Auditoría de Despacho
de Abogados Top-50.
Email spoofing activo contra socios del despacho durante más de 2 años sin detección. Documentos confidenciales de clientes completamente exfiltrables vía subdomain takeover. Un atacante con acceso pasivo habría tenido acceso a estrategias procesales, contratos de M&A y datos de litigios en curso.
El riesgo que nadie veía.
El despacho manejaba expedientes de fusiones y adquisiciones, litigios de alta cuantía y asesoría a fondos de inversión. La confidencialidad de su información es su activo más crítico — y la base de confianza con clientes de primer nivel. La auditoría fue solicitada tras un requisito de due diligence de un cliente de banca de inversión.
El equipo de IT contaba con 3 personas para 85 usuarios. Su postura de seguridad se apoyaba principalmente en un antivirus endpoint y un firewall perimetral. No existía ningún proceso de monitorización de subdominios ni de configuración DNS.
Los datos manejados por el despacho incluyen información privilegiada de mercado (sujeta a la normativa MAR), datos personales de clientes bajo RGPD y secretos comerciales protegidos por la Ley de Secretos Empresariales. Una brecha real habría generado responsabilidad civil frente a clientes, sanciones CNMV y denuncia ante la AEPD con multas de hasta 20 millones de euros o el 4% del volumen de negocio.
Los dos vectores críticos.
portal.despacho.com que apuntaba vía CNAME a una instancia de Azure App Service que había sido eliminada hacía 26 meses. El registro DNS seguía activo. Cualquier atacante podría haber registrado esa instancia en Azure y servir contenido bajo el dominio legítimo del despacho — incluyendo un portal de login falso para capturar credenciales de clientes o inyectar documentos manipulados.socio@despacho.com sin poseer el dominio. Los emails llegaron a las bandejas de entrada de los destinatarios internos y externos sin ninguna advertencia. Un atacante podría haber suplantado a cualquier socio para solicitar transferencias, acceso a documentos o instrucciones procesales falsas.?expediente_id= era posible acceder a expedientes de otros clientes sin autenticación adicional. La extranet tampoco requería MFA, solo usuario y contraseña./wp-admin del sitio corporativo era accesible desde internet sin restricción de IP ni 2FA. El WordPress ejecutaba 4 plugins desactualizados con vulnerabilidades conocidas (CVE públicos). Uno de ellos permitía lectura de archivos arbitrarios del servidor.Tabla de vulnerabilidades.
| Ref. | Vulnerabilidad | Vector | CVSS | Estado |
|---|---|---|---|---|
| CVE-LG-01 | Subdomain takeover en portal abandonado | DNS · OSINT | 9.3 | CERRADO |
| CVE-LG-02 | Email spoofing sin SPF/DKIM/DMARC | DNS · Correo | 9.1 | CERRADO |
| CVE-LG-03 | IDOR en extranet de expedientes | Web · API | 8.8 | CERRADO |
| CVE-LG-04 | RCE potencial via plugin WP desactualizado | CMS · Plugin | 7.9 | CERRADO |
| CVE-LG-05 | Sin MFA en acceso a extranet de clientes | Auth | 7.5 | CERRADO |
| CVE-LG-06…08 | 3 hallazgos residuales medios (headers, passwords, logs) | Config | ≤ 5.5 | CERRADOS |
Plan de acción.
p=reject. Cualquier email no firmado debe ser rechazado por los servidores receptores. Proceso de onboarding de nuevos dominios que incluya verificación de estas configuraciones./wp-admin a IPs de la oficina. Considerar migración a CMS headless sin panel de administración expuesto.Antes y después.
- Subdominio takeable activo durante 2+ años
- Email spoofing de cualquier socio sin restricción
- Expedientes de todos los clientes accesibles vía IDOR
- WordPress con RCE potencial en producción
- Extranet sin MFA — solo usuario y contraseña
- Sin inventario ni monitorización de subdominios
- Inventario DNS activo + monitorización automatizada
- SPF + DKIM + DMARC p=reject en todos los dominios
- Autorización por objeto en cada endpoint de extranet
- WordPress actualizado + /wp-admin restringido por IP
- MFA obligatorio para acceso externo
- 8 hallazgos cerrados y verificados en 3 rondas
Llevábamos dos años expuestos sin saberlo. El subdominio abandonado era una puerta abierta al portal de nuestros clientes — con contratos de M&A, estrategias procesales y datos de inversores. El informe fue lo suficientemente claro para presentarlo al Comité de Dirección al día siguiente. El cliente que nos exigió la auditoría renovó el contrato basándose en los resultados y el plan de acción.
El vector más explotado no está en tu código — está en tu DNS. Una auditoría de 72 horas puede identificar exposiciones que llevan años abiertas.