Una revisión del ciberataque contra la Agencia de Asistencia Jurídica del Reino Unido (LAA) ha ampliado el alcance conocido de los datos robados. Se han identificado unos 250.000 registros creados antes de 2007 y se ha confirmado que el registro verificado más antiguo es de 1978.
La brecha se produjo en abril de 2025 y se hizo pública en mayo de 2025. En aquel momento, la agencia afirmó que los atacantes habían accedido a información personal asociada a personas que habían solicitado asistencia jurídica a través de su servicio en línea desde 2010, y la habían extraído. La evaluación más reciente extiende el período principal de datos hasta enero de 2007 e identifica registros anteriores fuera de ese rango.
Los hallazgos no permiten determinar cuántas personas se ven afectadas. Un registro no equivale necesariamente a una persona única, y la LAA ha advertido de que la presencia de material anterior a 2007 no significa que todas las personas que tuvieron trato con la asistencia jurídica o con el sistema de justicia antes de ese año se vieran implicadas.
La revisión identifica un período de datos mucho más largo
Según el informe de SecurityWeek sobre la actualización de la LAA, el entorno comprometido contenía grandes cantidades de información fragmentada, incompleta o no estructurada, repartida entre varios sistemas. Esto dificultó que los investigadores determinaran con precisión qué se había accedido y copiado.
El conjunto de datos principal abarca las solicitudes, reclamaciones y pagos presentados desde enero de 2007 hasta el 16 de mayo de 2025, así como los expedientes que seguían abiertos durante ese período, según informó The Record.
Los investigadores también identificaron unos 250.000 registros más antiguos. La LAA indicó que la mayoría son de las décadas de 1990 y 2000, mientras que solo una «cifra mínima» es anterior a 1990. El registro más antiguo verificado en la revisión data de 1978.
Una parte separada del material comprometido se refiere a un número relativamente reducido de delincuentes gestionados activamente por los Probation Services entre 2010 y 2017. Los campos señalados incluyen nombres, fechas de nacimiento, nacionalidades y números de referencia de los expedientes.
Se vio afectada información financiera, de identidad y de los expedientes
Los datos atribuidos a solicitantes y beneficiarios de asistencia jurídica incluyen:
- nombres y fechas de nacimiento;
- números de National Insurance;
- números de referencia de los expedientes;
- fechas de inicio y fin de los expedientes;
- tipo de asistencia jurídica y códigos de seguimiento de igualdad;
- códigos postales, direcciones y números de teléfono;
- costes e IVA reclamados o pagados;
- respuestas introducidas en el Client and Cost Management System;
- evaluaciones económicas de acusados y de sus parejas;
- información de cuentas bancarias y de propiedades;
- datos parcialmente censurados de tarjetas de pago en algunos casos.
Los sistemas afectados también contenían información sobre profesionales de la asistencia jurídica, como contratos, calendarios, ubicaciones de oficinas, datos de pago y credenciales de cuentas de usuario.
Otros registros podrían identificar a jueces, abogados, letrados, abogados de la acusación y de la defensa, taquígrafos judiciales, partes en algunos procedimientos civiles y responsables de los puntos de pago. La presencia de estas categorías implica que las consecuencias no se limitan a las personas que presentaron directamente solicitudes de asistencia jurídica.
Las organizaciones benéficas han expresado una preocupación especial por que el material robado pueda contener información sensible sobre mujeres y niñas que sobrevivieron a la violencia doméstica. Se trata de un riesgo señalado por estas organizaciones, no de una conclusión confirmada sobre personas concretas. La información sobre antecedentes penales figuraba también entre las categorías potencialmente afectadas en la comunicación de mayo de 2025.
Los atacantes explotaron debilidades en los sistemas de la LAA
La ministra de Justicia, Sarah Sackman, informó al Parlamento de que los delincuentes explotaron vulnerabilidades en los sistemas informáticos de la LAA, accedieron a sistemas que contenían datos personales y copiaron y se llevaron parte de esa información.
La descripción indica que la intrusión afectó a varios sistemas y no a una única base de datos. El volumen y la estructura inconsistente de la información han obligado a equipos técnicos y de datos especializados a reconstruir qué obtuvieron los atacantes.
Los atacantes afirmaron disponer de información sobre más de 2 millones de personas y amenazaron con publicarla si no se les pagaba. Esa cifra sigue siendo una afirmación de los atacantes, no un recuento verificado de personas afectadas. El Gobierno británico mantiene una política de no pagar extorsiones.
La LAA afirma que no ha encontrado pruebas de que la información robada haya sido difundida públicamente ni vendida. Sackman dijo igualmente al Parlamento que no había indicios de que hubiera sido publicada o compartida. Esta postura supone un cambio respecto a la expresada por un portavoz del ministerio en mayo de 2025, que afirmó que la publicación era una cuestión de «cuándo, no si».
Se reforzaron los controles de autenticación y de los sistemas heredados
El Ministerio de Justicia ha reforzado la autenticación y los controles de acceso, ha ampliado la supervisión de seguridad y ha empezado a retirar o aislar los sistemas heredados de mayor riesgo. También trabaja con la Agencia Nacional contra el Crimen (NCA), el Centro Nacional de Ciberseguridad (NCSC) y la Oficina del Comisionado de Información (ICO).
Para las personas cuya identidad, información financiera o datos de expedientes puedan estar implicados, la combinación de números de National Insurance, datos de contacto y referencias de casos legales podría hacer que los mensajes engañosos parezcan creíbles. Por tanto, las comunicaciones no solicitadas que citen datos reales de un expediente deben verificarse a través de los canales de contacto habituales, y no mediante enlaces o números de teléfono incluidos en el mensaje.
Los profesionales cuyas credenciales de cuenta puedan haberse almacenado en los sistemas afectados deben evitar reutilizar las mismas contraseñas en otros servicios y cambiar cualquier credencial reutilizada. Las personas cuya información bancaria o de tarjetas parcialmente censurada pudiera estar implicada también deben vigilar operaciones inesperadas y solicitudes sospechosas que mencionen pagos o expedientes de asistencia jurídica.
