CrowdStrike es una empresa relevante dentro del sector de la ciberseguridad. El 28 de octubre de 2026 publicó el Legal Threat Landscape Report 2026, en el que advierte que los ciberdelincuentes están intensificando sus ataques contra los bufetes de abogados para convertir la información robada de sus clientes en una fuente de ingresos. Sus operaciones combinan ingeniería social, robo de identidades digitales e incluso infiltraciones físicas en las oficinas.
CHATTY SPIDER destaca como una de las principales amenazas para los despachos estadounidenses. Su actividad aumentó un 129 % durante los primeros ocho meses de 2026 respecto a todo 2024. CrowdStrike describe a CHATTY SPIDER como un actor del cibercrimen especializado en el robo de datos y la extorsión. También se lo conoce como Luna Moth o Silent Ransom Group (SRG). El FBI lo vincula a operadores de habla rusa, probablemente radicados en Rusia.
Según los casos descritos en el informe, el grupo llegó a reclutar a una persona (un nacional ruso en noviembre de 2025) para que se hiciera pasar por personal de soporte informático y entrara en las oficinas de bufetes con el objetivo de facilitar un acceso remoto. En otra intrusión, intentó extraer información confidencial apenas cuatro minutos después de conseguir el acceso inicial. Esto muestra dos dimensiones de la amenaza: la disposición de los atacantes a actuar fuera del entorno digital y la rapidez con la que pueden transformar un acceso en un robo de información.
Entre septiembre de 2025 y agosto de 2026, los grupos dedicados a la denominada «caza de grandes presas» incluyeron a 455 entidades del sector legal en sus sitios de filtración de datos, un aumento del 39 % respecto al periodo anterior. Estos espacios se utilizan para ejercer presión mediante la amenaza de divulgar la información robada. La extorsión explota un activo especialmente delicado: la confidencialidad de la relación con los clientes. La amenaza de revelar documentos sensibles permite a los atacantes presionar no solo sobre la continuidad de la actividad, sino también sobre la confianza depositada en el bufete. Una revelación de este calibre puede destruir la reputación del despacho.
El informe también describe ataques de SNARKY SPIDER y CORDIAL SPIDER contra bufetes mediante el compromiso de identidades y el acceso a aplicaciones en la nube. Ambos grupos, con fuerte actividad desde enero de 2026, atacaron al mismo despacho con apenas un mes de diferencia.
La presión sobre el sector no procede exclusivamente del cibercrimen. CrowdStrike señala que el número de grupos vinculados a China que atacaron a entidades del ámbito legal fue casi el doble que en 2023. Sus operaciones incluyen la explotación de vulnerabilidades de día cero y ataques dirigidos a personal de nivel ejecutivo. El informe destaca tres casos:
- TITAN PANDA: explotó un fallo de seguridad en Intapp Time Server, un software que utilizan los bufetes para registrar el tiempo de trabajo y gestionar la facturación. El problema estaba relacionado con una clave de seguridad incluida directamente en la configuración del servidor web IIS. Al aprovecharla, el grupo pudo ejecutar instrucciones a distancia e instalar una herramienta de ataque llamada IceGiant.
- WARP PANDA: aprovechó una vulnerabilidad de día cero en VMware ESXi, identificado como CVE-2026-41709. Esto le permitió acceder de forma oculta a la infraestructura e instalar programas maliciosos en entornos VMware vCenter, utilizados para administrar sistemas virtualizados. También actuó sobre servicios en la nube: robó tokens de sesión, que permiten utilizar una sesión ya iniciada, y registró dispositivos para la autenticación multifactor (MFA), con el fin de facilitar o mantener el acceso.
- MURKY PANDA: intentó adivinar las contraseñas de cerca de 500 cuentas de un bufete estadounidense durante 30 días. Para distribuir los intentos y dificultar la identificación de su origen, utilizó unas 300 direcciones IP a través de una red de servidores intermediarios, conocida como ORB.
CrowdStrike clasifica a estos tres actores como grupos vinculados a China cuyo objetivo es la recopilación de inteligencia estratégica.
Una de las principales advertencias del informe es la reducción del tiempo disponible entre el acceso inicial y el intento de robo de datos. CrowdStrike anticipa que el avance de las capacidades de inteligencia artificial podría estrechar todavía más ese margen, lo que exige una defensa continua basada en inteligencia y no solo una postura reactiva.
El informe menciona los ciberataques liberados por los grupos prorrusos Z-PENTEST y BOUNTY JACKAL contra organismos públicos, infraestructuras críticas y entidades del sector privado en España, entre ellas varias organizaciones del sector legal, entre el 7 y el 29 de julio de 2026. La campaña se llevó a cabo bajo la etiqueta #OpSpain y probablemente estuvo motivada por la aportación española de 50 millones de euros a Ucrania en julio de 2026 a través del programa de la OTAN denominado Lista de Necesidades Prioritarias de Ucrania.
Conclusión
Los despachos de abogados gestionan información privilegiada y confidencial, y esa información puede convertir a los despachos en una vía de acceso a las organizaciones a las que asesoran.
Los grandes despachos españoles no figuran entre las víctimas más visibles del cibercrimen. Esto puede deberse a buenas prácticas de seguridad y segmentación, a la preferencia de los atacantes por objetivos más fáciles o más grandes o posibles incidentes no divulgados (prima la discreción).
