Ciberseguridad en un gabinete pericial: los riesgos reales, qué medidas aplicar y qué hacer si pasa algo

5 de noviembre de 202614 min de lectura

Los incidentes de seguridad que encajan con cómo trabaja un gabinete pericial no exigen un ataque sofisticado: un correo que imita a una aseguradora o a un portal y roba una contraseña, un aviso de «hemos cambiado de cuenta bancaria» en la factura de un colaborador o de un reparador, un programa que cifra el ordenador de la oficina y pide un rescate, el móvil de un perito que se pierde con fotos de viviendas, y el usuario de alguien que se fue y nadie dio de baja. Cuatro medidas atacan directamente esos cinco casos: un usuario por persona con la segunda verificación activada donde se pueda, confirmar por teléfono cualquier cambio de cuenta, copias de seguridad que un ataque no pueda alcanzar, y móviles con bloqueo y cifrado. Si aun así pasa algo con datos de asegurados, el gabinete, como encargado del tratamiento de la aseguradora, tiene que avisarla sin dilación indebida, y la AEPD recomienda que el contrato fije un plazo que no supere las 72 horas.

Este artículo es para el responsable de un gabinete pequeño o mediano que no tiene un departamento de informática. No es una guía técnica: es una lista de lo que suele pasar en este tipo de oficina, qué hacer antes y qué hacer en la primera hora.

¿Por qué un gabinete pericial es un objetivo?

Porque concentra tres cosas que valen dinero a quien las roba:

Datos personales de terceros: nombres, teléfonos, direcciones, pólizas, fotos del interior de viviendas, facturas y documentos de identidad. Son datos de los asegurados de la compañía, que el gabinete trata por cuenta de ella (RGPD en un gabinete pericial).
Pagos: el gabinete cobra de las compañías y paga a peritos colaboradores y, a veces, a reparadores. Un cambio de número de cuenta bien colado desvía una transferencia entera.
Accesos a portales de aseguradoras: con un usuario del gabinete se ven encargos, pólizas y datos de muchos siniestros.

Y tiene una debilidad habitual: mucha gente que entra y sale (peritos colaboradores, refuerzos en un temporal, personal en prácticas) y trabajo fuera de la oficina, con móviles y portátiles.

Seis incidentes típicos y cómo prevenir cada uno

Incidente	Cómo suele llegar	Qué hacer antes
Robo de contraseña por un correo falso	Correo que imita a una aseguradora, a un portal de encargos o a un servicio de mensajería con un enlace para «ver el encargo»	Segunda verificación donde se pueda; nunca entrar a un portal desde el enlace de un correo, sino desde la dirección guardada
Desvío de un pago	«Hemos cambiado de banco»: correo de un colaborador, un reparador o un proveedor con un número de cuenta nuevo	Confirmar por teléfono, a un número que ya tenías, cualquier cambio de cuenta antes de pagar
Ransomware	Un adjunto o un programa descargado cifra los ficheros del ordenador y de las carpetas compartidas	Copias de seguridad desconectadas o que el equipo no pueda borrar; actualizaciones al día
Pérdida o robo del móvil o el portátil del perito	En el coche, en una visita	Bloqueo con código, cifrado del dispositivo, borrado remoto activado; no guardar en él más de lo necesario
Acceso de alguien que ya no trabaja con vosotros	El usuario de un colaborador que se fue sigue activo, o la contraseña era compartida	Un usuario por persona y baja el mismo día que termina la colaboración
Envío de datos por error	Un informe o un listado mandado al destinatario equivocado	Revisar el destinatario de lo que lleva datos de asegurados; compartir por enlace con caducidad en lugar de adjuntos

Correos falsos y robo de contraseñas

Un perito recibe al día correos de compañías, plataformas y portales con enlaces y adjuntos. Es el entorno perfecto para colar uno falso. Lo que funciona:

Entrar siempre desde la dirección guardada, no desde el enlace del correo. Si el encargo existe, estará en el portal.
Segunda verificación (un código en el móvil además de la contraseña) en el correo del gabinete y en todo servicio que la ofrezca. Con ella, una contraseña robada no basta.
Contraseñas distintas para cada servicio. Si se repite la del correo en el portal de una compañía, un robo abre las dos.
Una persona a la que preguntar. Si alguien duda de un correo, que lo reenvíe a quien lleva la informática en lugar de abrirlo.

El cambio de número de cuenta

Es fácil de evitar con una sola regla. Llega un correo, aparentemente del perito colaborador, del reparador o de un proveedor habitual, con una factura o un aviso de que ha cambiado de banco. La regla: ningún cambio de cuenta se aplica sin una llamada a un teléfono que ya teníais, nunca al que viene en el mismo correo. Y que quien registra el cambio no sea quien autoriza el pago.

Ransomware y copias de seguridad

Un programa malicioso cifra los ficheros y pide un pago por la clave. Para la AEPD, el cifrado de datos personales o de los sistemas por ransomware es una brecha que afecta a la disponibilidad de los datos, y si además se los llevan, también a la confidencialidad (Guía para la notificación de brechas de datos personales, AEPD, junio de 2021, páginas 32 y 33). Lo que te permite seguir trabajando sin pagar es tener una copia que el ataque no haya alcanzado:

una copia fuera de la red de la oficina o en un servicio que no permita borrar ni sobrescribir las copias desde el equipo infectado;
copias periódicas y comprobación de que se pueden restaurar, porque una copia que nunca se ha probado puede no servir;
equipos actualizados: sistema operativo, navegador y programas.

Si los expedientes están en un programa en la nube, la copia de esos datos depende del proveedor: pregúntale cómo la hace. Lo que queda en los ordenadores de la oficina (hojas de cálculo, carpetas compartidas, documentos sueltos) sigue siendo cosa tuya.

Móviles y portátiles fuera de la oficina

El móvil del perito tiene fotos de interiores de viviendas, direcciones y, a veces, documentos de la póliza. La AEPD pone un ejemplo útil: si se pierde o roban un móvil cuyo almacenamiento está cifrado con un algoritmo no comprometido y protegido con una contraseña fuerte, se puede considerar que los riesgos para la confidencialidad están adecuadamente mitigados (misma guía, página 32). En la práctica:

código de bloqueo y bloqueo automático en pocos minutos;
cifrado del dispositivo activado;
localización y borrado remoto activados antes de que haga falta;
no acumular: que las fotos vayan al expediente y no se queden meses en la galería.

Si alguien de la plantilla trabaja a distancia y usa su propio móvil, recuerda que la empresa no puede exigirle instalar aplicaciones en dispositivos de su propiedad (artículo 17.2 de la Ley 10/2021): lo tratamos en teletrabajo en un gabinete pericial.

Altas y bajas de usuarios

En un temporal entran peritos de refuerzo; al terminar, nadie se acuerda de quitarles el acceso. La medida es organizativa: una lista de quién tiene acceso a qué (el programa de gestión, el correo, los portales de cada compañía, las carpetas compartidas) y una persona que da de baja todo el mismo día que alguien se va. Con usuarios compartidos esto es imposible: cuando se va uno, hay que cambiar la contraseña de todos.

Envíos por error

Un listado con datos de cincuenta asegurados enviado a otra compañía es una brecha de confidencialidad, según la misma guía de la AEPD (página 32). Antes de enviar algo con datos, mira el destinatario; para documentos grandes, mejor un enlace que caduca que un adjunto que queda para siempre en el buzón de otro.

¿Qué te exige la ley como encargado del tratamiento?

En los encargos de una aseguradora, el gabinete trata los datos por cuenta de ella: es encargado del tratamiento. Eso tiene dos consecuencias directas en seguridad, que la AEPD resume en su guía de brechas:

Medidas de seguridad adecuadas al riesgo. El artículo 32.1 del RGPD enumera, como medidas que se pueden aplicar según el riesgo, la seudonimización y el cifrado, las que garantizan la confidencialidad, integridad y disponibilidad, la capacidad de restaurar el acceso a los datos tras un incidente y la verificación periódica de que las medidas funcionan (guía de la AEPD, página 9).
Avisar a la compañía de cualquier brecha. Al encargado le corresponde notificar al responsable, sin dilación indebida, las brechas de las que tenga constancia. El RGPD no fija un plazo concreto, pero la AEPD recomienda que responsable y encargado lo concreten, incluso en el contrato, y que no supere las 72 horas que tiene el responsable para notificar a la autoridad de control (páginas 18 y 19). El encargado no tiene que evaluar antes el riesgo: eso le toca a la compañía (nota 14 de la misma página).

Lee el contrato de encargo del tratamiento que firmaste con cada compañía: muchas fijan su propio plazo y un canal concreto para avisar. El contrato completo y el resto de obligaciones están en RGPD en un gabinete pericial.

¿Qué hacer en la primera hora si pasa algo?

Contener. Desconecta de la red el equipo afectado (sin apagarlo si es un ransomware: puede servir para analizarlo), cambia la contraseña robada desde otro equipo y cierra las sesiones abiertas, bloquea o borra en remoto el móvil perdido, revoca el acceso que sobra.
Anotar. Qué ha pasado, cuándo lo has sabido, qué equipos, cuentas y datos están afectados, de qué compañías son los expedientes. Ese registro te lo pedirá la aseguradora.
Avisar a la compañía por el canal que fije el contrato de encargo, con lo que sepas aunque esté incompleto. Si los expedientes son de varias compañías, a todas las afectadas.
Pedir ayuda. El teléfono 017 de INCIBE (Tu Ayuda en Ciberseguridad) es un servicio público gratuito y confidencial para empresas y profesionales, de 8:00 a 23:00 todos los días del año, también por WhatsApp (900 116 117) y Telegram (@INCIBE017) (La Moncloa, 14 de julio de 2026). Si hay un delito (un pago desviado, una extorsión), denúncialo.
Si el dinero ha salido, llama a tu banco en cuanto lo sepas y pregúntale si se puede retener o devolver la transferencia.
Después, revisa qué falló y cambia la medida que no estaba. Una brecha que se repite por la misma causa es difícil de explicar a una compañía.

Ejemplo inventado: un correo, un viernes por la tarde

Un gabinete de seis personas recibe un viernes a las 17:40 un correo que imita al portal de una compañía: «Nuevo encargo urgente, acceda para aceptarlo». La tramitadora entra desde el enlace y pone su usuario y su contraseña. A las 18:10 le extraña no ver el encargo y se lo cuenta al responsable.

18:15. El responsable cambia la contraseña del portal desde otro equipo y la del correo, que era la misma. Activa la segunda verificación en el correo.
18:30. Llama a la compañía por el teléfono de proveedores y le cuenta lo que ha pasado; le pregunta si puede ver accesos al portal con ese usuario desde las 17:40.
18:45. Anota en un documento la hora del correo, la hora del acceso, la hora del cambio de contraseña y lo que ha hablado con la compañía.
Lunes. La compañía confirma un acceso desde fuera de España a las 17:52, con consulta de tres expedientes. Ella decide si notifica a la AEPD; el gabinete le entrega su registro y revisa qué otros servicios usaban esa contraseña.

Treinta y cinco minutos entre el error y la reacción. Sin la segunda verificación en el portal, la contraseña bastaba; con contraseñas distintas, el correo no habría caído también.

Errores frecuentes

Una contraseña para toda la oficina en el programa de gestión o en un portal.
La misma contraseña en el correo y en los portales.
Copias de seguridad en un disco siempre conectado al ordenador que el ransomware cifra a la vez que el resto.
Pagar a una cuenta nueva porque «el correo era del colaborador de siempre».
No avisar a la compañía por miedo a perder el encargo. El contrato te obliga a hacerlo y el silencio, si se descubre después, pesa más.
No saber quién tiene acceso a qué cuando alguien se va.
Pensar que la nube lo resuelve todo. El proveedor protege su servicio; tus ordenadores, tu correo y tus contraseñas siguen siendo tuyos.

¿Cómo lo resuelve PeriGes?

PeriGes no sustituye a tus medidas de oficina, pero reduce los riesgos que dependen del programa de gestión (seguridad de PeriGes):

Un usuario por persona, con su perfil y sus permisos por pantalla. Perfiles Administrador, Gestor, Perito Jefe y Perito, y permisos con fecha hasta para que el acceso de un colaborador temporal caduque solo. Dar de baja impide entrar desde ese momento y lo que hizo queda en el historial (usuarios y permisos).
Contraseña que caduca a los 30 días, que tiene que ser distinta de la anterior, y registro de cada inicio de sesión con fecha, usuario, si fue por la web o por la app y el navegador o dispositivo.
Enlaces a fotos y documentos que caducan a los 15 minutos: si alguien reenvía el enlace de un archivo, después ya no abre.
Borrar archivos y borrar expedientes son permisos aparte, y la carpeta de la videoperitación no se puede eliminar (fotos y documentos del expediente).
La app, solo para peritos: no deja entrar a otros perfiles y, si la versión instalada ya no es válida, pide actualizarla. Las fotos se envían desde la galería al expediente, sin pasar por el correo (app móvil para peritos).
Alojamiento en Amazon Web Services, en la Unión Europea (París e Irlanda), con archivos cifrados y todas las conexiones con SSL/TLS.
Quién hizo qué: la cronología del expediente guarda los cambios de estado hechos desde la ficha, con el usuario que los guardó, y las gestiones con autor y fecha.

Lo que PeriGes no hace: no protege tu correo ni tus ordenadores, no notifica las brechas por ti y no sustituye al contrato de encargo con cada compañía.

¿Quieres ver cómo se da acceso temporal a un perito de refuerzo y cómo se le quita? En la demo, Víctor crea un usuario de perito con fecha de caducidad, te enseña qué ve y qué no, y dónde queda el registro de sus inicios de sesión. Agendar una demo con Víctor

Preguntas frecuentes

¿Perder el móvil de un perito es una brecha de datos?

Si tenía datos personales de asegurados, es una brecha de confidencialidad, según la guía de la AEPD. Que haya que notificarla a la autoridad depende del riesgo, y lo decide la compañía como responsable. Si el almacenamiento estaba cifrado y el móvil protegido con una contraseña fuerte, la AEPD indica que se puede considerar que el riesgo para la confidencialidad está mitigado. Aun así, avisa a la compañía.

¿Cuánto tiempo tengo para avisar a la aseguradora de una brecha?

El RGPD dice que el encargado avisa al responsable sin dilación indebida, sin fijar horas. La AEPD recomienda que el contrato concrete el plazo y que no supere las 72 horas. Mira lo que dice tu contrato con cada compañía.

¿Hay alguna ayuda pública si sufro un ciberataque?

El 017 de INCIBE atiende gratis y de forma confidencial a empresas y profesionales, de 8:00 a 23:00 todos los días, por teléfono, WhatsApp, Telegram y formulario web. Orienta sobre qué hacer ante un incidente.

¿Tengo que contratar un seguro de ciberriesgos?

No es obligatorio. Es una decisión de cada gabinete, que conviene revisar con tu corredor: qué cubre (recuperación, rescate, responsabilidad frente a terceros) y qué medidas exige el asegurador para cubrirte. La responsabilidad profesional del perito, que es otra cosa, está en responsabilidad civil del perito de seguros.

¿Es seguro mandar los informes por correo?

Depende de lo que lleven y de a quién vayan. El correo funciona, pero queda copiado en los buzones y no se puede retirar si te equivocas de destinatario. Para expedientes completos o documentos con datos especialmente sensibles, mejor el portal de la compañía o un enlace que caduca.

Fuentes

Agencia Española de Protección de Datos, «Guía para la notificación de brechas de datos personales», versión de junio de 2021 (páginas 9, 18, 19, 32 y 33): aepd.es, consultada el 5 de noviembre de 2026.
La Moncloa, nota de prensa de 14 de julio de 2026, «Teléfono 017: el servicio nacional de ayuda en ciberseguridad»: lamoncloa.gob.es, consultada el 5 de noviembre de 2026.
INCIBE, línea de ayuda en ciberseguridad 017 (servicio gratuito y confidencial para ciudadanos, empresas y menores, de 8:00 a 23:00): incibe.es, consultada el 5 de noviembre de 2026.
Ley 10/2021, de 9 de julio, de trabajo a distancia, artículo 17: BOE-A-2021-11472, consultada el 5 de noviembre de 2026.