Resumen

  • Una actualización del 14 de octubre cifra en unos 250.000 los registros de Legal Aid Agency anteriores a 2007 presentes en el material exfiltrado; el más antiguo verificado hasta ahora data de 1978.
  • El alcance divulgado incluye datos limitados de probation en el material extraído durante el incidente de la LAA, pero ni el intervalo temporal ni el servicio identifican a las personas afectadas.

1978 delimita la antigüedad de una pieza de evidencia, no el número de personas expuestas. Ministry of Justice afirma que su análisis continuado halló unos 250.000 registros de Legal Aid Agency anteriores a 2007 y verificó un registro fechado en 1978. El ataque se detectó el 23 de abril de 2025; el 16 de mayo el Gobierno concluyó que su alcance era mayor de lo que había entendido inicialmente. La actualización del 14 de octubre de 2026 modifica la descripción pública después de otro periodo de análisis técnico y de datos. No afirma que se extrajeran todos los registros de esos años ni que todas las personas que tramitaron asistencia jurídica entonces resultaran afectadas. La declaración ministerial escrita y la actualización pública establecen esa diferencia.

Un registro no equivale a una persona. Puede ser un pago, una carta, una reclamación o un fragmento de un sistema de gestión de casos. El Gobierno dice que la información varía entre individuos y que no se vio afectado ningún expediente completo de asistencia jurídica. Sus tablas enumeran campos que podrían incluir nombres, direcciones, fechas de nacimiento, identificadores nacionales, datos financieros o detalles de un caso, pero no sostienen que todos esos campos aparecieran en el expediente de cada persona. Las preguntas frecuentes archivadas sobre el incidente de Legal Aid Agency describían antes el intervalo conocido de solicitantes como 2007–16 de mayo de 2025. Era una evaluación fechada, no una garantía de que nunca aparecieran registros más antiguos.

La actualización también mueve el límite entre servicios en la descripción pública. Dice que había información limitada de HM Prison and Probation Service, concretamente datos de probation, entre los materiales exfiltrados durante el mismo incidente. La declaración se refiere a un grupo relativamente pequeño de personas gestionadas por los servicios de probation entre 2010 y 2017; más del 99 % de ese subconjunto corresponde a 2016 y 2017. Eso indica que tales datos estaban en el material extraído de sistemas de Legal Aid Agency. No demuestra una intrusión en sistemas de HMPPS ni ofrece un recuento de personas para ese subconjunto. La actualización de la LAA señala que la información descrita de HMPPS no corresponde a víctimas de delitos.

Este límite muestra por qué la noticia no consiste únicamente en ampliar el intervalo de fechas. Ministry of Justice dice que gran parte de la información exfiltrada está fragmentada, desestructurada e incompleta. Según su explicación, esas características pueden dificultar que quienes robaron los datos identifiquen a personas; tampoco permiten concluir que alguien fue afectado solo porque pertenezca a una categoría o periodo. El Gobierno afirma que no tiene indicios de que los datos robados se hayan publicado o compartido. “No hay indicios” describe lo conocido ahora, no demuestra que los datos nunca vayan a circular.

El historial de controles añade otra cronología. En junio, el Gobierno dijo que los riesgos digitales y cibernéticos figuraban desde 2021 en los registros de riesgos de Legal Aid Agency y Ministry of Justice. Describió la infraestructura de la LAA, evaluada en 2022-23, como la más compleja y frágil del departamento. La misma respuesta sostiene que una inversión de 10,5 millones de libras en 2024-25 incorporó monitorización y alertas que, según el Gobierno, permitieron detectar el ataque cuando se detectó. También afirma que el riesgo residual de los sistemas heredados seguía siendo alto. Son evaluaciones oficiales, no una conclusión independiente sobre la causa del incidente. La respuesta parlamentaria sobre detección y sistemas explica la secuencia.

Dos informes financieros ayudan a separar el alcance de la filtración de la recuperación de los sistemas. El informe de rendición de cuentas 2024-25 de Legal Aid Agency registra que la evaluación anterior consideraba que la brecha estaba contenida en los sistemas de la LAA y que los servicios tuvieron que recurrir a medidas de contingencia. El hallazgo posterior sobre probation se refiere a datos presentes en el material exfiltrado; por sí solo, no acredita una intrusión en sistemas de HMPPS. Por separado, el Comptroller and Auditor General examinó los controles del incidente, la integridad de datos y los pagos usados en las cuentas de Ministry of Justice, y no encontró incorrecciones materiales. Ese resultado de auditoría ofrece seguridad sobre estados financieros, no confirma que se haya identificado a cada persona cuyos datos fueron extraídos.

La siguiente medida útil

El registro público cubre ahora varias décadas, pero el Gobierno no ha publicado cuántas personas fueron afectadas, cuántas puede identificar ni cuándo terminarán las comprobaciones individuales. Dice que identificará a las personas cuando los datos lo permitan. Esa condición es central: un inventario grande no se convierte automáticamente en una lista fiable de notificaciones. La próxima evidencia debería explicar cómo se vinculan los registros con personas, dónde persiste la duda, qué grupos ya han recibido aviso y cómo se revisarán los casos pendientes.