Por Canuto  

Un informe de CrowdStrike describe una escalada de ataques contra bufetes de abogados en Estados Unidos: CHATTY SPIDER habría contratado a un hombre para entrar en una firma haciéndose pasar por técnico, mientras otras bandas y grupos vinculados a China también apuntaron al sector.
***

  • CrowdStrike afirma que la actividad de CHATTY SPIDER aumentó 129 % en los primeros ocho meses de 2026 frente a todo 2024, y que casi 90 % de sus víctimas fueron bufetes.
  • En noviembre de 2025, un ciudadano ruso habría entrado en una firma legal de EE. UU. fingiendo ser empleado de TI; las autoridades lo detuvieron cuando regresó al día siguiente.
  • El informe también describe ataques de extorsión y operaciones atribuidas a grupos vinculados a China, además de recomendar controles más estrictos para accesos remotos y MFA.

 

El informe de CrowdStrike describe una escalada de ataques que combina llamadas de soporte falsas, herramientas de acceso remoto e incluso visitas presenciales a las firmas legales.

Los bufetes de abogados de Estados Unidos se convirtieron en el principal objetivo de CHATTY SPIDER, un grupo criminal que, según CrowdStrike, aumentó su actividad 129 % durante los primeros ocho meses de 2026 en comparación con todo 2024. Casi 90 % de las víctimas atribuidas al grupo pertenecían al sector legal, de acuerdo con el informe, que cubre el período comprendido entre septiembre de 2025 y agosto de 2026, detalla TNW.

La alarma no se limita a los ataques que comienzan con un enlace o una llamada: el reporte describe el caso de un ciudadano ruso contratado para presentarse en una firma como supuesto empleado interno de tecnología. El episodio muestra cómo los atacantes pueden combinar manipulación humana y acceso físico para sortear controles digitales, aunque CrowdStrike advierte que sus cifras provienen de su propia telemetría y de sus equipos de inteligencia.

Una intrusión que llegó desde la recepción

En noviembre de 2025, CHATTY SPIDER habría contratado a un ciudadano ruso para ingresar en un bufete de abogados estadounidense, según el informe. El hombre se presentó como parte del equipo interno de TI y consiguió acceso a una estación de trabajo dentro de las instalaciones, un paso que permitió a los operadores avanzar desde la presencia física hacia la actividad en la red.

Desde esa computadora, el visitante ayudó a instalar herramientas de acceso remoto y trató de transferir información a un servicio de almacenamiento en la nube. Las autoridades policiales lo detuvieron cuando regresó al día siguiente para una segunda visita, de acuerdo con la reconstrucción de CrowdStrike; el reporte no identifica el bufete ni detalla qué datos pudieron salir de sus sistemas.

El FBI identificó a Silent Ransom Group (SRG), también conocido como CHATTY SPIDER, entre los grupos que atacan bufetes mediante técnicas de ingeniería social. Una alerta de la agencia publicada en mayo de 2025 describió sus ataques contra firmas legales. En mayo de 2026, el Centro de Denuncias de Delitos en Internet del FBI volvió a advertir sobre el grupo y señaló que se hace pasar por personal de TI mediante llamadas y correos de phishing. Estas alertas describen tácticas de suplantación y acceso digital; no documentan por sí mismas el caso de la visita presencial relatado por CrowdStrike.

CrowdStrike también cita un reportaje de CNN que señala que el grupo recurrió en 2026 a personas radicadas en Estados Unidos para varias intrusiones físicas. Sin embargo, The Next Web indicó que no verificó de manera independiente los otros casos mencionados en el informe, una precisión importante para distinguir entre los incidentes documentados por una fuente de inteligencia y los confirmados por una investigación externa.

La ingeniería social como puerta de entrada

La intrusión presencial aparece como una extensión de una estrategia que, durante el período analizado, se apoyó con frecuencia en llamadas telefónicas y engaños dirigidos a abogados o asistentes. Los operadores se hacían pasar por personal de soporte técnico y convencían a sus interlocutores de iniciar sesiones de asistencia remota, una maniobra que podía parecer una rutina de trabajo y no el comienzo de un ataque.

Entre las herramientas utilizadas figuran Quick Assist y AnyDesk, además de Zoom y Cisco Webex en las operaciones más recientes descritas por el reporte. El uso de programas conocidos no demuestra por sí solo que esas aplicaciones tengan una vulnerabilidad: el riesgo señalado está en permitir que un interlocutor no verificado controle una sesión o guíe a un empleado para concederle acceso.

En una intrusión de 2025, los operadores intentaron extraer información apenas cuatro minutos después de obtener acceso, según CrowdStrike. Esa rapidez reduce el margen para detectar la actividad antes de que los atacantes comiencen a copiar archivos, mientras que la amenaza posterior consiste en publicar los datos robados en un sitio de filtraciones si fracasan las negociaciones.

Adam Meyers, jefe de operaciones contra adversarios de CrowdStrike, describió a los bufetes como un objetivo especialmente atractivo por la información confidencial que manejan sobre sus clientes. Según su declaración, los atacantes están dispuestos a ir más allá del teclado para obtenerla, una observación que conecta el valor de los datos con la decisión de recurrir a engaños telefónicos, herramientas remotas o visitas a las oficinas.

Más grupos apuntan al sector legal

CHATTY SPIDER no es la única amenaza para las firmas jurídicas. Durante el período analizado, grupos de ransomware y extorsión incluyeron a 455 entidades legales en sus sitios de filtración, frente a 327 el año anterior, un aumento de 39 % que refleja una presión más amplia sobre el sector y no solo la actividad de una banda.

El informe también describe a SNARKY SPIDER y CORDIAL SPIDER, dos grupos más recientes que atacaron al mismo bufete con un mes de diferencia. Ambos recurrieron a llamadas y páginas falsas de inicio de sesión único, tácticas que buscan que el personal entregue credenciales o facilite el acceso al sistema creyendo que responde a una solicitud legítima.

En conjunto, los actores motivados por el lucro representaron 82 % de la actividad maliciosa observada contra el sector legal, según CrowdStrike. Los grupos respaldados por Estados representaron aproximadamente el 18 %, y la mayor parte de esa actividad fue atribuida a actores vinculados a China, una proporción que sitúa las amenazas de espionaje junto a la extorsión y el robo con fines económicos.

La actividad vinculada a China contra los bufetes se mantuvo relativamente estable a lo largo de los años, de acuerdo con el informe, pero el número de grupos involucrados casi se duplicó desde 2023. La combinación sugiere una participación más amplia de actores en un volumen general que la fuente describe como estable, sin que el reporte atribuya un cambio equivalente en la intensidad total de las operaciones.

Software legal y recomendaciones de seguridad

En abril de 2026, TITAN PANDA explotó una clave codificada en Intapp Time Server, una herramienta para registrar horas y gestionar facturación que utilizan bufetes de abogados. CrowdStrike señaló que casi todos los usuarios de ese producto pertenecen al sector legal y calificó el episodio como el primer ataque que observó contra un software específico de esa industria.

El reporte también atribuye a WARP PANDA actividad relacionada con CVE-2026-41709, una vulnerabilidad de VMware ESX. La ficha pública de CVE describe el problema como una insuficiencia de registro de eventos y señala que un administrador malicioso podría aprovecharlo para realizar determinadas operaciones. Esa descripción, por sí sola, no permite concluir que la vulnerabilidad fuera explotada antes de que hubiera un parche.

El informe describe además a MURKY PANDA realizando casi 500 intentos fallidos de inicio de sesión contra otras tantas cuentas de un bufete estadounidense, desde alrededor de 300 direcciones IP durante 30 días.

Para reducir el riesgo, CrowdStrike recomienda reforzar la autenticación multifactor, conocida como MFA, y limitar de forma estricta el uso de herramientas de acceso remoto. También aconseja revisar las configuraciones predeterminadas y las claves codificadas, además de vigilar la incorporación de nuevos dispositivos MFA a las cuentas, señales que podrían revelar cambios no autorizados en los mecanismos de acceso.

El FBI, por su parte, aconseja a las empresas verificar la identidad de quienes visitan sus oficinas y conservar copias de sus documentos de identificación. CrowdStrike vende servicios de inteligencia y búsqueda de amenazas; en septiembre ayudó al FBI a desmantelar la botnet Sality y trabaja con Anthropic en iniciativas de defensa para los sectores de energía y agua, antecedentes que describen parte de su actividad fuera del informe legal.

La principal cautela al leer estas cifras es que proceden de la telemetría y los equipos de inteligencia de CrowdStrike, no de una medición exhaustiva de todos los incidentes ocurridos en el sector. Aun con ese límite, los casos descritos apuntan a un problema operativo concreto para los bufetes: verificar quién pide acceso, controlar las herramientas remotas y tratar cada visita inesperada como un posible punto de entrada.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados