Post actualizado el día octubre 27, 2026 by DeiviSanzPlay
Hay una conversación que se repite en casi todos los despachos pequeños: alguien comenta que un compañero recibió un correo raro y, automáticamente, surge la frase «nosotros no somos objetivo, no tenemos nada que interese». Esa creencia, repetida hasta la saciedad, es probablemente el mito más caro del sector legal. La realidad es que el abogado no es un blanco por lo que sabe, sino por cómo trabaja: maneja datos de clientes, gestiona transferencias, firma documentos y responde correos con prisa. Ese cóctel es exactamente lo que busca un atacante.
El mito del «no soy un objetivo interesante»
La mayoría de los incidentes que afectan a despachos no son ataques dirigidos con nombres y apellidos. Son campañas masivas de phishing que llegan a miles de buzones y esperan que alguien pulse el enlace. Según documentación oficial de organismos como el INCIBE, el correo electrónico sigue siendo el vector de entrada más habitual en pymes y despachos profesionales. El abogado no necesita ser famoso: basta con que su dirección aparezca en la web del despacho, en el registro mercantil o en un escrito judicial publicado.
Un caso típico que se repite con demasiada frecuencia: el correo que suplanta a un cliente habitual pidiendo un cambio de número de cuenta para una transferencia pendiente. El mensaje llega desde una dirección casi idéntica, con el mismo nombre visible y una excusa verosímil («hemos cambiado de banco»). Si el despacho no tiene un protocolo de verificación por teléfono, el pago sale. Y cuando el cliente real llama preguntando por su dinero, el problema ya no es técnico, es de responsabilidad civil.
Realidad: el eslabón humano sigue siendo el más frágil
Instalar un antivirus y un cortafuegos no resuelve el problema. La mayoría de las brechas documentadas en despachos comienzan con una acción humana: abrir un adjunto, reutilizar una contraseña, conectar un USB encontrado o compartir credenciales entre compañeros para «agilizar». La formación continua importa más que el software, pero no como charla anual: como simulacros periódicos de phishing y protocolos escritos.
Un error concreto que se ve a menudo
Compartir la misma contraseña de la cuenta de correo genérica del despacho (la de «info@») entre tres o cuatro personas. Cuando alguien sale del despacho, nadie la cambia. Cuando entra un nuevo becario, se le pasa por WhatsApp. Ese buzón suele contener expedientes, comunicaciones con juzgados y datos personales. Es un punto único de fallo que no aparece en ningún manual de ciberseguridad comercial pero que está en la raíz de muchos incidentes reales.
Mito: el cifrado del disco lo soluciona todo
El cifrado es útil, pero no protege frente a un empleado que envía un PDF con datos de un cliente a una dirección equivocada. Tampoco frente a un portátil desbloqueado en una sala de reuniones. La confidencialidad no es solo un problema de criptografía: es un problema de flujo de trabajo. Si el despacho no define qué se puede enviar por correo y qué debe ir por un canal cifrado con contraseña, el cifrado del disco no aporta gran cosa.
Realidad: el RGPD y el secreto profesional no son lo mismo
Hay despachos que asumen que cumplir con el Reglamento General de Protección de Datos equivale a estar ciberseguros. No es así. El RGPD exige medidas técnicas y organizativas adecuadas, pero no certifica que un despacho sea inexpugnable. Un despacho puede tener toda la documentación en regla y, aun así, sufrir una brecha por un correo mal configurado. La obligación de notificar incidentes a la autoridad de control en 72 horas, cuando procede, no sustituye a la prevención.
Mito: los abogados no necesitan plan de respuesta
Muchos despachos creen que un plan de respuesta a incidentes es cosa de grandes empresas. La realidad es que un despacho de dos personas necesita saber, al menos, tres cosas: a quién llamar primero, cómo aislar el equipo afectado y cómo comunicar al cliente si sus datos se han visto comprometidos. Sin ese mínimo, el caos del primer día multiplica el daño reputacional.
Realidad: la nube no es intrínsecamente insegura, pero exige configuración
Guardar expedientes en servicios en la nube es hoy habitual y, bien configurado, puede ser más seguro que un servidor local mal mantenido. El problema aparece cuando se activan enlaces públicos sin contraseña, se comparten carpetas con permisos excesivos o se desconoce dónde están alojados los datos. Según estudios del sector, una parte importante de las filtraciones en servicios en la nube se debe a configuraciones erróneas, no a fallos del proveedor.
Limitaciones que conviene reconocer
Ninguna medida garantiza el 100% de protección. Un despacho puede formar a todo su personal, cifrar los equipos y contratar un buen proveedor, y aun así sufrir un incidente. Lo que cambia con las medidas adecuadas es la probabilidad y el impacto. También es honesto reconocer que las soluciones empresariales de ciberseguridad no siempre encajan en un despacho pequeño: los precios, la complejidad de despliegue y la falta de personal técnico son obstáculos reales. En esos casos, tiene más sentido empezar por lo básico bien hecho —autenticación en dos pasos, gestor de contraseñas, copias de seguridad verificadas y un protocolo de verificación de pagos— que por herramientas avanzadas que nadie va a configurar correctamente.
La ciberseguridad en un despacho no se resuelve comprando un producto, sino cambiando hábitos. Y eso, aunque suene menos espectacular, es lo que marca la diferencia entre un mito y una realidad.
Perfiles verificables: Sitio web
Publicado el 27 de October de 2026. Última revisión: 27 de October de 2026.
