Ciberataques contra despachos y firmas de servicios profesionales

Obtener información y documentos sensibles y de gran valor, ese es el objetivo de la mayoría de ciberataques contra despachos y firmas de servicios profesionales

Hace unos días se hizo público que una de las Big Four, es decir, una de las cuatro mayores firmas de servicios profesionales del mundo, sufrió un incidente de seguridad a través de un ataque a su sistema de tickets, que sirve para que su personal de gestión de servicios tecnológicos dé soporte al conjunto de la organización. Durante el incidente, los actores maliciosos pudieron descargar documentos con información personal y financiera sobre clientes de la organización que se utilizaba para elaborar sus declaraciones tributarias.

Este incidente no es un caso aislado y evidencia que:

1. Los ciberataques contra despachos y firmas de servicios profesionales van en aumento y no solo se dirigen contra grandes compañías. Los pequeños y medianos bufetes también están en el punto de mira.
2. Los software de terceros, como el caso de la plataforma de tickets empleada por la compañía, deben tenerse en cuenta en la estrategia de seguridad de una empresa, puesto que muchos incidentes tienen su origen en ataques contra programas de proveedores.
3. Los despachos y las firmas de servicios profesionales manejan datos e información especialmente sensibles sobre ciudadanos y empresas, de ahí que sean un objetivo especialmente interesante para los ciberdelincuentes.

A continuación, vamos a hacer una panorámica sobre los ciberataques contra despachos y firmas de servicios profesionales y explicar cómo los servicios de ciberseguridad para despachos de abogados y firmas de servicios profesionales son críticos para optimizar la postura de seguridad de organizaciones esenciales para el tejido productivo.

Los despachos son un objetivo de los actores maliciosos porque manejan información de gran valor y su ciberexposición va en aumento

A mediados de febrero de 2026, un ciberdelincuente fue sentenciado a 8 años de cárcel por haber accedido ilegítimamente a los sistemas de varias firmas especializadas en servicios tributarios, recolectar información de sus clientes y usarla para presentar 1.000 declaraciones tributarias falsas a través de las que consiguió recaudar 1,3 millones de dólares en devoluciones fiscales.

Este caso nos permite poner el foco en una cuestión clave en lo que respecta a los ciberataques contra despachos y firmas de servicios profesionales: manejan información confidencial de enorme valor.

Así, a diferencia de otros sectores, en el de los servicios profesionales se trabaja con datos y documentos especialmente sensibles. No estamos hablando solo de información personal, sino también de datos financieros sobre empresas y ciudadanos, documentos de índole contable o fiscal, estrategias legales en procesos judiciales abiertos o en negociaciones prejudiciales, contratos confidenciales, documentos de patentes, información médica…

A ello debemos sumarle el hecho de que el sector de los servicios profesionales se ha digitalizado plenamente en los últimos años. El uso de software de gestión legal, fiscal o contable y herramientas de IA para automatizar y agilizar procesos es masivo, lo que incrementa el nivel de ciberexposición de las compañías que trabajan con información confidencial en múltiples software.

Este escenario implica que:

1. Los ciberataques contra despachos y firmas puedan resultar especialmente lucrativos para los actores maliciosos, habida cuenta del valor de la información que pueden obtener.
2. Las firmas necesiten articular una estrategia de ciberseguridad que ponga el foco en la protección de los datos y documentos confidenciales relacionados con sus clientes, pero también en su continuidad de negocio. Puesto que, si un incidente conlleva que se tenga que trabajar offline, la operatividad puede verse fuertemente afectada.

Abogados, consultores, asesores… Profesionales con un alto nivel de visibilidad digital

No solo las compañías han visto incrementada su ciberexposición, sino que sus propios profesionales tienen una visibilidad digital cada vez mayor.

Hoy en día es difícil hacer una búsqueda en Google o Bing sobre un abogado o un consultor y no encontrar información sobre él. De hecho, lo más probable es que se consiga saber con facilidad dónde trabaja, qué cargo ocupa dentro de su organización e incluso cuáles son sus clientes a través de noticias en los medios de comunicación o publicaciones en redes sociales.

¿Qué implica esto? Que los actores maliciosos pueden llevar a cabo tareas de reconocimiento de sus potenciales víctimas con éxito y diseñar ataques de ingeniería social altamente personalizados para lograr engañar a sus víctimas y conseguir acceder a los software y sistemas de sus organizaciones.

Esta cuestión es de enorme relevancia porque los dos vectores de entrada de los ciberataques contra despachos y firmas de servicios profesionales son:

• Sus propias plantillas: profesionales, directivos… Por ejemplo, en junio de 2026, el FBI alertó de una campaña contra despachos de abogados estadounidenses, en la que los actores maliciosos se hacían pasar por personal del equipo de IT de las organizaciones para acceder a sus dispositivos corporativos, persistir en ellos, robar información de gran valor y extorsionarlos.
• Vulnerabilidades presentes en los software con los que trabajan.

Tipos de ciberataques contra despachos y firmas más comunes

A partir del panorama que venimos de esbozar, podemos hacer un resumen de los principales tipos de ciberataques contra despachos y firmas de servicios profesionales:

• Ataques de phishing y otras técnicas de ingeniería social que emplean emails, llamadas o mensajes a través de redes sociales profesionales para conseguir que los trabajadores revelen sus credenciales de acceso a software corporativo o permitan a los actores maliciosos tomar el control de sus dispositivos. Junto a la suplantación de equipos de IT, que ha servido para atacar con éxito a firmas como Lewis Brisbois Bisgaard & Smith, con beneficios anuales superiores a los 700 millones de €, podemos destacar otras tácticas como los deepfakes de clientes o superiores jerárquicos usando IA generativa, o la suplantación de equipos de Recursos Humanos que lanzan ofertas de empleo falsas.
• Ataques de fuerza bruta para desentrañar las contraseñas de acceso a programas corporativos. Estos ciberataques contra despachos y firmas tienen éxito si las contraseñas son débiles y no se cuenta con sistemas de autenticación multi factor.
• Ransomware. La instalación de esta clase de malware permite a los actores hostiles cifrar la información de la firma y exigir el pago de un rescate a cambio de no vendérsela a rivales suyos o de sus clientes o exfiltrarla públicamente. Los ataques de ransomware suponen un doble peligro para las firmas: afectan a su operatividad y, además, abren las puertas a graves brechas de información.
• Otros malware. Los actores hostiles también pueden emplear otros programas maliciosos como spywares que les permiten espiar a sus víctimas intentando persistir el máximo tiempo posible y lograr escalar privilegios para tener acceso a un mayor volumen de información.

Los insiders: no todos los ciberataques contra despachos y firmas proceden de fuera

En el apartado anterior hemos dejado fuera uno de los tipos de ciberataques contra despachos y firmas que pueden hacer más daño a una organización: las amenazas internas de seguridad.

Como hemos señalado, los abogados, consultores o asesores tienen acceso tanto a los software corporativos como a información crítica sobre sus clientes y los procesos o proyectos en los que participan.

Esto abre la puerta a que profesionales descontentos o corrompidos y extrabajadores que mantienen credenciales de acceso activas puedan:

• Desplegar malware en los sistemas corporativos: ransomware, spyware, etc.
• Robar datos y documentos de gran importancia para vendérselos a terceros.
• Exfiltrar información sobre los clientes para dañar la reputación de la compañía y generarle problemas legales.
• Eliminar datos de los programas empresariales, menoscabando la prestación de servicios profesionales.

¿Cómo se pueden prevenir las amenazas internas de seguridad? Las organizaciones pueden:

• Diseñar políticas de seguridad para prohibir acciones como almacenar documentos confidenciales en dispositivos personales como USB o enviarse archivos a cuentas de correo personales.
• Establecer un sistema de permisos de seguridad para limitar quién puede acceder a datos y documentos de cada cliente. De tal forma que ningún usuario tenga más permisos de los que estrictamente necesita para llevar a cabo su trabajo.
• Disponer de mecanismos internos para auditar las acciones que llevan a cabo los profesionales y detectar comportamientos anómalos que puedan ser un indicio de exfiltración o eliminación de datos.
• Revocar inmediatamente todos los accesos a los sistemas y software corporativos de los profesionales cuando abandonan una organización.

Las peligrosas consecuencias de los ciberataques contra despachos y firmas

La prevención de los ciberataques contra despachos y firmas de servicios profesionales debe ser una prioridad estratégica para las organizaciones. Puesto que las consecuencias de un incidente de seguridad pueden ser de enorme magnitud:

• Menoscabo de la operatividad de la organización. La eliminación de datos y documentos del software corporativo o la necesidad de pasar a offline para contener un incidente de seguridad muy grave pueden afectar a la operatividad de una firma y menoscabar su continuidad de negocio, con lo que ello conlleva a nivel económico y de imagen de marca.
• Daño reputacional. Precisamente, los ciberataques contra despachos y firmas pueden tener severos daños reputacionales, sobre todo si se ven afectados documentos e información confidenciales de clientes. Para las compañías del sector de servicios profesionales la confianza de sus clientes es un activo crítico. Si los datos de una empresa o una persona son robados y/o exfiltrados, la organización no solo va a perder a ese cliente, sino que se arriesga a que muchos otros clientes dejen de contratar sus servicios.
• Sanciones y conflictos legales. Los abogados tienen un deber de confidencialidad con sus clientes muy estricto y, además, la normativa de protección de datos es cada vez más exigente. Si los ciberataques contra despachos y firmas se saldan con el acceso ilegítimo a información tan sensible como datos judiciales, fiscales o médicos, las organizaciones se exponen a cuantiosas sanciones y a conflictos legales que pueden causar un daño muy grave a su imagen y a sus finanzas. Por ejemplo, hace unos días se supo que la firma estadounidense WilmerHale se enfrenta a una demanda colectiva por una brecha de datos personales.
• Pérdidas económicas. Todas las consecuencias de los ciberataques contra despachos y firmas de servicios profesionales que hemos listado tienen en común que conllevan un daño económico para las organizaciones. A lo que debemos sumar la inversión que las compañías tienen que hacer para responder a un incidente con éxito y conseguir recuperar la normalidad.

Cómo protegerse frente a los ciberataques contra despachos y gestionar los incidentes con éxito

Ante los efectos que pueden desencadenar los ciberataques contra despachos y firmas, es de vital importancia que las organizaciones sitúen a la ciberseguridad como una prioridad estratégica, cuenten con una estrategia para optimizar su nivel de seguridad e inviertan en servicios de ciberseguridad claves como:

• Monitorización continua y automatizada de la infraestructura tecnológica para detectar comportamientos sospechosos, combinando el uso de soluciones avanzadas con el expertise de profesionales capaces de detectar falsos positivos e identificar actividad sospechosa en el menor tiempo posible.
• Auditorías de seguridad. Son esenciales para detectar vulnerabilidades presentes en los activos digitales de una organización, teniendo en cuenta, también, los software de terceros.
• Gestión de vulnerabilidades. Detectar y priorizar la remediación de debilidades que afectan a los programas y sistemas corporativos es fundamental para prevenir ciberataques contra despachos y firmas.
• Test de ingeniería social. Ante la creciente complejidad y sofisticación de las técnicas de ingeniería social, resulta de gran importancia que las firmas lleven a cabo test de ingeniería social para comprobar si sus profesionales son capaces de resistir frente a estas técnicas y formarlos en las TTPs más punteras en el sector de los servicios profesionales.
• Pentesting. Mediante test de intrusión avanzados, los expertos simulan ataques reales en entornos controlados para detectar qué debilidades pueden explotar los actores hostiles para alcanzar objetivos como el acceso y robo de datos y documentos sensibles relacionados con los clientes de un despacho o firma de servicios profesionales.
• Respuesta a incidentes proactiva. Para conseguir limitar el impacto de los ciberataques contra despachos y firmas resulta esencial contar con un servicio de respuesta a incidentes proactivo que pueda ponerse en marcha desde el primer momento que se detecta un ataque para dilucidar el alcance del compromiso, contener el incidente, expulsar al actor malicioso y poner en marcha el plan de disaster recovery cuanto antes para restituir la operatividad total de la compañía.

En definitiva, los despachos y las firmas de servicios profesionales necesitan armarse frente a los actores maliciosos que buscan la valiosa información que tienen en su poder con el fin de sacarle el máximo partido económico a sus actividades delictivas.