La Agencia Británica de Asistencia Jurídica (LAA) confirmó que el ciberataque sufrido por sus sistemas en abril de 2025 provocó el robo de registros que se remontan hasta 1978, en un alcance mucho mayor que las estimaciones iniciales, centradas en los datos de pagos y la información reciente de los usuarios.
La agencia, dependiente del Ministerio de Justicia británico, gestiona los servicios de defensa pública y la financiación de la asistencia jurídica en Inglaterra y Gales. Cuenta con unos 1.250 empleados y trabaja con cerca de 2.000 proveedores de servicios, incluidos abogados, bufetes y organizaciones sin ánimo de lucro.
Alcance de los datos robados
La agencia reveló el hackeo a principios de mayo de 2025 y advirtió de que la información de pago de los proveedores de servicios de asistencia jurídica podría haberse visto comprometida. Dos semanas después, confirmó que el incidente afectaba a un conjunto más amplio de datos sensibles, que en su mayoría se remontaban a 2010 o después.
Según la agencia, los datos afectados incluyen datos de contacto, fechas de nacimiento, números de identificación nacional, antecedentes penales y situación laboral, además de importes de contribuciones, deudas y pagos. También incluían, en el caso de los proveedores de servicios, contratos, ubicaciones de oficinas, información financiera, datos de contacto y credenciales del portal LAA Online Portal, incluidos nombres y direcciones de correo electrónico.
Un análisis posterior de los datos extraídos de los sistemas mostró que unos 250.000 registros se remontaban a antes de 2007. La inmensa mayoría de estos registros correspondía a la década de 1990 y a la primera década del siglo XXI, mientras que un número muy reducido se remontaba a antes de 1990; el registro más antiguo verificado databa de 1978.
¿Qué significa esto en la práctica?
La existencia de registros antiguos no significa que todas las personas que solicitaron o recibieron asistencia jurídica, o que trataron con el sistema de justicia antes de 2007, se hayan visto afectadas por el hackeo. Hasta ahora, la agencia no ha relacionado todos los registros históricos con personas concretas dentro de los datos robados. Sin embargo, la amplitud del periodo de tiempo aumenta la sensibilidad del incidente, ya que combina datos identificativos y financieros con información relacionada con casos y antecedentes penales.
El Ministerio de Justicia británico afirmó que actualmente no existen pruebas de que se haya publicado ningún dato personal que se crea que fue robado. Explicó que el Gobierno había asignado 20 millones de libras esterlinas antes del ataque para estabilizar y actualizar los sistemas digitales de la agencia, mientras que las nuevas inversiones en la modernización de los servicios digitales y el refuerzo de la resiliencia y la ciberseguridad habían superado los 200 millones de libras esterlinas.
Un contexto más amplio de ataques contra el sector público
El hackeo de la agencia se produjo en el marco de una serie de ataques contra instituciones británicas, entre ellas las cadenas Co-op, Harrods y Marks & Spencer, que fueron atribuidos a una operación de ransomware de DragonForce. Esto llevó al Centro Nacional de Ciberseguridad del Reino Unido (NCSC) a publicar directrices para que las organizaciones británicas reforzaran sus defensas.
El Reino Unido también anunció en enero una nueva estrategia de ciberseguridad respaldada por más de 210 millones de libras esterlinas, mientras que la Oficina del Defensor del Pueblo de la Vivienda británica informó esta semana de que investiga un incidente de seguridad en un tercero que afectó a su sistema de gestión de casos. Estos acontecimientos demuestran que proteger los sistemas antiguos y los datos históricos constituye una parte esencial de la gestión de riesgos del sector público, y no solo una cuestión de actualización tecnológica.