En la era digital, el eslabón más vulnerable de los sistemas de seguridad sigue siendo el factor humano. Un reciente caso ocurrido en Estados Unidos con el Bufete Blank Rome, pone en evidencia cómo una simple llamada telefónica puede vulnerar la confidencialidad de miles de personas.
Organizaciones como el grupo Silent Ransom Group están utilizando el modus operandi de llamadas de «falso soporte técnico» contra grandes sociedades de abogados, en forma recurrente.
Blank Rome, con sede en Filadelfia, enfrenta numerosas demandas colectivas tras sufrir una filtración masiva de información privada.
¿Cómo ocurrió el ataque?
A diferencia de lo que suele pensarse, no existió hackeo a los servidores de la Firma. El 21 de mayo de 2026 fue víctima de ingeniería social, una técnica basada en el engaño y la manipulación.
Un ciberdelincuente llamó por teléfono a un abogado del Despacho haciéndose pasar por personal del departamento de soporte técnico. Convencido de que hablaba con un compañero de trabajo, subió archivos confidenciales a una cuenta externa de Google Drive.
La Corporación Jurídica reaccionó después de dos horas. Desconectó el equipo y avisó a las autoridades el acceso no autorizado, pero nada se pudo evitar.
Datos comprometidos y consecuencias legales
El incidente expuso los registros de casi 58.000 personas, entre clientes actuales, antiguos y prospectos, filtrándose la siguiente información:
- Nombres completos, fechas de nacimiento y direcciones.
- Números de identificación fiscal y Seguro Social.
- Datos financieros y números de tarjetas.
- Copias de pasaportes y licencias de conducir.
- Datos médicos y de seguros de salud.
Los afectados interpusieron demandas colectivas ante el Tribunal del Distrito Este de Pensilvania. Reprochan al Escritorio haber tardado más de un mes en notificarles la vulneración, lo que incrementó el riesgo de fraude e invasión a la privacidad.
¿Qué es la ingeniería social ?
La ingeniería social no es más que el arte de manipular a las personas para que entreguen voluntariamente información confidencial o acceso a sistemas restringidos.
Qué lección deja el caso?
Es contundente. Todo profesional que maneje datos sensibles debe tener en cuenta lo siguiente:
- Verificación obligatoria: Jamás comparta acceso o suba archivos a plataformas externas por instrucciones recibidas en una llamada entrante sin verificar la identidad por un canal secundario.
- Autenticación en dos pasos (2FA): Proteja todos los accesos con capas de seguridad adicionales.
- Cultura de prevención: La tecnología más avanzada resulta inútil si el personal no está capacitado para identificar intentos de suplantación de identidad (phishing o vishing).
La protección del secreto y los datos de las personas exige una vigilancia constante, donde el sentido crítico y la prudencia son la primera línea de defensa.
Deja un comentario