En resumen: en la seguridad informática de un despacho cuenta cada sistema a través del cual los clientes envían o consultan documentos. Determine cuáles funcionan con PHP, haga que le confirmen el estado del parche y el reinicio, y trate cada sospecha de modo que se conserven las pruebas y la confidencialidad.
Dónde usan PHP los despachos, a menudo sin saberlo
El software del despacho suele estar en la oficina o en un centro de datos especializado. PHP aparece en otros lugares: en la web del despacho con el formulario de primera consulta, en los canales de carga de documentación, en las reservas de cita en línea y en las salas de datos que se gestionan por cuenta propia. Muchos despachos utilizan para el intercambio seguro de documentos una Nextcloud propia, que ha configurado una empresa de sistemas.
Precisamente estas salas de datos contienen lo más sensible que tiene un despacho: escritos, poderes, borradores de contratos, informes periciales, fotos como prueba y, en asuntos penales, también autos de instrucción. PHP2Shell permite a los atacantes ejecutar código sin autenticación. Una contraseña fuerte en el portal no ayuda frente a eso.
Los despachos con especialidades como el derecho de familia, laboral o sanitario tratan además datos de salud, informes periciales y detalles de la vida privada. En los despachos de derecho mercantil hay documentación sobre operaciones que, antes de publicarse, puede influir en la cotización. El material que haya en sus portales determina la gravedad de un incidente.
Secreto profesional y protección de datos: qué significa una fuga
Para los abogados rige una obligación de confidencialidad de derecho profesional. La revelación no autorizada de secretos de clientes puede ser punible según el § 203 StGB. A ello se suman las obligaciones del RGPD, entre las que, en caso de referencia a la salud o a procedimientos penales, figuran categorías especiales de datos.
Por eso una fuga de datos golpea doblemente a los despachos. Pone en peligro los asuntos en curso, por ejemplo si posiciones de negociación o borradores de acuerdos caen en manos equivocadas. Y daña la confianza en la que se basa la relación con el cliente. Si debe informar a los clientes y a la autoridad de control, y cómo, es algo que valora con su delegado de protección de datos y con asesoramiento de derecho profesional.
La web del despacho como herramienta para el fraude
Un servidor de despacho comprometido no sirve a los atacantes solo como fuente de datos. Con el membrete, los números de expediente y los nombres reales de un portal de clientes se pueden falsificar escritos que apenas se distinguen de los auténticos. Son especialmente delicados los requerimientos de pago, por ejemplo de importes de acuerdos o de honorarios, con un número de cuenta modificado.
También el formulario de primera consulta puede ser objeto de abuso: un atacante redirige las solicitudes a una dirección propia y contacta con los interesados en nombre del despacho. Tras un incidente, por tanto, no debe limitarse a hacer revisar el servidor, sino también advertir activamente a los clientes de que nunca modifica los datos bancarios por correo electrónico.
El buzón electrónico especial del abogado (beA) y el software del despacho no funcionan en su servidor web. El peligro aparece allí donde en el servidor web hay guardadas credenciales de cuentas de correo o de otros sistemas del despacho.
Seguridad informática del despacho: ¿quién es responsable de qué?
En los despachos sin departamento informático propio, las tareas suelen repartirse así:
| Sistema | Quién lo atiende | Pregunta abierta con PHP2Shell |
|---|---|---|
| Software del despacho, puestos de trabajo | Empresa de sistemas | normalmente no afectado |
| Nextcloud o sala de datos | Empresa de sistemas o proveedor de hosting | ¿Quién parchea PHP y reinicia? |
| Sitio web con formularios | Agencia web | ¿Funciona en el proveedor de hosting con un PHP actual? |
| Reserva de citas en línea | Proveedor externo o plugin | ¿Dónde están los motivos de consulta de los clientes? |
El hueco aparece allí donde la empresa de sistemas considera que el sitio web es cosa de la agencia y la agencia considera que el servidor es cosa del proveedor de hosting. Deje por escrito, para cada sistema, quién actualiza PHP y reinicia los procesos.
No limpie un servidor sospechoso con precipitación. Quien lo reinstala antes de conservar los rastros ya no podrá demostrar después si se filtraron datos de clientes y cuáles.
Las primeras horas: actuar con confidencialidad y de forma trazable
- Bloquear a los clientes los portales y salas de datos afectados y seguir trabajando internamente con el software del despacho.
- Conservar los registros desde el 20/10/2026 y mantener el estado del servidor antes de que alguien borre archivos.
- Pedir por escrito al operador el estado del parche y el reinicio. Un número de versión mostrado no basta por sí solo, porque los backports pueden dejarlo sin cambios.
- Fijar un círculo reducido que hable del incidente y preparar la comunicación hacia el exterior.
- Implicar al delegado de protección de datos y tener presente el plazo de notificación del RGPD.
¿Cómo ayuda PHP SOS en concreto?
- Antes del primer acceso, regulamos por escrito la confidencialidad y limitamos el acceso a lo imprescindible.
- Comprobamos el estado del parche, el modo de ejecución y el reinicio de todos los sistemas PHP del despacho accesibles desde Internet.
- Ante una sospecha, conservamos los rastros con métodos forenses, para que después pueda demostrarse a qué se accedió. Más detalles en nuestra página de análisis forense informático.
- Limpiamos y reforzamos los sistemas y documentamos cada paso para la dirección del despacho, el delegado de protección de datos y la aseguradora.
- Si lo desea, asumimos el mantenimiento continuo de los portales, para que la próxima vulnerabilidad de PHP no vuelva a quedar entre la empresa de sistemas y la agencia.
Preguntas frecuentes
¿Afecta PHP2Shell al software de nuestro despacho?
El software propiamente dicho del despacho no suele funcionar en un servidor web con PHP. Pueden estar afectados el sitio web, los formularios de carga, las salas de datos que se gestionan por cuenta propia, como Nextcloud, y los portales basados en PHP. Un inventario de todos los sistemas accesibles desde Internet aporta claridad.
¿Puede un prestador de servicios informáticos externo acceder a datos de clientes durante un incidente?
El derecho profesional y el § 203 del Código Penal alemán (StGB) permiten recurrir a prestadores de servicios colaboradores bajo determinados requisitos, en particular una obligación de confidencialidad. Qué requisitos concretos se aplican a su despacho debe comprobarlo desde el punto de vista del derecho profesional. Nosotros regulamos la confidencialidad por escrito antes del primer acceso.
¿Tenemos que informar a los clientes de un ataque?
Si hay un riesgo para los derechos de los afectados, el RGPD puede exigir una comunicación; además, entran en juego consideraciones de derecho profesional. La decisión corresponde a la dirección del despacho y al delegado de protección de datos. Una comunicación coordinada evita declaraciones contradictorias.