Legal Aid Agency: datos robados desde 1978, también de probation

La Legal Aid Agency (LAA), la agencia del Ministerio de Justicia británico que gestiona la asistencia jurídica gratuita en Inglaterra y Gales, publicó el 14 de octubre de 2026 una actualización sobre el ciberataque que sufrió en abril de 2025. Los nuevos análisis forenses muestran que los datos sustraídos son más antiguos y más amplios de lo declarado hasta ahora: unos 250.000 registros son anteriores a 2007 y el más antiguo verificado es de 1978. Entre los datos exfiltrados hay también información del servicio de probation (libertad vigilada).

El caso interesa a quien gestiona sistemas con muchos años de historia: los datos conservados más tiempo del necesario y dispersos en archivos poco estructurados amplían el daño y hacen lenta la evaluación de un incidente.

Qué ha pasado

Según The Register, la intrusión se detectó el 23 de abril de 2025, pero su alcance solo se estableció el 16 de mayo. A principios de mayo de 2025 la agencia había hablado de posibles datos de pago de los proveedores; dos semanas después admitió el robo de datos de solicitantes desde 2010. Los servicios en línea de la LAA se apagaron y, como cuenta The Register, la vuelta al servicio en diciembre trajo retrasos y problemas técnicos para abogados y despachos.

En la actualización de esta semana, recogida por todas las fuentes, la agencia escribe que la gran mayoría de los datos corresponde a solicitudes, reclamaciones y pagos entre enero de 2007 y el 16 de mayo de 2025, pero que unos 250.000 registros son anteriores: sobre todo de los años noventa y dos mil, con una parte «fraccionalmente pequeña» anterior a 1990. The Register añade que entre el material más antiguo hay evaluaciones económicas para la asistencia jurídica de 1978 a 2012 y pagos del régimen Very High Cost Cases de 1981 a 2004.

La agencia precisa que 250.000 no es el número confirmado de personas afectadas y que la presencia de registros anteriores a 2007 no significa que todos los que solicitaron asistencia antes de esa fecha estén afectados.

Qué datos se sustrajeron

Los datos varían de una persona a otra. Cruzando las fuentes, para solicitantes y beneficiarios pueden incluir nombre, dirección, código postal, fecha de nacimiento, National Insurance number, números de teléfono, números de expediente, respuestas introducidas en el Client and Cost Management System (CCMS), fechas de inicio y fin de los procesos, costes e IVA, evaluaciones económicas de acusados y parejas, cuentas bancarias y propiedades y, en algunos casos, datos de tarjetas de pago parcialmente ocultos. Según The Register, algunos registros contienen también cargos penales, declaraciones, condenas y penas.

De los proveedores (unos 2.000 entre despachos, abogados y organizaciones sin ánimo de lucro, según BleepingComputer) se sustrajeron contratos, sedes, datos de pago y credenciales de las cuentas, incluidos nombres y correos del portal LAA Online. The Record y SecurityWeek citan también nombres de jueces, abogados de la defensa y de la acusación, taquígrafos de los juicios en la Crown Court y contrapartes de algunos procesos civiles.

Probation: se exfiltraron nombres, fechas de nacimiento, nacionalidades y números de expediente de un número relativamente pequeño de personas supervisadas por el servicio de probation entre 2010 y 2017. Según The Register, más del 99% corresponde a 2016 y 2017, y ningún dato se refiere a víctimas de delitos.

Detalles técnicos

Las fuentes dan pocos elementos sobre el vector. Según The Record, Sarah Sackman, ministra del departamento de Justicia, explicó en una declaración escrita al Parlamento que los delincuentes explotaron vulnerabilidades en los sistemas informáticos de la LAA, accedieron a sistemas con datos personales y copiaron y exfiltraron parte de los datos. No se han indicado las vulnerabilidades, no hay CVE ni indicadores de compromiso públicos, y ninguna fuente atribuye el ataque a un grupo concreto.

The Record informa de que los autores afirmaban tener datos de más de 2 millones de personas y exigieron un pago, amenazando con publicarlos; el gobierno británico no paga extorsiones. Hoy el ministerio dice no tener indicios de que los datos se hayan publicado o compartido, mientras que en mayo de 2025 un portavoz había hablado de la publicación como una cuestión de «cuándo, no de si».

Sobre por qué han hecho falta 18 meses, la agencia explica que los datos robados procedían de varios sistemas complejos y estaban en gran parte desestructurados, fragmentados o incompletos. Tras el ataque, el ministerio ha reforzado la autenticación y el control de accesos, mejorado la monitorización, corregido vulnerabilidades y empezado a retirar o aislar los sistemas heredados de mayor riesgo; colabora con la National Crime Agency, el NCSC y el ICO. The Register observa que la actualización no explica por qué seguían accesibles registros de los años setenta.

Impacto para las empresas europeas e italianas

El caso reúne tres problemas igual de comunes en Europa. El primero es la conservación: el RGPD exige conservar los datos solo el tiempo necesario, y cada archivo olvidado se convierte en material para una extorsión. El segundo son los datos desestructurados: si no sabes dónde están tus datos, después de un robo no puedes decir quién está afectado, y las notificaciones a la autoridad de control y a los interesados llegan tarde o hay que corregirlas varias veces. El tercero son las credenciales de los proveedores: quien accede a un portal público o corporativo con credenciales reutilizadas en otros sitios se convierte en un riesgo también para otros sistemas.

Para las entidades NIS2, entre ellas muchas administraciones públicas, la capacidad de establecer rápido el alcance de un incidente es necesaria para cumplir los plazos de notificación al CSIRT. El tema es igual de delicado para despachos de abogados, entes públicos y sanidad, que tratan datos judiciales o de categorías especiales.

Qué hacer ya

1. Mapea los datos, incluidos los desestructurados y los de sistemas heredados: dónde están, de quién son, desde cuándo están ahí.
2. Aplica los plazos de conservación: borra o lleva fuera de línea lo que ya no sirve.
3. Aísla los sistemas heredados que no puedes actualizar y limita quién y qué puede llegar a ellos.
4. Vigila la salida de datos: alertas sobre exportaciones y transferencias externas inusuales por volumen u horario.
5. Protege las cuentas de los proveedores con autenticación multifactor; tras una brecha, fuerza el cambio de contraseñas.
6. Conserva registros suficientes para reconstruir qué se ha leído y copiado, y prepara un plan para analizar rápido los datos exfiltrados.

Cómo ayuda ARXDOME

ARX Shield muestra las vulnerabilidades abiertas por máquina, destacando las ya explotadas, y permite aislar de la red una máquina sospechosa. ARX Expose señala las vulnerabilidades conocidas en los servicios públicos y las cuentas de la empresa implicadas en brechas. ARX Retain conserva los registros durante los años exigidos, para que tras un incidente puedas reconstruir qué pasó y cuándo.

Última actualización: 15 de octubre de 2026