Brecha en la Legal Aid Agency: datos robados desde 1978
La Legal Aid Agency (LAA) británica ha confirmado que los datos robados en el ciberataque del año pasado se remontan mucho más atrás de lo que se informó en un primer momento. Algunos registros son de 1978.
La LAA es una agencia ejecutiva del Ministerio de Justicia y gestiona el Public Defender Service del país. Financia la asistencia jurídica de quienes no pueden pagarse un abogado. Los atacantes accedieron a sus sistemas informáticos en abril de 2025, y la agencia todavía está determinando el alcance completo de lo que se llevaron.
Una brecha que no dejaba de crecer
La agencia cuenta con unos 1.250 empleados y supervisa miles de millones en financiación jurídica. Trabaja con unos 2.000 proveedores, entre ellos barristers, bufetes de solicitors y organizaciones sin ánimo de lucro que prestan asistencia jurídica gratuita en el ámbito civil y penal en Inglaterra y Gales.
La LAA hizo público el ataque a principios de mayo de 2025. Entonces advirtió de que podría haber quedado expuesta la información de pago de los proveedores de asistencia jurídica.
Dos semanas después, la situación cambió. La agencia descubrió que los atacantes se habían llevado una gran cantidad de datos sensibles de solicitantes y beneficiarios de asistencia jurídica desde 2010. Entre la información robada figuraban:
- datos de contacto y fechas de nacimiento
- números de identificación nacional
- antecedentes penales
- situación laboral
- importes de contribución, deudas y pagos
También se robaron datos de los proveedores: contratos, ubicación de las oficinas, información financiera, datos de contacto y credenciales del LAA Online Portal, incluidos nombres y direcciones de correo electrónico.
Unos 250.000 registros son anteriores a 2007
En una actualización publicada esta semana, la LAA explicó que un análisis más detallado de los datos exfiltrados muestra que los registros abarcan casi cinco décadas.
"La gran mayoría de los datos de la LAA corresponden a solicitudes, reclamaciones o pagos presentados a la LAA entre enero de 2007 y el 16 de mayo de 2025, o a casos que estuvieron abiertos durante ese periodo. Sin embargo, ahora hemos confirmado que aproximadamente 250.000 registros son anteriores a 2007", señaló la agencia.
"La inmensa mayoría son de las décadas de 1990 y 2000, y solo una parte ínfima es anterior a 1990. El registro más antiguo verificado hasta el momento data de 1978."
La agencia añadió que la presencia de registros antiguos no significa que todas las personas que solicitaron o recibieron asistencia jurídica, o que tuvieron relación con la justicia antes de 2007, se hayan visto afectadas.
El Ministerio de Justicia destaca la nueva inversión
Un portavoz del Ministerio de Justicia declaró a BleepingComputer que el Gobierno publicó la información en GOV.UK con rapidez y que la ha ido actualizando a medida que avanzaba su conocimiento del ataque.
"Antes del ciberataque, ya habíamos comprometido 20 millones de libras para estabilizar y modernizar los sistemas digitales de la Legal Aid Agency. Ahora estamos invirtiendo más de 200 millones de libras en modernizar los servicios digitales, mejorar la resiliencia y reforzar la ciberseguridad en todos los servicios de asistencia jurídica", afirmó el portavoz.
"Por el momento no hay pruebas de que se hayan publicado datos personales que se crea que fueron exfiltrados."
Parte de una oleada más amplia de incidentes en Reino Unido
A la brecha de la LAA le siguió una serie de ataques contra los minoristas británicos Co-op, Harrods y Marks & Spencer (M&S), reivindicados por la operación de ransomware DragonForce. El comercio minorista ha seguido siendo un objetivo desde entonces, como demuestra el reciente ataque a TFG London contra marcas de moda.
Tras estos incidentes, el National Cyber Security Centre (NCSC), la autoridad técnica de ciberseguridad de Reino Unido, publicó una guía e instó a las organizaciones británicas a seguirla para reforzar sus defensas.
En enero, el Gobierno británico anunció además una nueva estrategia de ciberseguridad, dotada con más de 210 millones de libras (283 millones de dólares), para mejorar las defensas de los departamentos del Gobierno y del conjunto del sector público.
El sector público sigue bajo presión. Esta semana, el UK Housing Ombudsman Service informó de que está investigando un incidente de seguridad informática en un tercero que afectó a su sistema de gestión de casos. Este servicio es un organismo público no ministerial patrocinado por el Ministerio de Vivienda que resuelve conflictos entre los inquilinos de vivienda social y sus caseros en Inglaterra.
Por qué es importante
Lo más preocupante no es solo la antigüedad de los registros. Es el tipo de datos. Los antecedentes penales, las deudas y los números de identificación nacional no caducan. Alguien que solicitó asistencia jurídica en los años noventa puede llevar hoy una vida muy distinta, y la exposición de ese pasado podría aprovecharse para extorsión, fraude o ingeniería social dirigida. El interés del Silent Ransom Group por los bufetes estadounidenses demuestra lo mucho que valoran los delincuentes los datos jurídicos.
El caso sigue además un patrón conocido. El alcance pasó de los datos de pago de los proveedores a los datos de solicitantes desde 2010, y ahora a registros de 1978. Revisiones similares, paso a paso, se han visto en otros grandes incidentes, como el creciente recuento de afectados por la brecha de Oracle Health. Esto sugiere que las organizaciones a menudo no tienen una visión completa de lo que almacenan hasta que se lo roban. Conservar décadas de registros sensibles en sistemas accesibles aumenta claramente el impacto cuando se produce una brecha.
Conviene estar atentos a si los datos robados aparecen en sitios de filtraciones, ya que el ministerio asegura que por ahora no hay pruebas de ello. Otra cuestión es si el plan de modernización de 200 millones de libras incluye revisiones de la conservación de datos, y no solo actualizaciones de sistemas. Cualquiera que haya tenido relación con la asistencia jurídica gratuita en Inglaterra y Gales debería mantenerse alerta ante contactos inesperados que hagan referencia a su historial.