Chile: situación de ciberseguridad, julio 2026

Indicadores del período en Chile

Incidentes relevantes en Chile

Ministerio de Transportes y Telecomunicaciones, incidente aún no confirmado

El 4 de julio se reportó un supuesto incidente de ciberseguridad que habría afectado la infraestructura del Ministerio de Transportes y Telecomunicaciones. La cobertura citó a Vecert Analyzer y a VECERT Radar, que catalogaron el caso como allegedly, unconfirmed. También se mencionó una base de datos con más de 100.000 registros y datos personales y laborales, pero el material disponible no permite afirmar impacto confirmado ni atribución validada por una autoridad chilena.

Campaña de smishing con suplantación de organismos públicos y empresas

El 29 de julio, CronUp describió una campaña masiva de smishing en expansión en Chile. Los mensajes SMS llevaban a enlaces maliciosos que imitaban a organismos públicos y empresas. El caso importa porque conecta con dos patrones del mes, el robo de credenciales y la explotación de confianza en comunicaciones urgentes o aparentemente oficiales.

Estafas digitales durante el sistema frontal

El 21 de julio, ADN Radio alertó sobre mensajes fraudulentos relacionados con falsos bonos y supuestos cortes de servicios durante el sistema frontal. La pieza es relevante porque muestra cómo el contexto climático se usa como anzuelo para fraude. No hubo un solo vector técnico dominante, sino la reutilización de urgencia social como mecanismo de captura.

Vishing bancario y respuesta coordinada del sistema financiero

Entre el 23 y el 28 de julio, varios medios chilenos dieron cuenta de alertas bancarias frente al vishing. El mensaje fue consistente, ningún banco está autorizado a pedir claves, contraseñas o códigos por teléfono. La señal operativa es clara, los atacantes siguen usando voz, presión y suplantación para saltar controles humanos más que controles tecnológicos.

Amenazas y campañas activas en Chile

Ransomware y extorsión con impacto primario

En julio se documentaron 9 casos con ransomware o extorsión como eje primario. El material no siempre permite distinguir si hubo cifrado, exfiltración sin cifrado o solo presencia en un sitio de filtraciones. En 1 caso, la fuente describe exfiltración sin cifrado. En 8, la tipificación no puede determinarse con precisión a partir del material provisto.

Sola mención en leak site, sin impacto verificado

El ecosistema de ransomware mostró reclamos contra víctimas chilenas, entre ellas Grupo Minero Las Cenizas y Hardware Asesorías Software Ltda. Sin embargo, en los casos citados aquí el material de julio no permite afirmar un impacto operativo confirmado dentro de Chile. En un caso, la fuente atribuye una supuesta filtración a un grupo y la marca como unconfirmed claim. En otro, la ficha aparece en rastreadores especializados, pero la relación con infraestructura chilena o con una intrusión efectiva no queda demostrada por la evidencia provista.

Fraude y phishing

El mes dejó 7 casos documentados de fraude o phishing. La mayor parte se articuló en torno a suplantación de bancos, organismos públicos y servicios de interés ciudadano. En Chile, la ingeniería social sigue funcionando porque apunta a la decisión rápida, no a la debilidad técnica del perímetro. La campaña de vishing y el smishing de fin de mes son la misma familia de riesgo, aunque cambien el canal y el pretexto.

APT, intrusión oportunista y ciberinteligencia

El caso del Ministerio de Transportes y Telecomunicaciones no puede etiquetarse como intrusión confirmada. Sí funciona como señal de ciberinteligencia que merece seguimiento. El material disponible no aporta TTPs oficiales ni IoCs reutilizables, por lo que no corresponde llevarlo a una categoría de APT. Aun así, suma presión al sector público y muestra que los actores de amenaza siguen observando infraestructura estatal chilena como objetivo de alto valor.

Vulnerabilidades críticas con impacto en Chile

Regulación y cumplimiento en Chile

La regulación fue el eje predominante del mes. La Agencia Nacional de Ciberseguridad dictó la Resolución Exenta N° 187 y cerró la segunda etapa del primer proceso de calificación de Operadores de Importancia Vital. Eso dejó 239 nuevas entidades bajo un régimen reforzado de seguridad, continuidad, reporte y supervisión. La lista no es cosmética, reordena obligaciones para sectores enteros y traslada la ciberseguridad a la estructura de gobierno corporativo.

La Ley Marco de Ciberseguridad quedó mejor delimitada en términos operativos. Las instituciones esenciales y los OIV deben notificar incidentes significativos al CSIRT Nacional con una alerta temprana en hasta 3 horas, una actualización en 72 horas y un informe final en 15 días. Cuando el hecho compromete servicios esenciales de un OIV, la actualización debe llegar en un máximo de 24 horas. La norma también contempla sanciones graduadas y topes más altos para operadores vitales.

La nueva Ley 21.719 de Protección de Datos Personales apareció como un segundo frente regulatorio. En julio, varias coberturas la trataron como ya vigente o en plena fase de despliegue. El material disponible describe obligaciones de levantamiento de tratamientos, análisis de brechas, base legal, acciones correctivas y notificación a la futura Agencia de Protección de Datos y a los titulares en un plazo acotado cuando la brecha implique riesgo. Para bancos, fintech y comercios con medios de pago, eso significa más carga documental y menos margen para improvisar.

El proyecto de deepfakes agrega otra capa. Su discusión no se limita a contenidos falsos, sino que cruza integridad digital, consentimiento, trazabilidad y responsabilidad de plataformas. Las obligaciones sobre etiquetado visible, canales de denuncia y retiro en 72 horas muestran una tendencia a exigir respuestas procedimentales concretas, no solo principios generales.

Sectores más afectados en Chile

La distribución sectorial del mes mostró a gobierno, finanzas, salud, energía y minería como los espacios más visibles en la evidencia acumulada. No significa que sean los únicos afectados, porque un mismo hecho puede tocar más de un sector, pero sí marca dónde se concentró la señal. La combinación de incidentes gubernamentales, fraude bancario, alertas sanitarias y exposición de infraestructura crítica sugiere un país con riesgos distribuidos, aunque no homogéneos.

Gobierno aparece por partida doble, como blanco histórico de incidentes y como foco de la nueva arquitectura regulatoria. La supuesta filtración del Ministerio de Transportes y Telecomunicaciones refuerza esa exposición, aunque sin confirmación oficial. Finanzas, por su parte, quedó atravesado por tres fuerzas distintas: fraude al cliente, nuevos requisitos de autenticación reforzada y presión por cumplimiento de datos personales. Es un sector que no solo enfrenta ataques, sino también una obligación creciente de demostrar controles efectivos.

Salud y servicios básicos siguen siendo sensibles por la calidad de datos que administran y por el impacto social de una interrupción. El marco de OIV amplía esa sensibilidad hacia agua, transporte, combustibles, telecomunicaciones e infraestructura digital. Ese cambio es clave, porque convierte a sectores tradicionalmente vistos como de soporte en objetivos centrales para la resiliencia nacional.

La lectura práctica es que Chile dejó de pensar la ciberseguridad solo como defensa del perímetro corporativo. El mes mostró, una vez más, que la exposición real nace de la interdependencia entre datos, servicios, identidad digital y continuidad operacional. Cuando esos cuatro componentes se cruzan, el impacto no se limita al TI. Se traslada al negocio, al usuario final y al Estado.

Tendencias y señales a monitorear en Chile

No hay baseline comparativo para casi todos los indicadores del período, así que no corresponde inventar una tendencia intermensual donde el material no la da. Sí se puede observar una tendencia cualitativa robusta, julio fue más regulatorio que los meses previos en el material disponible y más explícito en la imposición de obligaciones a sectores críticos.

La principal señal a seguir es la ejecución real de la Ley Marco de Ciberseguridad. Julio mostró el pasaje desde la norma hacia la administración concreta del régimen, con nóminas finales, resoluciones y guías. Eso debería traducirse en más auditoría, más reportes y más exigencia de continuidad. Si los OIV no maduran sus capacidades, el desajuste regulatorio se va a volver visible rápido.

Otra señal es el endurecimiento del fraude de identidad. El vishing, el smishing y las estafas oportunistas vinculadas a coyunturas sociales o climáticas muestran una economía del engaño cada vez más profesionalizada. No hace falta una vulnerabilidad técnica sofisticada para generar daño. Basta una cadena de confianza mal resuelta.

También habrá que mirar el efecto de la nueva Ley de Datos y del proyecto de deepfakes sobre plataformas, proveedores y empresas que usan IA generativa en atención al cliente, marketing o validación de identidad. El cruce entre automatización y cumplimiento ya no es teórico. Empieza a condicionar contratos, procesos internos y exposición reputacional.

Finalmente, conviene seguir la relación entre alertas de vulnerabilidades explotadas activamente y el inventario nacional de activos críticos. OpenSSH, Ivanti, ColdFusion, Citrix y SharePoint no son casos aislados en el reporte. Son recordatorios de que el parcheo sigue siendo una obligación operativa de primer orden, especialmente donde hay exposición a internet y servicios esenciales.

Recomendaciones para equipos de seguridad en Chile

1. Revisar de inmediato si la organización fue incluida como Operador de Importancia Vital y, en ese caso, alinear gobierno, respuesta y continuidad con los plazos de 3 horas, 72 horas y 15 días.
2. Validar los flujos de notificación con CSIRT, legal, continuidad y relaciones institucionales. El mayor riesgo en un incidente regulado no suele ser solo técnico, también es de coordinación.
3. Reforzar antifraude y verificación fuera de banda para vishing, smishing y suplantación de organismos públicos. No confiar en el canal que el atacante controla.
4. Priorizar parcheo y exposición en servicios publicados a internet. El material del mes deja varios ejemplos de explotación activa o conocida en plataformas de uso extendido.
5. Si la organización usa IA generativa o publica contenidos sintéticos, preparar trazabilidad, etiquetado y procedimientos de retiro o corrección antes de que la norma los exija de forma más estricta.
6. Verificar que los equipos de respuesta tengan criterios para clasificar incidentes sin sobreactuar rumores de filtración, pero sin desestimar señales tempranas de ciberinteligencia.
7. Asegurar inventario actualizado de activos críticos, especialmente en transportes, combustibles, salud, telecomunicaciones y servicios digitales, porque el cambio regulatorio chileno ya los trata como superficies de riesgo sistémico.

Limitaciones del material

Este informe se construyó exclusivamente con el material provisto para julio de 2026 y con la ventana temporal declarada por los indicadores, 70 hechos con fecha en julio 2026 y 5 posteriores excluidos del cómputo. Los hechos de otros meses solo se usaron cuando la comparación estaba expresamente permitida y siempre con mes explícito.

Un indicador en 0, en especial el de CVEs críticos mencionados, significa que no se registraron en el material analizado durante julio de 2026. No implica ausencia de vulnerabilidades críticas o explotación activa en la región. De hecho, el material sí contiene alertas sobre OpenSSH, Ivanti, Citrix, ColdFusion, SharePoint y SonicWall, pero no se contabilizaron como CVEs críticos en el indicador mensual por la forma en que fueron consolidados.

También quedan fuera del volumen las cifras de telemetría agregada, como intentos o bloqueos automatizados. En este mes se mencionaron 8,8 billones de intentos de ciberataque en 2025 según SEK y ADN Radio, pero esa cifra es telemetría de volumen, no incidentes confirmados con impacto. No se sumó a los incidentes del período.

El material disponible excluyó fuentes que no están en la lista autorizada para citar, incluidas redes sociales de consumo, publicaciones en LinkedIn y contenido patrocinado o puramente comercial. Cuando alguna pieza ofreció datos no confirmados, el informe los trató como tales y evitó convertirlos en hechos cerrados. Eso es especialmente importante en los casos de supuestas filtraciones y reclamos de ransomware, donde la evidencia pública no siempre alcanza para confirmar intrusión, cifrado o exfiltración.