Cuando la justicia sufre un hackeo: lecciones del ataque ruso al sistema judicial estadounidense
En el mundo de la ciberseguridad, hay momentos que te dejan con la boca abierta. Y no precisamente por la sofisticación del ataque, sino por la magnitud de la negligencia que lo hizo posible. El caso del hackeo al sistema judicial federal de Estados Unidos es uno de esos ejemplos que parece sacado de una serie de Netflix, pero que lamentablemente es muy real.
Un ataque anunciado que nadie quiso ver
El pasado verano de 2025, salió a la luz que hackers vinculados al gobierno ruso habían comprometido el sistema de presentación electrónica de casos judiciales estadounidenses. Lo verdaderamente alarmante no es solo que accedieran a documentos confidenciales (que ya es grave), sino que las vulnerabilidades explotadas eran conocidas desde… ¡2020! Sí, cinco años de ventana de exposición para un sistema que almacena algunos de los documentos más sensibles del país.
Y no es que el senador Ron Wyden esté exagerando cuando habla de «negligencia e incompetencia». Las palabras son duras, pero cuando descubres que las mismas vulnerabilidades ya habían sido explotadas anteriormente y seguían sin parchearse, es difícil no darle la razón.
Los sistemas afectados y lo que estaba en juego
Los atacantes se centraron en dos plataformas superpuestas: el CM/ECF (Sistema de Gestión de Casos/Archivos Electrónicos de Casos) y PACER. Para quien no esté familiarizado, estos sistemas permiten presentar documentos judiciales electrónicamente. La mayoría son públicos, pero los que están bajo sello contienen investigaciones criminales en curso, inteligencia clasificada o información comercial confidencial.
En este caso no hablamos de robar contraseñas de Netflix o datos de tarjetas de crédito. Estamos ante documentos que podrían revelar:
- Fuentes y métodos de inteligencia a adversarios extranjeros
- Información sobre investigaciones en curso que permitiría a sospechosos huir
- Datos que podrían poner en peligro a testigos
Es como si alguien dejara las llaves de un arsenal nuclear debajo del felpudo de entrada.
La resistencia al cambio: el principal aliado de los atacantes
Lo más frustrante de toda esta situación es la actitud de la judicatura federal. Como señala Wyden en su carta al Juez Roberts (jefe del Tribunal Supremo), el poder judicial ha estado:
- Negándose a implementar requisitos de ciberseguridad obligatorios
- Ignorando prácticas básicas que son estándar en otras agencias federales
- Dejando que un comité de jueces sin experiencia tecnológica tome decisiones de seguridad
- Manteniendo en secreto la composición de dicho comité
- Bloqueando la supervisión del Congreso
Me recuerda a ese familiar que se niega a actualizar su ordenador de Windows XP «porque funciona bien», mientras todos sabemos que es una bomba de relojería digital.
La tecnología obsoleta como debilidad estructural
El sistema de gestión de casos judicial no solo es inseguro, sino también anticuado y caro de mantener. Y aquí viene lo increíble: expertos gubernamentales ya han propuesto soluciones para establecer un sistema moderno y seguro, pero la judicatura ha ignorado estos consejos.
Es como si un médico te diagnosticara una enfermedad grave, te diera el tratamiento, y tú decidieras guardarlo en un cajón porque «te encuentras bien». Solo que en este caso, quien toma esa decisión está exponiendo secretos de seguridad nacional.
El camino hacia una verdadera seguridad judicial
La realidad es que estos problemas han persistido durante décadas porque el poder judicial ha operado como un reino aparte. Sin inspectores generales, sin transparencia y con una resistencia sistemática al escrutinio. Como dice el refrán: «En casa del herrero, cuchillo de palo».
La solución que propone Wyden tiene sentido: una revisión independiente, pública y realizada por expertos de la Academia Nacional de Ciencias. Porque la evidencia sugiere que el poder judicial no puede (o no quiere) diagnosticar y resolver sus propios problemas de ciberseguridad.
Y si algo me queda claro después de analizar este caso, es que ninguna organización —ni siquiera el sistema judicial de la primera potencia mundial— está exenta de necesitar buenas prácticas de ciberseguridad. De hecho, cuanto más sensible sea la información que manejas, más riguroso deberías ser con su protección.
Lecciones para todos los sectores
Si extrapolamos lo aprendido de este bochornoso episodio, podemos extraer algunas enseñanzas valiosas:
- Las vulnerabilidades conocidas y no parcheadas son la puerta principal para los atacantes
- La resistencia al cambio tecnológico es un riesgo de seguridad en sí mismo
- La falta de transparencia no protege; solo oculta deficiencias hasta que es demasiado tarde
- Los comités sin experiencia técnica no deberían tomar decisiones técnicas críticas
Mientras escribo estas líneas, me pregunto cuántas otras instituciones están pasando por situaciones similares sin que lo sepamos. ¿Cuántas vulnerabilidades conocidas siguen sin parchearse en sistemas críticos de nuestra sociedad?
La ciberseguridad no es solo instalar un antivirus o tener contraseñas complejas. Es una mentalidad, una cultura organizacional que debe permear todos los niveles de decisión. Y cuando esa cultura falla en instituciones que manejan información ultrasensible, las consecuencias pueden ser devastadoras.
