ATAQUE CIBERNETICO CONTRA BLANK ROME EXPONE DATOS DE MAS DE 57 MIL CLIENTES Y DESATA DEMANDA COLECTIVA EN EE.UU.
Un ciberataque sufrido por el estudio jurídico Blank Rome LLP el 21 de mayo de 2026 comprometió los datos personales y médicos altamente sensibles de al menos 57.554 personas, entre clientes actuales, anteriores y potenciales del bufete, dando origen a una demanda colectiva presentada ante un tribunal federal de Pensilvania. La acción legal, encabezada por una exempleada del estudio, acusa a la firma de negligencia grave al no implementar medidas de seguridad informática adecuadas, lo que permitió que delincuentes cibernéticos accedieran sin restricciones a archivos con información privada y los subieran a una cuenta externa de Google Drive.
La demanda, presentada el 2 de julio de 2026, describe un escenario de vulnerabilidad crítica. Según el escrito, Blank Rome, que opera 16 oficinas y ofrece servicios legales integrales en Estados Unidos y el mundo, almacenaba un amplio espectro de datos de sus clientes, incluyendo nombres, números de Seguro Social, direcciones, correos electrónicos, números telefónicos, fechas de nacimiento, números de identificación tributaria, licencias de conducir, números de pasaporte, datos de cuentas financieras, información de tarjetas de pago, historiales médicos y pólizas de seguros de salud. La falla, alega la demanda, radicó en que el estudio no capacitó adecuadamente a sus empleados en protocolos de ciberseguridad ni mantuvo salvaguardas razonables para impedir, detectar o detener la intrusión.
EL INCIDENTE Y LA DEMORA EN LA NOTIFICACIÓN
El ataque ocurrió el 21 de mayo. Los ciberdelincuentes lograron que el propio estudio subiera archivos con la información sensible a una cuenta de Google Drive externa. Sin embargo, Blank Rome tardó más de un mes en notificar a los afectados. Las cartas de notificación comenzaron a enviarse alrededor del 26 de junio, según consta en la demanda.
La demandante, residente de California, recibió su notificación en julio de 2026. Es exempleada del estudio. En su relato, afirma que ha sufrido un gran aumento de comunicaciones no deseadas desde que se produjo la violación. Además, señala que ha debido invertir tiempo y esfuerzo significativos para monitorear sus cuentas, congelar su crédito y reportar su número de Seguro Social como robado ante la administración correspondiente.
La demandante sostiene que la exposición de su información es un hecho irreversible. Una vez que los datos personales caen en manos de delincuentes, argumenta, pueden ser vendidos en la “dark web” en paquetes conocidos como “Fullz”, que combinan información de diversas fuentes para cometer fraudes de identidad, abrir cuentas bancarias falsas o presentar declaraciones de impuestos fraudulentas. La demanda cita al experto en ciberseguridad Jim Stickley, quien señaló que con un nombre y un número de Seguro Social, un delincuente puede “hacer lo que quiera” si la víctima no ha congelado su crédito.
RESPONSABILIDADES LEGALES Y NORMAS INCUMPLIDAS
La acción legal se basa en una causa de negligencia. La demandante sostiene que Blank Rome tenía un deber de cuidado con sus clientes, derivado de la naturaleza sensible de los datos que almacenaba y de la previsibilidad de que una falla en la seguridad causaría daños. Este deber, afirma, se fundamenta en las políticas internas del estudio, en la ley estatal y federal, y en las directrices de la Comisión Federal de Comercio (FTC), que exigen a las empresas implementar medidas de seguridad razonables.
La demanda detalla un extenso listado de incumplimientos. Entre ellos, acusa a Blank Rome de no encriptar la información almacenada, no monitorear la transmisión de grandes volúmenes de datos fuera del sistema, no limitar el acceso a la información sensible, no utilizar contraseñas complejas y no capacitar a su personal. También se alega que el estudio violó disposiciones de la Ley de Portabilidad y Responsabilidad de Seguros Médicos (HIPAA), que establece salvaguardas administrativas, físicas y técnicas para proteger la información médica protegida. La demanda cita al menos nueve infracciones específicas a los reglamentos de HIPAA, incluyendo la falta de garantizar la confidencialidad de los datos, la falta de protección contra amenazas razonablemente anticipadas y la falta de capacitación del personal.
La demandante también señala que el estudio reconoció implícitamente la gravedad del incidente al ofrecer a las víctimas servicios de monitoreo de crédito por varios meses. Sin embargo, califica esta medida como insuficiente, ya que no aborda el daño de por vida que implica la exposición de datos como el número de Seguro Social, que no puede cambiarse fácilmente.
IMPACTO Y ALCANCE DE LA ACCIÓN COLECTIVA
La demanda busca la certificación de una clase compuesta por todas las personas residentes en Estados Unidos cuya información privada se vio comprometida en el ataque. Se estima que la clase incluye al menos 57.554 miembros. La acción se presenta ante la Corte de Distrito de los Estados Unidos para el Distrito Este de Pensilvania, bajo la Ley de Equidad en Juicios Colectivos (Class Action Fairness Act), ya que el monto en controversia supera los cinco millones de dólares y existe diversidad de ciudadanía entre las partes.
El escrito sostiene que los demandantes sufrieron daños concretos, que incluyen la pérdida del valor de su información privada como propiedad intangible, el tiempo y dinero gastados en mitigar los efectos del ataque, y el aumento sustancial del riesgo de fraude y robo de identidad. La demandante también describe daños emocionales, como ansiedad, alteraciones del sueño, estrés y miedo por su seguridad financiera.
La demanda concluye que Blank Rome no podrá revertir el daño causado. La información, una vez expuesta, queda para siempre en el ciberespacio, a disposición de delincuentes dispuestos a utilizarla para cualquier propósito ilícito.
Rol no identificado en la fuente, United States District Court for the Eastern District of Pennsylvania.
Nota del Editor Fotografía referencial generada por Inteligencia Artificial.
Acerca del Autor
