Brecha de seguridad en la Fiscalía de la Corona de Escocia: expuestos los datos de unos 300 empleados

El incidente se originó en un proveedor externo

El Crown Office and Procurator Fiscal Service (COPFS), el organismo escocés responsable de la acusación pública y la investigación de muertes, comunicó el 13 de agosto una posible brecha de datos personales.

El incidente no habría afectado directamente a los sistemas del COPFS. El punto de entrada sería un proveedor externo encargado de gestionar una evaluación online sobre madurez de datos, realizada en el marco de un programa de formación dirigido a varias administraciones públicas.

La organización que había elaborado el cuestionario detectó actividad sospechosa el 5 de agosto. Los hechos parecían afectar a la red interna del proveedor y provocaron la pérdida de información relativa a empleados públicos.

El COPFS estima que unas 300 personas se vieron afectadas. Sin embargo, el alcance podría ser mayor: la evaluación formaba parte del Data Maturity Programme del Gobierno escocés, iniciado en 2021 y abierto cada año a distintos grupos de organizaciones públicas.

No se sabe si el COPFS es el único organismo escocés afectado. También está por determinar si el mismo proveedor perdió datos pertenecientes a otros clientes.

Qué información quedó expuesta

La información potencialmente comprometida incluye datos identificativos y organizativos del personal:

• nombre;
• puesto profesional;
• dirección de correo electrónico corporativa.

Las direcciones IP no parecen formar parte de los datos sustraídos. El COPFS también aclaró que el incidente no afectó a información relacionada con procedimientos judiciales, víctimas o testigos.

Por tanto, según los datos disponibles, no existen indicios de acceso a expedientes judiciales ni a la información operativa gestionada por el organismo. El riesgo se centra principalmente en la posibilidad de identificar a empleados, conocer sus funciones y contactar con ellos a través de canales institucionales.

Incluso un conjunto limitado de datos puede resultar valioso para un atacante. El puesto profesional, combinado con una dirección gubernamental, permite crear mensajes más creíbles que los de una campaña de phishing genérica. Un correo dirigido a una persona real y relacionado con sus funciones puede aumentar la probabilidad de que abra un enlace o considere legítima una solicitud.

El proveedor no ha sido identificado oficialmente

El COPFS no ha identificado públicamente a la empresa responsable de la evaluación. Un posible administrador del programa sería Data Orchard, una empresa de investigación con sede en el Reino Unido.

En su sitio web, Data Orchard describe su participación en una quinta cohorte de organizaciones públicas que siguen un proceso de evaluación de la madurez de los datos. Sin embargo, este elemento no confirma oficialmente que la empresa sea el proveedor implicado en la brecha.

La compañía también habría trabajado con grandes organizaciones, entre ellas World Wildlife Fund y el Gobierno de Gales. No se sabe si los datos de estas entidades se vieron afectados por el incidente.

También siguen sin respuesta otras preguntas: qué sistemas fueron comprometidos, durante cuánto tiempo tuvo acceso el atacante a la red y si se copiaron datos pertenecientes a organizaciones distintas del COPFS. No se ha divulgado ninguna técnica de ataque concreta ni se ha asignado un nivel de gravedad oficial.

Por qué los nombres y los puestos pueden convertirse en un riesgo operativo

La combinación de nombre, puesto y correo electrónico profesional proporciona información útil para actividades de reconocimiento. Un atacante puede utilizarla para suplantar a un compañero, un departamento interno, un proveedor o un socio institucional.

El riesgo aumenta cuando el mensaje dirige al destinatario a un portal de acceso falso, le pide verificar un documento o solicita una acción urgente. En estos escenarios, el objetivo no tiene por qué ser el empleado como tal: su cuenta puede convertirse en el primer punto de acceso a recursos más amplios.

La brecha no demuestra que ninguna cuenta del COPFS haya sido comprometida. Sin embargo, los datos expuestos pueden facilitar ataques posteriores contra el personal afectado, especialmente si se combinan con información pública sobre sus funciones y la estructura de la administración.

Por eso, el número de personas afectadas no basta para medir el impacto. Trescientas identidades profesionales bien perfiladas pueden ofrecer una superficie útil para campañas dirigidas, incluso sin incluir contraseñas, datos financieros o expedientes judiciales.

El problema de los proveedores “periféricos”

El caso pone de relieve un riesgo frecuente en los programas de gestión de terceros. Las organizaciones suelen concentrar los controles en los proveedores estratégicos y en los servicios utilizados de forma continua, mientras que las plataformas empleadas para cuestionarios, formación o evaluaciones pueden recibir un nivel de supervisión menor.

Según Cory Kennedy, investigador de threat intelligence en SecurityScorecard, muchas empresas todavía dependen de comprobaciones iniciales, cuestionarios y certificaciones SOC 2 o ISO 27001. Sin embargo, después del onboarding, la monitorización puede reducirse drásticamente o interrumpirse.

Una certificación o una evaluación positiva describe una situación observada en un momento concreto. No garantiza que el proveedor siga protegido meses después ni que todas sus dependencias mantengan el mismo nivel de seguridad.

Kennedy señala como alternativa la monitorización externa y continua de la superficie de ataque real, incluidas las dependencias de los proveedores directos. NIS2 y DORA están contribuyendo a orientar el marco europeo hacia una gestión más dinámica del riesgo de terceros, pero su aplicación no elimina automáticamente las deficiencias de los procesos internos.

Boris Cipot, principal security engineer en Black Duck, observa que superar los controles iniciales de cumplimiento no impide que un proveedor sea comprometido posteriormente. Por tanto, la verificación previa a la firma del contrato no puede considerarse una garantía permanente.

Qué deben hacer el COPFS y las personas afectadas

No se han comunicado parches, revocaciones de credenciales, bloqueos técnicos ni otras medidas de contención aplicadas por el COPFS o el proveedor. El alcance definitivo del incidente aún debe determinarse.

Mientras tanto, las organizaciones afectadas deberían:

• informar al personal afectado sobre el posible uso fraudulento de la información;
• reforzar la monitorización de los correos dirigidos a los empleados expuestos;
• revisar los controles de autenticación y las protecciones de las cuentas;
• preparar controles adicionales para detectar accesos anómalos e intentos de recopilación de credenciales;
• reevaluar a los proveedores ocasionales, no solo a los considerados estratégicos;
• ampliar el análisis a las dependencias técnicas de los proveedores directos;
• realizar comprobaciones periódicas, no únicamente durante el onboarding.

Los empleados deben desconfiar de solicitudes inesperadas relacionadas con contraseñas, documentos, pagos o accesos a portales internos, incluso cuando el remitente parezca pertenecer a un departamento conocido. En caso de duda, la solicitud debe verificarse mediante un canal independiente.

La prioridad sigue siendo determinar si el incidente afectó a otras entidades participantes en el Data Maturity Programme y qué datos se copiaron realmente. Hasta entonces, la cifra aproximada de 300 empleados representa una estimación del daño conocido, no necesariamente el límite máximo de la brecha.