美国律所Sheppard Mullin因8月社工攻击遭前员工集体诉讼：律师交出文件致姓名、社保号与驾照号外泄

事件基本事实：该所于10月2日向加州总检察长办公室披露了这起事件，说明一名律师遭遇社交工程攻击、将文件交给了不明第三方。诉状主张泄露的数据包括姓名、社会安全号码、驾照号码与政府证件号码，并称这一窃取对员工与客户而言是“无法收回的钟声”。

针对该所的指控包括两层：一是未能对员工开展充分的网络安全培训、未能维持适当的安全保障措施，诉状称被告“没有有效手段预防、检测、阻止或缓解其系统被入侵”，从而使网络犯罪者可以不受限制地访问其员工及客户员工的个人身份信息；二是未能在加州法律规定的时限内适当通知受影响人员。

行业背景方面，该所被加入2026年因数据泄露被起诉的律所名单：7月，Wilmer Cutler Pickering Hale and Dorr被一名前客户在哥伦比亚特区联邦法院起诉；6月，Fox Rothschild在宾夕法尼亚东区联邦法院被起诉。

对本所而言，本条的价值在于两个层面。第一，社交工程攻击已成为专业服务机构的首要风险入口，而“已部署技术防护”并不构成抗辩，培训记录、钓鱼演练结果与访问权限的留痕才是可举证的防线。第二，律所等专业服务机构持有的数据同时涉及自身员工与客户员工的个人信息，一旦发生泄露，将同时面临员工集体诉讼、客户违约索赔与监管调查三条战线；本案中律所向加州总检察长披露这一动作本身即说明，美国州层面的数据泄露通报义务已把监管维度前置到诉讼之前。需要说明的是，上述均为起诉状中的主张，法院尚未认定该所负有责任。