Last Updated on 2026年9月13日 by oba3

米大手法律事務所グリーンバーグ・トラウリグ（Greenberg Traurig）が、不正な第三者によって一部文書へアクセスされ、その一部がダークウェブへ掲載されたことを明らかにした。同事務所は影響を受けた顧客は少数としており、社会保障番号を含む情報が流出したことも州当局への通知で確認されている。今回を見るうえで重要なのは法律事務所単体の被害規模ではない。企業はM&A、訴訟、内部調査、金融取引など大量の機密情報を外部の弁護士へ共有しており、企業本体の防御を強化しても、その情報を預かる法律事務所が別の攻撃経路になるという供給網の問題が表面化している。

何が起きたのか？

グリーンバーグ・トラウリグは2026年9月、不正な第三者が限定された数の文書へアクセスし、その一部をダークウェブへ掲載したと説明した。同事務所は影響を受けた顧客へ通知し、カリフォルニア州司法長官への届出ではインシデントの日付を8月26日としている。

同事務所は、事務所全体のシステムが侵害されたわけではなく、業務も中断せず継続したとしている。一方、バーモント州当局への通知では社会保障番号を含む情報が露出したことが確認されている。影響を受けた人数や、ダークウェブへ掲載された文書の詳細な内容は公表されていない。

今回の事案は単独ではない。2026年にはクイン・エマニュエル（Quinn Emanuel）、マクダーモット・ウィル・アンド・シュルテ（McDermott Will & Schulte）、ハーバート・スミス・フリーヒルズ・クレイマー（Herbert Smith Freehills Kramer）、グッドウィン・プロクター（Goodwin Procter）など複数の大手法律事務所がサイバーインシデントを公表している。

ベーカー・ホステトラー（BakerHostetler）の2026年データセキュリティ報告によると、同事務所が2025年に対応した法律事務所関連のサイバー案件は約60件で、前年のほぼ2倍となった。法律業界への攻撃が個別事例ではなく、継続的なリスクとして拡大していることが分かる。

なぜ重要なのか？

法律事務所には、一般企業の通常業務では一つの場所に集まりにくい情報が集中する。買収予定企業、契約条件、訴訟戦略、内部調査、従業員情報、取締役会資料、規制当局とのやり取りなどが代表例だ。

こうした情報は、攻撃者にとって単なる個人情報以上の価値を持つ場合がある。未公表の企業取引が含まれていれば市場情報として利用される可能性があり、訴訟や調査資料なら企業への恐喝や追加攻撃に使われる余地もある。

企業側から見ると、自社ネットワークを直接侵害されなくても情報が流出する点が難しい。重要案件を扱うために外部専門家へ情報を渡すこと自体は必要だが、その瞬間に守るべきデータの保存場所とアクセス主体が増える。

市場構造への影響

サイバーセキュリティでは、企業本体だけを守れば十分という考え方が成立しにくくなっている。クラウド、会計事務所、法律事務所、コンサルティング会社、データルームなど、企業活動を支える外部事業者にも同じ情報が存在するためだ。

法律事務所は特にこの問題が大きい。複数企業の高機密データを同時に扱うため、一つの事務所への侵入で複数顧客の情報へ到達できる可能性がある。攻撃者から見れば、個別企業を一社ずつ狙うより効率的な入口になる場合がある。

さらに2026年に公表された複数の法律事務所の事案では、技術的な脆弱性だけでなくソーシャルエンジニアリングによるアカウント侵害も確認されている。防御対象はサーバーだけではなく、弁護士や職員の認証、メール、外部共有サービスまで広がっている。

資金・規制・流動性との関係

金融機関や上場企業にとって、法律事務所への情報共有は日常的な業務だ。資金調達、M&A、証券発行、規制対応では、取引が公表される前から契約書や財務情報が外部弁護士へ渡される。

そのため法律事務所からの情報流出は、直接的な資金盗難がなくても金融上の損害へ発展する可能性がある。未公表取引の漏えい、顧客へのなりすまし、請求書を利用した送金詐欺など、取得した情報を次の攻撃へ利用できるためだ。

企業側では外部事業者を選ぶ際に、法律知識や料金だけでなく、アクセス制御、多要素認証、ログ監視、データ保持期間、インシデント通知などを確認する必要性が高まる。法律事務所側にも、案件終了後に不要な機密文書をどこまで保持するかという情報管理が重要になる。

初心者向け補足

ダークウェブとは、通常の検索エンジンからアクセスしにくく、専用ソフトなどを使って接続するネットワーク上のサービスを指す。盗難データを公開したり販売したりする犯罪サイトが存在するため、サイバー攻撃後の恐喝に利用されることがある。

また外部供給網のリスクとは、サービスを利用している第三者を経由して被害を受けることを指す。例えば企業Aのシステムが安全でも、その機密文書を保存する法律事務所Bが侵害されれば、企業Aの情報が流出する可能性がある。

今回もグリーンバーグ・トラウリグの顧客企業自体が侵害されたと確認されたわけではない。法律事務所が保有していた一部文書へ不正アクセスがあり、それが外部へ掲載されたことが確認されている段階だ。

Web3Timesの視点

今回を法律業界特有のサイバー事件として切り離すべきではない。金融やWeb3企業も、資金調達、トークン発行、規制対応、訴訟、買収などで外部法律事務所へ大量の機密情報を共有している。

特にデジタル資産企業では、ウォレット構成、カストディ契約、本人確認情報、規制当局との協議内容など、攻撃者にとって価値の高い情報が法務資料へ含まれる場合がある。取引所や銀行本体のセキュリティが強くても、それと同じ資料を持つ外部専門家が弱ければ防御はそこで途切れる。

今後見るべきなのは、法律事務所への攻撃件数だけではない。企業が外部へ渡す情報をどこまで最小化できるか、案件ごとにアクセス権を分離できるか、第三者の侵害を前提に継続的な監査を行えるかが重要になる。

金融インフラの攻撃面は、取引所や銀行のサーバーだけで構成されているわけではない。法律事務所、会計事務所、クラウド、コンサルティング会社まで含めて一つの情報供給網になっている。グリーンバーグ・トラウリグの事案は、機密情報を共有した瞬間にセキュリティ責任も外部へ広がるという現実を改めて示している。