ANÁLISIS
Tres ayuntamientos de Londres, un solo ataque: el riesgo de los servicios compartidos
El 24 de noviembre de 2025 un ataque a los sistemas informáticos compartidos de Kensington and Chelsea, Westminster y Hammersmith and Fulham provocó un robo de datos y servicios aún parados ocho meses después. El análisis: una infraestructura para varios asegurados, el sector público como riesgo de cola larga y preguntas para las renovaciones.
Archivo: reconstrucción escrita en noviembre de 2026
Tema del mes de noviembre de 2025 · por cybercoverinsurance
El 24 de noviembre de 2025 un ciberataque afectó a los sistemas informáticos compartidos de tres ayuntamientos de Londres: Kensington and Chelsea, Westminster y Hammersmith and Fulham. Las líneas telefónicas, las webs y los servicios en línea fallaron, los ayuntamientos activaron sus planes de emergencia y el 1 de diciembre Kensington and Chelsea confirmó el robo de datos. Algunos servicios a los residentes seguían parados en julio de 2026.
Para quien asume el riesgo cyber el caso trata de los servicios compartidos: una infraestructura común, elegida para ahorrar, que une a varias entidades en el mismo incidente. El tema vale para el sector público, pero también para grupos empresariales, consorcios y redes de empresas que comparten sistemas.
Lo que se sabe
El ataque. Kensington and Chelsea y Westminster comparten servicios informáticos mediante acuerdos conjuntos, y Hammersmith and Fulham usa los mismos servicios. El 24 de noviembre la Policía Metropolitana recibió un aviso de un posible ataque. Los ayuntamientos activaron sus planes de continuidad y emergencia, dando prioridad a los residentes más vulnerables. El National Cyber Security Centre apoyó el aislamiento y la restauración de los sistemas (The Register).
Los datos. El 1 de diciembre Kensington and Chelsea declaró tener pruebas de que se habían sustraído algunos datos, que consideraba históricos, y advirtió de que podían hacerse públicos. Recomendó a quienes habían comprado servicios como permisos de aparcamiento que revisaran sus tarjetas y cuentas. Westminster indicó que la restauración completa llevaría varias semanas. Hammersmith and Fulham aisló su red y dijo no tener pruebas de que sus propios sistemas estuvieran comprometidos. Intervinieron la National Crime Agency y la autoridad de protección de datos (Fitzrovia News).
La auditoría. En su informe anual publicado en octubre de 2026, el auditor Grant Thornton señaló como causa un phishing exitoso y detectó debilidades significativas de gobernanza. Algunos servicios a los residentes seguían fuera de servicio en julio de 2026. La desconexión de los sistemas creó atrasos y redujo los ingresos por pagos de los residentes. El auditor recomendó un plan de actualización de los sistemas con costes y prioridades, el mismo peso para la prevención y la respuesta, y más formación contra el phishing (Local Government Lawyer).
Lo que no se sabe. No se han hecho públicos el coste del ataque, la posible existencia de una cobertura de seguro ni el número de residentes cuyos datos se sustrajeron. El autor no ha sido identificado públicamente.
Una infraestructura, tres asegurados
El ahorro crea dependencia. Los servicios compartidos reducen los costes informáticos de las entidades. Pero un incidente en una infraestructura común afecta a todas las entidades que la usan. Para quien asume el riesgo, tres ayuntamientos que comparten la informática no son tres riesgos independientes.
Aislarse deprisa reduce el daño. Hammersmith and Fulham aisló su red y no encontró pruebas de que sus propios sistemas estuvieran comprometidos (Fitzrovia News). La capacidad de separarse rápidamente de una infraestructura compartida es el control que distingue a una entidad atacada de una parada por precaución.
Quién es el asegurado cuando los sistemas son de todos. Con un servicio compartido, la pregunta de quién gestiona los sistemas, quién responde y qué póliza paga no tiene una respuesta evidente. Los acuerdos entre entidades deberían resolverlo antes del incidente, no después.
El sector público como riesgo de cola larga
Ocho meses para volver a la normalidad. Algunos servicios seguían fuera de servicio en julio de 2026 (Local Government Lawyer). Para una entidad local el daño no es solo el coste técnico, sino los retrasos, los servicios sustitutivos y los ingresos perdidos. El periodo de indemnización típico de una póliza puede ser más corto que la recuperación real.
Sistemas viejos, recuperación lenta. El auditor vinculó la duración de la recuperación a la necesidad de reforzar los sistemas informáticos del ayuntamiento (Local Government Lawyer). Para quien asume el riesgo, la obsolescencia de los sistemas es un indicador de la duración del siniestro, además de su probabilidad.
El phishing sigue siendo la puerta de entrada. La causa indicada es un phishing exitoso. Las recomendaciones del auditor se centran en la formación. Para el cuestionario, el dato útil no es si existe formación, sino con qué frecuencia se imparte, cuántos la completan y si hay simulaciones.
Qué llevar a las renovaciones
Impacto para las aseguradorasMedio
Un phishing exitoso en una infraestructura informática compartida afectó a tres ayuntamientos de Londres, con robo de datos y servicios aún parados ocho meses después.
En cuanto a la cartera, el caso sugiere tratar a las entidades que comparten servicios informáticos como un único riesgo a efectos de cúmulo. Lo mismo vale para grupos empresariales y redes de empresas con sistemas comunes: el número de asegurados no dice cuántas infraestructuras distintas hay realmente.