Chile: situación de ciberseguridad, septiembre 2026

Amenazas y campañas activas en Chile

Ransomware y extorsión en Chile

Septiembre mostró 17 casos con ransomware o extorsión como eje primario, con predominio de casos donde la fuente no permite distinguir con precisión si hubo cifrado, exfiltración o solo reclamación en leak site. En la práctica, el panorama estuvo dominado por la visibilidad pública de sitios de filtración y por algunos incidentes con impacto operativo real.

En la categoría de cifrado confirmado destaca Fosko. En la categoría de sola mención en leak site aparecen Forus, Tanner, Vigatec, S.A. Chile y otros casos vinculados por terceros o repositorios de seguimiento. En la categoría de tipificación no determinable quedan varios hechos donde el material no aclara si hubo cifrado, exfiltración o ambas cosas.

El caso del Hospital Clínico de la Universidad de Chile merece mención separada aunque no calce de forma perfecta con el resto de la taxonomía, porque la fuente habla de ciberataque con filtración médica y, en el ecosistema de seguimiento, se lo vinculó a ransomware. Para el análisis de riesgo, lo importante es que salud siguió siendo un objetivo de alto valor para actores de extorsión.

Fraude y phishing en Chile

Los 6 casos documentados de fraude o phishing confirman que septiembre fue un mes más activo en esta materia que agosto. El Banco Central alertó por un video deepfake que suplanta a su presidenta, la ANCI advirtió por abuso de OAuth Device Code Flow, T13 describió la modalidad de SIM swapping, y el CSIRT Nacional detectó campañas activas de suplantación de marcas.

A eso se suma la persistencia de la estafa bancaria que usa el RUT para bloquear cuentas y luego pedir códigos de verificación, además de la discusión pública sobre bots y desinformación. La combinación es relevante porque une ingeniería social clásica, abuso de identidad y automatización, sin depender de malware sofisticado.

APT y hacktivismo en Chile

No hubo en el material un caso claro que permitiera tipificar APT de forma sólida para septiembre. Sí hubo campañas de manipulación digital, bots, desinformación y operaciones coordinadas en redes, pero el corpus del período apunta más a fraude, extorsión y robo de datos que a una campaña APT clásica contra objetivos chilenos.

El contexto regulatorio y político sobre granjas de bots, deepfakes y manipulación de opinión pública sí es fuerte. Pero, con la evidencia disponible, conviene tratarlo como un frente de desinformación y automatización abusiva, no como una atribución APT consolidada.

Vulnerabilidades críticas con impacto en Chile

No se registraron CVEs críticos mencionados en el material chileno del período, pero sí hubo avisos relevantes en la región y en productos usados por organizaciones locales, sobre todo GitLab, Cisco, Ivanti, Fortinet y MikroTik.

Regulación y cumplimiento en Chile

Chile cerró septiembre con una agenda regulatoria densa en protección de datos, ciberseguridad, medios de pago y entornos digitales. La pieza más importante fue el Decreto N.° 662, publicado el 9 de septiembre, que aprueba el reglamento sobre modelos de prevención de infracciones en protección de datos personales previstos por la Ley 21.719.

Ese reglamento fija requisitos, modalidades y procedimientos para implementación, certificación, registro y supervisión de esos modelos. En paralelo, el Gobierno ingresó al Senado el proyecto que posterga por un año la entrada en vigor de la Ley 21.719, mientras el debate público siguió subrayando que la postergación aún no estaba aprobada al cierre del mes.

En el frente sectorial, la Ley Marco de Ciberseguridad 21.663 siguió aterrizando obligaciones para operadores de importancia vital y prestadores de servicios esenciales. El material del mes remarcó plazos de 3 horas para alerta temprana, 72 horas para primera evaluación y 15 días para el informe final, además de la obligación de reportar incidentes al CSIRT Nacional.

La regulación de pagos también siguió moviéndose. La CMF reforzó requisitos de autenticación y la discusión sobre la reforma MK4 reordenó responsabilidades frente a fraudes. Al mismo tiempo, la reserva de datos de vehículos usados en operaciones policiales encubiertas y los proyectos sobre manipulación digital, bots y deepfakes muestran una expansión del perímetro regulatorio sobre datos y contenidos.

Tabla de hitos regulatorios del mes

Implicancias para cumplimiento

La señal regulatoria del mes empuja a las organizaciones a revisar inventarios de datos, bases de legitimidad, controles de acceso, trazabilidad, retención y respuesta a incidentes. El material muestra que ya no alcanza con cumplir en un solo marco, porque un mismo evento puede activar obligaciones en datos personales, ciberseguridad y fraude financiero.

En banca y servicios de pago, la convergencia entre autenticación reforzada, presunción de culpa del usuario en ciertos casos y canales de fraude asistido por IA obliga a alinear legal, fraude, tecnología y seguridad. En salud y sector público, la presión viene por continuidad operacional, protección de datos sensibles y capacidad de notificación oportuna.

Sectores más afectados en Chile

Salud, finanzas, sector público y retail concentraron la señal más delicada del mes, aunque la distribución no fue exclusiva y varios hechos tocaron más de un sector a la vez. Salud destacó por el caso del Hospital Clínico de la Universidad de Chile y por la discusión sobre ransomware con alcances catastróficos. Finanzas estuvo bajo presión por fraude, autenticación y campañas de phishing.

En el sector público, Operación Rutify mostró una extracción masiva de información desde múltiples organismos. En retail, Forus aportó el caso de incidente contenido con impacto en canales de venta. En manufactura, Fosko mostró que el ransomware también sigue golpeando continuidad productiva, no solo sistemas administrativos.

También hubo señal en telecomunicaciones y plataformas digitales por el debate sobre interceptación, inhibidores, bots y deepfakes. Ese cruce importa porque amplía el universo de exposición más allá de los sectores tradicionalmente más sensibles y lleva el foco hacia reputación, identidad y contenidos.

La lectura sectorial de riesgo es que salud y finanzas siguen siendo los ámbitos con mayor presión combinada de confidencialidad, continuidad y regulación. Pero el mes dejó claro que gobierno digital, retail y manufactura tampoco están fuera del alcance de campañas oportunistas o de actores con objetivos de extorsión.

Tendencias y señales a monitorear en Chile

Comparado con agosto, septiembre mostró menos hechos verificados en total, menos incidentes sin tipificar y menos casos con ransomware o extorsión como eje primario. Sin embargo, subieron los casos de fraude o phishing documentados, de 2 a 6, y el tono del mes quedó más cargado hacia identidad, suplantación y campañas activas de engaño.

La tendencia regulatoria también cambió de forma. En agosto ya había presión por datos y ciberseguridad, pero en septiembre esa presión se concretó en reglamentos, proyectos en trámite, alertas técnicas y nuevas discusiones sobre responsabilidad. La Ley 21.719, la Ley Marco de Ciberseguridad y la normativa de autenticación reforzada siguieron marcando agenda.

En ransomware, la foto mensual muestra una baja respecto de agosto, aunque el problema no desapareció. Al contrario, siguió apareciendo en múltiples formatos, desde casos con cifrado confirmado hasta simples menciones en leak sites. Para seguimiento operativo, eso obliga a no sobrerreaccionar a cada reclamo, pero tampoco subestimar el patrón general.

La señal más importante a monitorear en octubre es la convergencia entre fraude, identidad y automatización. El caso del Banco Central, las alertas del CSIRT Nacional, SIM swapping y el abuso de OAuth muestran que el atacante no necesita necesariamente explotar un CVE para comprometer una cuenta, vaciar un canal o deteriorar la confianza.

Recomendaciones para equipos de seguridad en Chile

Revisar los procesos de respuesta a incidentes para que un mismo evento pueda disparar notificación técnica, legal y regulatoria sin duplicidades ni huecos. La combinación de Ley Marco de Ciberseguridad, futura autoridad de datos y obligaciones sectoriales exige playbooks coordinados y tiempos claros.

Priorizar controles de identidad. El material del mes muestra abuso de OAuth, SIM swapping, suplantación de marcas y deepfakes financieros. MFA resistente al phishing, validación de cambios sensibles por canales separados y monitoreo de anomalías de autenticación deberían estar arriba de la lista.

Endurecer la superficie expuesta en plataformas colaborativas y de desarrollo, en particular GitLab, y mantener un ciclo corto de parchado para software con explotación activa o fallas críticas recientemente corregidas. Aunque no hubo CVEs críticos chilenos del mes, sí hubo exposición indirecta relevante por proveedores y herramientas usadas localmente.

Separar de forma operativa los planes para cifrado, extorsión sin cifrado y leak sites. El material de septiembre dejó claro que no todo caso atribuido a ransomware equivale a una intrusión confirmada con impacto operativo. Esa distinción mejora la priorización y evita decisiones apresuradas.

Fortalecer inventario, clasificación y retención de datos personales, especialmente en salud, finanzas, retail y sector público. La Operación Rutify y el caso del Hospital Clínico de la Universidad de Chile muestran que el valor del dato sigue siendo el centro de gravedad del riesgo.

¿Qué diferencia hay entre los casos de ransomware de septiembre y los fraudes activos?

En septiembre hubo 17 casos con ransomware o extorsión como eje primario y 6 casos de fraude o phishing documentados. Los primeros incluyeron desde cifrado confirmado, como Fosko, hasta simples menciones en leak site, mientras los segundos se concentraron en suplantación, SIM swapping, deepfakes y abuso de autenticación.

¿Qué sectores deberían priorizar acciones inmediatas después de este mes?

Salud, finanzas, sector público y retail fueron los más tensionados por los hechos del período, aunque varios incidentes tocaron más de un sector. Salud por filtración médica, finanzas por fraude y autenticación, sector público por Rutify y retail por el caso Forus son las prioridades más claras.

¿Cómo se cruza la agenda regulatoria con los incidentes operativos?

El cruce es directo: la Ley 21.719 empuja controles sobre datos personales, la Ley Marco de Ciberseguridad exige reporte e incidentes, y la CMF profundiza autenticación y responsabilidades en fraudes. Un mismo evento puede activar obligaciones distintas según el tipo de dato, sistema y sector involucrado.

¿Por qué el informe insiste en distinguir leak site, exfiltración y cifrado?

Porque no tienen el mismo impacto operativo ni el mismo peso legal. Una mención en leak site puede ser solo una reivindicación, la exfiltración sin cifrado apunta a extorsión simple y el cifrado confirmado implica interrupción o degradación de servicios. Mezclarlos distorsiona la lectura del riesgo.

¿Qué debe mirar un equipo esta semana si opera en Chile?

Debe revisar MFA resistente al phishing, procedimientos de notificación cruzada, exposición de software crítico como GitLab, y planes de respuesta a fraude con identidad comprometida. También conviene validar inventarios de datos personales, porque septiembre mostró que la presión regulatoria y la presión técnica ya están superpuestas.

Limitaciones del material

Este informe se construyó exclusivamente con el material provisto para Chile en septiembre de 2026. La ventana temporal de los indicadores es la declarada al inicio, 62 hechos con fecha en septiembre de 2026, más 1 hecho sin fecha confirmada que quedó excluido de los indicadores. No se utilizó internet ni información externa.

Un indicador en 0, en especial CVEs críticos mencionados, significa que no apareció en el material analizado del período. No implica ausencia de vulnerabilidades críticas o explotación activa en la región. De hecho, el corpus sí incluye avisos relevantes fuera de Chile que sirven de contexto, pero no cambian el valor del indicador nacional.

Los hechos sin fecha confirmada pueden usarse solo como contexto cualitativo. En este caso, el material sin fecha no fue contado en los indicadores. Tampoco se incluyeron telemetrías agregadas ni intentos o bloqueos automatizados como si fueran incidentes.

Quedaron fuera del conteo las fuentes de consumo y los contenidos excluidos por criterio editorial cuando no estaban en la lista permitida, además de publicaciones de LinkedIn y otras redes sociales no habilitadas como evidencia. Donde una fuente presentó atribución incierta, el informe la trató como tal y evitó elevarla a confirmación.

Preguntas frecuentes

¿Qué cambió entre agosto y septiembre en ransomware, fraude y regulación en Chile?

Septiembre tuvo menos hechos totales que agosto, bajó el volumen de ransomware o extorsión y disminuyeron los incidentes sin tipificar, pero subieron los casos de fraude o phishing. Al mismo tiempo, la regulación ganó peso con el reglamento del Decreto 662, el proyecto de prórroga de la Ley 21.719 y nuevos proyectos sobre bots y deepfakes.

¿Qué relación hay entre el caso Rutify y el Hospital Clínico de la Universidad de Chile?

Ambos muestran el valor de los datos como objetivo central, pero responden a vectores distintos. Rutify fue una operación de extracción y comercialización masiva de datos desde múltiples organismos, mientras el hospital confirmó un ciberataque con filtración médica confidencial. Juntos explican por qué salud y sector público quedaron tan expuestos.

¿Qué deben priorizar bancos y fintech frente a lo visto este mes?

Deben reforzar autenticación resistente al phishing, revisar procesos de cambio de credenciales, monitorear SIM swapping y alinear respuesta legal y técnica ante fraude. El mes combinó deepfakes, campañas de suplantación, abuso de OAuth y ajustes regulatorios de la CMF, así que identidad y trazabilidad pasan al primer plano.

¿Por qué el informe no toma todas las menciones de leak sites como incidentes confirmados?

Porque muchas son solo reclamos de grupos de ransomware o trackers de terceros. Sin confirmación de la víctima, sin datos técnicos y sin evidencia de impacto operativo, el material debe tratarse como mención en leak site. Esa distinción evita inflar artificialmente la severidad del mes.

¿Qué señal regulatoria conviene seguir de cerca en octubre?

La entrada en vigor efectiva de la Ley 21.719 y la evolución del proyecto de prórroga, junto con la implementación del reglamento del Decreto 662. En paralelo, hay que seguir los desarrollos sobre fraude en medios de pago, reserva de datos policiales y proyectos vinculados a bots y contenidos generados por IA.

¿El 0 en CVEs críticos quiere decir que no hubo vulnerabilidades serias en la región?

No. Quiere decir que no aparecieron CVEs críticos en el material analizado para Chile en septiembre. El corpus sí incluye avisos críticos y explotación activa en otros países y productos, pero no se registraron como señal chilena del período dentro de la muestra usada para este informe.

Limitaciones del material

El alcance de este informe se restringe al material provisto para Chile y al período septiembre de 2026. Los indicadores se calculan solo con los 62 hechos fechados dentro del período, mientras que 1 hecho sin fecha confirmada quedó excluido de toda métrica. No hubo telemetría agregada disponible para convertir intentos o bloqueos en incidentes.

Un valor de 0 en un indicador, en particular en CVEs críticos mencionados, significa que no apareció en el material analizado del mes. No significa ausencia de vulnerabilidades o de explotación activa en la región. El corpus sí contiene referencias comparativas fuera de Chile, pero no se incorporan al conteo nacional.

Las fuentes excluidas por regla editorial no se usaron como evidencia, y las menciones en redes no habilitadas tampoco ingresaron al cuerpo analítico. Cuando una fuente presentó atribución incierta o metodología opaca, fue tratada como tal y no se elevó a confirmación directa.

El resultado final, por tanto, refleja lo que efectivamente quedó verificado en el conjunto documental provisto, no el universo completo de incidentes que pudieron ocurrir en Chile o en la región durante septiembre.