La fuga silenciosa: cómo un abogado se llevó 1.847 documentos confidenciales antes de irse

Marcos Alberdi llevaba siete años en Velázquez & Asociados. Había entrado como abogado junior recién salido del máster y había ascendido hasta convertirse en el socio responsable de todas las operaciones de fusiones y adquisiciones de empresas medianas. Era, en papel, uno de los activos más valiosos del bufete. Conocía los clientes. Conocía las estrategias. Conocía los puntos débiles de cada negociación abierta.

El día que recibió la oferta de Aramburu Legal —un competidor directo que llevaba meses intentando crecer en el segmento de M&A— la decisión no fue difícil. Más dinero, título de socio desde el primer día, y la posibilidad de traerse su cartera de clientes. Lo que legalmente no podía hacer. Lo que decidió hacer de todas formas.

No fue una decisión impulsiva. Marcos fue metódico. Calculador. Tres meses antes de presentar su renuncia, empezó a construir su salida. Y la ciberseguridad de documentos del bufete —o más bien su ausencia— se lo puso increíblemente fácil.

«Tenía acceso a todo. No era un intruso que forzó una cerradura. Era alguien que tenía las llaves de todas las puertas, con autorización completa, y nadie controlaba cuántas copias hacía de esas llaves.»

Marcos no necesitó hackear nada. No usó vulnerabilidades técnicas ni contraseñas robadas. Usó algo mucho más sencillo y mucho más difícil de detectar: sus propios permisos de acceso legítimos.

El proceso comenzó despacio. Los primeros días, copiaba uno o dos documentos en un pen drive USB que traía de casa. Archivos de clientes en los que él era el abogado responsable: contratos firmados, due diligences, valoraciones de empresa. Nada que visualmente pareciera sospechoso en su día a día. Simplemente alguien trabajando en su mesa, como siempre.

En los últimos veinte días antes de su renuncia, Marcos aceleró el ritmo. Ya no eran uno o dos archivos al día. Eran carpetas enteras. Expedientes completos de las operaciones más estratégicas del bufete. Algunas de las negociaciones más sensibles del año, con datos de compradores, vendedores, precios de transacción y puntos de ruptura conocidos solo por los abogados implicados.

En total, la auditoría posterior contabilizó 1.847 archivos extraídos a lo largo de noventa y cuatro días. El bufete nunca recibió una sola alerta. No hubo ninguna anomalía en los registros de acceso, porque Marcos accedía exactamente a lo que tenía permiso de acceder. El sistema no distinguía entre «acceso legítimo» y «acceso con intención de robar».

La mañana del 18 de noviembre, Elena Vidal —socia directora de Velázquez & Asociados— recibió una llamada que tardó varios minutos en entender del todo. Era Roberto Fuentes, director financiero de una empresa industrial que era cliente del bufete desde hacía diez años. Roberto estaba furioso.

Aramburu Legal —el nuevo bufete de Marcos— había contactado con él ofreciéndole sus servicios. Y lo habían hecho citando datos de una operación de adquisición que Velázquez gestionaba en ese momento. Datos que solo podían conocer desde dentro. El precio de salida que el vendedor aceptaría. Las condiciones del earn-out. Los puntos de bloqueo de la negociación.

Elena puso en marcha una auditoría interna esa misma tarde. Los resultados que llegaron dos días después fueron devastadores. Los logs de acceso a los archivos mostraban cientos de accesos masivos en la cuenta de Marcos en los meses previos a su marcha. Las conexiones USB registradas en su equipo —el bufete sí tenía ese registro técnico, aunque nunca lo monitorizaba— revelaban transferencias de datos en docenas de sesiones. Y el análisis del servidor de correo mostraba 312 reenvíos automáticos a una cuenta Gmail externa en los últimos tres meses de su contrato.

El dato más perturbador: toda la información estaba ahí, en los registros del sistema, desde el primer día. Nadie la había mirado nunca. Nadie la estaba analizando en tiempo real. El bufete tenía los datos del crimen, pero no tenía a nadie —ni nada— mirando esos datos.

La fuga de información de Marcos no fue solo un problema técnico ni legal. Fue un terremoto que sacudió los cimientos de confianza sobre los que se construye un bufete de abogados. Esa confianza que a los clientes les lleva años dar y que puede destruirse en una sola llamada de teléfono.

El desenlace judicial fue decepcionante para el bufete. Marcos fue condenado en vía civil, pero la sentencia tardó casi dos años. La indemnización reconocida —42.000 euros— no guardaba ninguna proporción con el daño real. Y Aramburu Legal, técnicamente ajeno a la extracción, siguió operando sin consecuencias directas. En el mundo real, la fuga de información de un empleado casi nunca tiene el final que debería.

El caso de Velázquez & Asociados no es una excepción. Es la norma. Según datos del Insider Threat Report 2025 de Cybersecurity Insiders, el 74% de las organizaciones son vulnerables a amenazas internas, y el 68% reconoce que sus herramientas de seguridad no son suficientes para detectarlas. La fuga de documentos confidenciales por empleados no es una rareza de los bufetes de abogados. Afecta a consultoras, departamentos de RRHH, equipos comerciales, gestorías, empresas de ingeniería, clínicas médicas.

El problema raíz es que la mayoría de las organizaciones están diseñados para defenderse de ataques externos —hackers, ransomware, phishing— pero tienen una visibilidad casi nula sobre lo que hacen sus propios empleados con la información a la que acceden legítimamente. Y los empleados lo saben, aunque no lo verbalicen.

Lo más frustrante del caso —y Elena Vidal lo repite cada vez que lo cuenta— es que todas las herramientas para haberlo impedido existían. No eran caras. No requerían un equipo técnico especializado. Simplemente no las tenían. Aquí están las medidas que habrían cambiado el desenlace:

No hace falta ser un bufete de abogados para estar expuesto a la fuga de información confidencial. Cualquier empresa con más de 5 empleados y datos valiosos —clientes, precios, estrategias, procesos— tiene este riesgo. Y la mayoría no lo ha evaluado nunca.