadę zawartości komputera, a w kolejnym kroku żądanie zapłaty okupu.

Wiedza o metodach, jakimi posługują się hakerzy, jest coraz powszechniejsza i duża część przedsiębiorców takiego maila nie „kliknie”, podejrzewając oszustwo. Jest jednak grupa zawodowa, której przedstawiciele bez wahania taką korespondencję otworzą. To prawnicy. To wśród klientów kancelarii powinno spowodować swego rodzaju refleksję nad tym, czy nasze dane w ogóle są bezpieczne.

Czytaj dalej poniżej

MC ostrzega przed fałszywymi wiadomościami SMS. Atak z wykorzystaniem Profilu Zaufanego Grzegorz Ułan

Złoty pomysł scammerów. Google wykorzystane do oszukiwania klientów banków Jakub Szczęsny

Nie wynika to jednak z niefrasobliwości czy braku ostrożności. Charakter naszej pracy zmusza nas do czytania takich maili. Tego typu korespondencja to przykład kontaktu potencjalnego klienta, kogoś, kto ma jakiś problem prawny i pisze w tej sprawie. Rzecz jasna jest to dla nas obca osoba, niemożliwa do zweryfikowania po nazwisku czy adresie. Może to być nawet ktoś, kto pisze z zagranicy, z konta w nieznanej domenie, a nawet używając pseudonimu. Przecież osoba chowająca się za pseudonimem np. „kajeczka” czy „tomasz88”, może być Kają Kowalską czy Tomaszem Nowakiem – potencjalnym klientem szukającym pomocy prawnej. W tym kontekście najpoważniejszym zagrożeniem związanym z uzyskaniem przez hakera dostępu do zasobów kancelarii prawnej może być ryzyko naruszenia tajemnicy zawodowej – adwokackiej lub – co gorsza – tajemnicy obrończej, która ma charakter bezwzględny, bo nikt – nawet sąd – nie może adwokata z takiej tajemnicy zwolnić. Zgodnie z § 19 Zbiorem Zasad Etyki Adwokackiej i Godności Zawodu „adwokat zobowiązany jest zachować w tajemnicy oraz zabezpieczyć przed ujawnieniem lub niepożądanym wykorzystaniem wszystkiego, o czym dowiedział się w związku z wykonywaniem obowiązków zawodowych. Tajemnicą adwokacką objęte są w szczególności znajdujące się w aktach adwokackich materiały, wszystkie wiadomości, notatki i dokumenty dotyczące sprawy uzyskane od klienta oraz innych osób, niezależnie od miejsca, w którym się znajdują – wyjaśnia Adwokat Liliana Trzaskoś - Kancelaria Adwokacka w Opolu.

Hakerzy nie poprzestają na fikcyjnych nadawcach, podszywają się też pod znane i renomowane instytucje. Tylko w ciągu ostatniego roku były to Zakład Ubezpieczeń Społecznych, profil zaufany czy Generalny Inspektor Ochrony Danych Osobowych. Właśnie GIODO zostało wykorzystane do jednego z ataków na kancelarię prawną.

W tym kontekście najpoważniejszym zagrożeniem związanym z uzyskaniem przez hakera dostępu do zasobów kancelarii prawnej może być ryzyko naruszenia tajemnicy zawodowej – adwokackiej lub – co gorsza – tajemnicy obrończej, która ma charakter bezwzględny, bo nikt – nawet sąd – nie może adwokata z takiej tajemnicy zwolnić. To poważne naruszenie § 19 Zbioru Zasad Etyki Adwokackiej i Godności Zawodu. W ostatnich latach znaczny wzrost ryzyka wiąże się z ogólną tendencją przenoszenia kanałów komunikacji między profesjonalnymi pełnomocnikami a sądem do sieci.

§ 19 Zbioru Zasad Etyki Adwokackiej i Godności Zawodu:

1. Adwokat zobowiązany jest zachować w tajemnicy oraz zabezpieczyć przed ujawnieniem lub niepożądanym wykorzystaniem wszystko, o czym dowiedział się w związku z wykonywaniem obowiązków zawodowych.

2. Znajdujące się w aktach adwokackich materiały objęte są tajemnicą adwokacką.

3. Tajemnicą objęte są nadto wszystkie wiadomości, notatki i dokumenty dotyczące sprawy uzyskane od klienta oraz innych osób, niezależnie od miejsca, w którym się znajdują.

4. Adwokat zobowiąże swoich współpracowników i personel oraz wszelkie osoby zatrudnione przez niego podczas wykonywania działalności zawodowej do przestrzegania obowiązku zachowania tajemnicy zawodowej.

5. Adwokat posługujący się w pracy zawodowej komputerem lub innymi środkami elektronicznego utrwalania danych obowiązany jest stosować oprogramowanie i inne środki zabezpieczające dane przed ich niepowołanym ujawnieniem.

6. Przekazywanie informacji objętych tajemnicą zawodową za pomocą elektronicznych i podobnych środków przekazu wymaga zachowania szczególnej ostrożności i uprzedzenia klienta o ryzyku związanym z zachowaniem poufności przy wykorzystaniu tych środków.

7. Obowiązek przestrzegania tajemnicy zawodowej jest nieograniczony w czasie.

8. Adwokatowi nie wolno zgłaszać dowodu z zeznań świadka będącego adwokatem lub radcą prawnym w celu ujawnienia przez niego wiadomości uzyskanych w związku z wykonywaniem zawodu.

Hakerzy wysoko cenią kancelarie prawne

Dla cyberprzestępców kancelarie prawne to łakomy kąsek. Mają w swoich zasobach dokumenty atrakcyjne dla hakera – np. szczegóły spraw, strategie obrony, wrażliwe dane osobowe. Przestępcy coraz częściej to wykorzystują – od kilku lat zauważalne jest ich rosnące zainteresowanie adwokatami. Poważne upublicznione zdarzenie miało miejsce w 2015 roku. Skuteczny okazał się atak wymierzony w jedną z największych kancelarii adwokackich w Polsce. Hakerzy przejęli wrażliwe dane i zażądali pół miliona euro w zamian za ich niepublikowanie. Kancelaria zlekceważyła groźby i zignorowała fakt, że miał miejsce groźny atak. W odpowiedzi hakerzy ujawnili w tzw. Darknecie część skradzionych danych. Straty (nie tylko wizerunkowe) kancelarii adwokackiej były ogromne.

Kancelarie prawne w szczególny sposób zobowiązane są do zapewniania cyberbezpieczeństwa, nie tyle sobie samym, co przede wszystkim swoim klientom. Upublicznienie informacji o zarzutach karnych i szczegółach spraw może być dla klienta rujnujące, a dla kancelarii oznaczać pozbawienie racji bytu. Możliwa jest nawet utrata prawa do sprawowania patronatu nad aplikantami, a nawet prawa do wykonywania zawodu. Wielkim utrudnieniem jest także postępowanie dyscyplinarne związane z naruszeniem tajemnic powierzonych przez klientów. Przepisy, ale i przyjęte normy społeczne zobowiązują tę grupę zawodową do realizacji usług charakteryzujących się dbałością w stopniu wyższym niż wymagany od innych profesjonalistów. Inną kwestią jest fakt, że małe, kilkuosobowe kancelarie mogą mieć problem ze znalezieniem skutecznej ochrony w rozsądnych kosztach - mówi Wojciech Gołębiowski, dyrektor zarządzający Veronym.

Serwis ZaufanaTrzeciaStrona kilka lat temu opisywał sprawę adwokata, który zgłosił się do redakcji zajmującej się cyberbezpieczeństwem. Zgłosił się do niego przedstawiciel Eurologistic, który pytał o zakres usług kancelarii prawniczej. Ten odpowiedział na pytania i zachęcił przestępców do działania - w dalszym toku konwersacji otrzymał już plik zawierający "niby" wytyczne dla kancelarii, jednak niczym go uruchomił, przekazał sprawę ekspertom. Okazało się, że czujność uratowała jego i kancelarię przed koszmarnym w skutkach atakiem: w środku bowiem znajdowało się złośliwe oprogramowanie. W toku dalszego śledztwa serwisu ZaufanaTrzeciaStrona, zidentyfikowano co najmniej 4 inne kancelarie, w których doszło do podobnej próby skłonienia do kliknięcia złośliwego linka.

W wyniku podobnych działań kanclearia kancelarii Drzewiecki, Tomaszek i Wspólnicy padła ofiarą szantażu i niestety, ale doszło do opublikowania danych klientów w Darknecie (jak wspomnieliśmy wyżej). Wtedy to, grupa "fiat126pteam" zażądała od adwokatów 500 000 euro w zamian za utrzymanie informacji w tajemnicy. Prawnicy postanowili nie godzić się z warunkami przestępców, nie próbowali także z nimi negocjować. Ich bierność kosztowała ich niezwykle cenne informacje, a także potężne szkody wizerunkowe. 2 lata później w kancelarii doszło do secesji - troje ekspartnerów zdecydowało się stworzyć własny podmiot świadczący usługi prawnicze: Gołębiowska, Krawczyk, Roszkowski, i Partnerzy. Obecnie podmiot funkcjonuje pod nazwą "Drzewiecki, Tomaszek" i o sprawie już mało kto pamięta - jednak trzy lata temu w środowisku prawniczym było głośno o cyberataku w wielkiej kancelarii.

Nieobecność na rozprawie to przegrana sprawa

Wzrost ryzyka wiąże się z ogólną tendencją przenoszenia kanałów komunikacji między profesjonalnymi pełnomocnikami a sądem do sieci – od kilku lat sądy na portalach internetowych udostępniają pełnomocnikom stron akta spraw, w tym protokoły rozpraw (także niejawnych czy odbywających się za zamkniętymi drzwiami), wyroki, uzasadnienia itp. Dlatego też obecnie – inaczej niż jeszcze kilka lat wcześniej – adwokaci w swoich zasobach komputerowych przechowują nie tylko własne pisma, lecz także te pobrane pochodzące od sądu. Podobnie popularną praktyką jest skanowanie i przechowywanie na dysku komputera pism pochodzących od przeciwników procesowych. To odchudza papierowe akta sprawy, lecz jednocześnie stwarza dla prawnika nowe zagrożenia.

Potencjał kancelarii prawnych, który może być wykorzystany przez hakerów, to nie tylko dane osobowe, dane wrażliwe czy informacje procesowe i objęte karami umownymi. Coraz więcej kancelarii korzysta już z oprogramowania przypominającego o terminach urzędowych i datach rozpraw sądowych. Haker może uniemożliwić działanie aplikacji, a prawnik przez to nie pojawi się na rozprawie. W takiej sytuacji nie tylko przegra sprawę, może też narazić się na karę, a ogromną stratę wizerunkową poniesie również kancelaria. Sam brak dostępu do aplikacji Lex czy Polskie Kodeksy jest poważnym utrudnieniem i w krytycznym momencie może mieć negatywne konsekwencje dla pracy adwokata.

Jaką cyberochronę powinny mieć kancelarie adwokackie

Niestety kancelarie prawne w większości nie doceniają zagrożenia wynikającego z charakteru ich pracy i zainteresowania hakerów tą grupą zawodową. Chociaż korespondencja elektroniczna jest najpopularniejszą formą kontaktu prawnika z jego klientem, właśnie tu widać niski poziom ochrony. Na przykład poprzez dość częste używanie adresów w domenach @gmail.com, @o2.pl, @wp.pl, które nie gwarantują odpowiedniego zabezpieczenia. Nadal powszechną praktyką jest przesyłanie projektów pism jako całkowicie nieszyfrowanych załączników do wiadomości e-mail, choć nawet ich szyfrowanie z pewnością nie jest wystarczającym zabezpieczeniem w 2018 roku. Protokoły i schematy wiadomości e-mail powstały kilkadziesiąt lat temu i od tego czasu nie zostały zasadniczo zmienione.

Zasadniczym zajęciem prawnika nie jest zabezpieczanie komputera i nie można oczekiwać, że pracownicy kancelarii będą na tym się znali. Dlatego najlepsze dla tej grupy zawodowej są rozwiązania, które pozwalają im nie martwić się o programy zabezpieczające, inwestowanie w sprzęt czy zatrudnianie drogich informatyków. Wszystkie te kompetencje i dostęp do najlepszych technologii do walki z cyberprzestępczością mogą być dostarczane zewnętrznie, np. w modelu miesięcznego abonamentu. Ważne, aby ochrona była wielowarstwowa, zapewniała nie tylko zaawansowane, nowoczesne zabezpieczenia, ale uwzględniała też możliwe do popełnienia błędy ludzkie. Obecnie wyróżnia się 27 technik włamań, a przestępcy cały czas pracują nad kolejnymi. Najważniejsza jest oczywiście ochrona styku z Internetem i oprogramowanie analizujące znane przypadki ataków oraz te jeszcze nie rozpoznane. Wspomniana już wielowarstwowość zabezpieczeń gwarantuje natomiast, że jeśli atak pokona jedno z nich, np. antywirus, kolejne moduły nie dopuszczą do jego powodzenia. Ochrona powinna też być konfigurowana i optymalizowana w zależności od pojawiających się nowych typów ataków i zagrożeń – ocenia Wojciech Gołębiowski z Veronym.

A zatem, jeżeli klient zauważy, że kancelaria przesyła (na przykład do niego) maile bez szyfrowania plików (wystarczy nawet plik skompresowany chroniony hasłem) oraz domeny mailowe pracowników znajdują się w popularnych domenach, być może jest to dobry moment na zmianę konkretnej kancelarii? W przeciwnym wypadku, nasze dane mogą wpaść w niepowołane ręce, a niestety specyfika pracy konkretnych kancelarii wymusza na nich pewne niebezpieczne zachowania.

______________________

Artykuł ekspercki przekazany Antyweb przez:

Daniel Trzaskoś, agencja Brandscope