Chile: situación de ciberseguridad, octubre 2026

Amenazas y campañas activas en Chile

Octubre dejó una mezcla de ransomware, fraude y señales de extorsión que no deben leerse como una sola categoría. El mes tuvo dos casos con cifrado confirmado, uno con sola mención en leak site y uno donde la fuente no permitió determinar si hubo cifrado, además de un bloque sólido de phishing y vishing asistido por inteligencia artificial.

Ransomware con cifrado confirmado: Huatacondo y el caso de LD Constructora

El material del mes confirma dos situaciones con cifrado de activos o indisponibilidad prolongada asociada a un ciberataque. Huatacondo es el caso más claro por su efecto operativo sostenido sobre infraestructura eléctrica, mientras el entorno de LD Constructora aparece en cobertura vinculada a una reivindicación atribuida a Qilin, aunque sin evidencia pública suficiente para cerrar la cadena técnica.

En el caso de LD Constructora, AllDefense Chile señaló que no había confirmación pública de ANCI, CSIRT de Gobierno ni de la propia empresa que corroborara la reivindicación. Por eso, el expediente debe leerse como un reclamo de ransomware con verificación incompleta, no como una intrusión plenamente demostrada.

Ransomware en leak site: Aerotop y ANWO

Aerotop fue listada en el sitio de filtraciones de Qilin el 23 de octubre. La inclusión en un leak site no prueba por sí sola acceso inicial, cifrado ni exfiltración, pero sí indica que el reclamo existe y merece monitoreo.

ANWO también fue incorporada a una reivindicación atribuida a SafePay. En ambos casos, el material disponible no confirma impacto operacional ni el volumen o naturaleza de los datos comprometidos. La diferencia entre reclamo y brecha verificada es central aquí, porque el mes tuvo varios ejemplos de extorsión declarada pero con respaldo desigual.

Ransomware con tipificación no determinable: el caso reportado por Entel Digital

Un reporte de Entel Digital citado por la prensa local mencionó 55 víctimas de ransomware en Chile entre enero de 2025 y septiembre de 2026, 18 de ellas en infraestructura crítica. El material no permite aislar qué parte corresponde a cifrado, a exfiltración o a reivindicación sin impacto verificado dentro del corte mensual de octubre.

El valor de ese dato está en el mapa sectorial, no en la atribución de un caso específico de octubre. Deja ver una concentración persistente en transporte y logística, energía, combustibles, agua y saneamiento, además de salud y gobierno, pero no reemplaza la lectura de incidentes puntuales.

Fraude, phishing y vishing asistidos por IA

El bloque de fraude fue uno de los más consistentes del mes. La PDI advirtió que la inteligencia artificial hace más creíbles los mensajes de phishing y permite suplantar identidades durante videollamadas mediante imágenes, audios o videos manipulados en tiempo real. Esa línea se repitió en varias coberturas y apunta a una modalidad de engaño más personalizada y más difícil de detectar por el usuario final.

Mundo en Línea, ITsitio Chile y ADN Radio añadieron el dato de que, según Infobip, el 71% de los fraudes de phishing detectados en Chile correspondía a vishing potenciado por IA. La cifra no describe un incidente aislado del país, sino una tendencia de canal y técnica que ayuda a entender por qué el phishing siguió apareciendo entre los hechos del mes.

SIM swapping, clonación de voz y páginas falsas

Conadecus explicó cómo el phishing puede ser un paso previo al SIM swapping, una cadena que termina con el control del número telefónico y la interceptación de códigos de verificación. T13 y BioBioChile también reforzaron esa advertencia al describir la modalidad que deja sin señal al celular de la víctima.

El material del mes sumó advertencias sobre páginas falsas que imitan tiendas, canales de soporte fabricados y el uso de voces clonadas para hacerse pasar por bancos, jefes o familiares. En conjunto, no son solo variantes del mismo fraude, sino una caja de herramientas que combina ingeniería social, automatización y reutilización de datos expuestos.

Vulnerabilidades críticas con impacto en Chile

Chile publicó y siguió durante octubre una alerta relevante sobre PHP que, aunque no se ancla a una víctima local concreta, sí impacta el ecosistema nacional por exposición de servicios web y componentes empresariales. El punto más sensible no es solo la existencia de los CVE, sino su explotación activa y la necesidad de parcheo inmediato.

La alerta de ANCI recomendó aplicar inmediatamente las actualizaciones disponibles. CISA y el Centro Canadiense para la Ciberseguridad confirmaron explotación conocida, y Unit 42 describió ejecución remota sin autenticación en una cadena que puede terminar en shells y persistencia. Para Chile, la implicancia es directa en todo activo expuesto a Internet que dependa de PHP, especialmente cuando no puede parchearse con rapidez.

Regulación y cumplimiento en Chile

La agenda regulatoria de octubre fue intensa y mostró un Estado que sigue empujando controles más concretos sobre datos, compras públicas y autenticación. El mes no cerró con una única reforma, sino con varias piezas que avanzan en paralelo y que ya obligan a los equipos a mirar cumplimiento y ciberseguridad como un mismo frente.

El Senado avanzó con el proyecto que posterga la entrada en vigencia de la Ley 21.719 de Protección de Datos Personales hasta el 15 de octubre de 2027, aunque todavía no había una entrada en vigor definitiva al cierre del mes. El objetivo declarado fue dar más tiempo de adaptación a empresas, organismos públicos y a la futura Agencia de Protección de Datos Personales.

La propuesta también contempla ampliar de tres a cinco los consejeros del Consejo Directivo de la Agencia. Eso importa no solo por gobernanza, sino porque la implementación de una ley de datos depende de capacidad institucional, reglas técnicas y fiscalización real, tres piezas que no siempre avanzan al mismo ritmo.

ChileCompra, por su parte, aprobó la Directiva de Contratación Pública N.º 47/2026, elaborada con la ANCI, para incorporar ciberseguridad en compras públicas que involucren sistemas, datos personales o información institucional sensible. El documento incluye 17 modelos de cláusulas referenciales sobre confidencialidad, notificación de incidentes, accesos, auditorías y restitución de información.

En el frente financiero, la CMF siguió actuando sobre deficiencias de manejo de información y sobre la comercialización de productos no inscritos. También se mantuvo el debate sobre autenticación reforzada y mecanismos de identidad, con una consulta pública de ANCI sobre MFA y con referencias al sandbox Atena de la CMF para probar integraciones del Sistema de Finanzas Abiertas.

Sectores más afectados en Chile

La distribución sectorial del mes confirma que Chile sigue viendo el riesgo más serio donde convergen operación continua, datos sensibles y dependencia de terceros. Energía, finanzas, salud y administración pública aparecen una y otra vez, aunque con formas distintas de impacto y con distintos niveles de evidencia técnica.

En energía, el caso Huatacondo sigue siendo el más nítido por su duración y por la referencia explícita a ciberataque en la bitácora del Coordinador Eléctrico Nacional. Ese episodio le da al sector una visibilidad que no depende de volumen, sino de criticidad operativa. No hace falta que haya muchos casos para que uno solo condicione la lectura del mes.

En finanzas, el daño fue más disperso. Hubo denuncias de la CMF, discusión sobre fraude documental y advertencias sobre suplantación asistida por IA. El bloque financiero no se destacó por grandes compromisos técnicos confirmados, sino por la capacidad de los atacantes o estafadores para aprovechar procesos digitales, validaciones débiles y canales de atención falsos.

Salud quedó tensionada por la filtración del Hospital Clínico de la Universidad de Chile y por el ruido que generan las reivindicaciones no confirmadas. En este sector, el problema no es solo el robo de información, sino el efecto reputacional y operativo que tiene cualquier duda sobre continuidad, resguardo de credenciales y acceso a sistemas clínicos.

En administración pública y compras estatales, la señal fue de maduración regulatoria. La directiva de ChileCompra, la discusión de la ley de datos y la consulta de ANCI sobre autenticación multifactor dibujan un Estado que intenta estandarizar exigencias antes de que los incidentes o las brechas lo obliguen a hacerlo de forma reactiva.

Tendencias y señales a monitorear en Chile

El cambio más claro frente al mes anterior fue la caída de ransomware como eje principal, de 17 hechos sobre 62 a 4 sobre 44. También bajaron los casos de fraude o phishing documentados, de 6 a 3, y los movimientos regulatorios, de 11 a 9. La tendencia, sin embargo, no es de alivio simple, sino de recomposición del riesgo.

La amenaza predominante pasó de ransomware a incidentes sin tipificar. Eso sugiere que octubre tuvo más ruido operativo y menos casos de extorsión con atribución pública clara. Para un equipo de seguridad, el dato relevante es que la superficie de riesgo no se redujo, solo cambió el tipo de evidencia que llegó a la prensa y a los registros públicos.

La otra señal a seguir es la explotación activa de PHP. Aunque el material no vincula los CVE a una víctima chilena concreta, la existencia de alertas locales y la confirmación internacional de explotación conocida elevan el valor práctico de ese hallazgo.

También conviene monitorear el frente de identidad digital. Octubre mostró que fraude bancario, SIM swapping, phishing asistido por IA y páginas falsas ya no están separados por compartimentos, sino encadenados. El mes anterior ya había mostrado presión sobre credenciales; octubre agregó herramientas más creíbles para obtenerlas y reutilizarlas.

En regulación, la señal a vigilar es si el avance legislativo se traduce en implementación real. El Senado movió la ley de datos, pero aún queda el tramo de normas, capacidades y fiscalización. ChileCompra y ANCI, por su parte, dejaron claro que la exigencia técnica se va a mover hacia cláusulas, procesos y autenticación más robusta.

Recomendaciones para equipos de seguridad en Chile

Los equipos en Chile deberían priorizar tres frentes inmediatos. El primero es parchado y exposición web, especialmente en entornos PHP y servicios publicados a Internet. El segundo es identidad y fraude, con controles reforzados sobre MFA, verificación fuera de banda y procedimientos antifraude para canales de atención y pagos. El tercero es continuidad operacional en activos críticos, sobre todo donde una falla técnica puede arrastrar telecomunicaciones, energía o procesos administrativos.

En términos prácticos, conviene revisar qué sistemas usan PHP y si existen versiones expuestas sin actualización reciente. Para las organizaciones con componentes web críticos, no alcanza con aplicar parches; también hay que reducir superficie, aislar servicios expuestos y monitorear señales de postexplotación, como shells, descargas anómalas o ejecución en directorios escribibles.

En fraude y phishing, la recomendación es tratar la IA como multiplicador de credibilidad del engaño, no como ruido pasajero. Hay que reforzar los flujos de validación de identidad, entrenar a los equipos de atención y back office, y diseñar respuestas para llamadas o videollamadas que aparenten urgencia pero no pasen por canales oficiales verificados.

En el sector público y en proveedores del Estado, la Directiva 47/2026 de ChileCompra debería usarse como piso, no como trámite documental. Las cláusulas de notificación, confidencialidad, auditoría y restitución de información sirven si se conectan con responsables internos, pruebas periódicas y criterios de riesgo aplicados al contrato real.

Finalmente, en infraestructura crítica, octubre deja una señal operativa simple: no confiar en que un único entorno aislado absorba el impacto de una interrupción. La continuidad eléctrica, la resiliencia de comunicaciones y la trazabilidad de incidentes tienen que probarse juntas, porque el mes mostró que las fallas rara vez se quedan dentro de un solo sistema.

Preguntas frecuentes

¿Qué cambió entre septiembre y octubre en Chile sobre la amenaza dominante?

En septiembre predominó ransomware, mientras que en octubre la amenaza principal pasó a ser incidentes sin tipificar. La base también cambió de 62 a 44 hechos verificados, con menos casos de ransomware, menos phishing y menos movimientos regulatorios, pero con continuidad de la presión sobre energía, datos y fraude digital.

¿Qué casos de ransomware quedaron mejor respaldados y cuáles no?

Huatacondo quedó respaldado como indisponibilidad prolongada asociada a un ciberataque, mientras que LD Constructora, ANWO y Aerotop aparecen como reclamos o listados en leak sites sin confirmación técnica completa. El informe distingue entre cifrado confirmado, sola mención en leak site y tipificación no determinable, porque no todos los reclamos prueban intrusión efectiva.

¿Por qué la alerta de PHP importa si no hubo una víctima chilena identificada?

Porque la alerta de ANCI, junto con CISA y el Centro Canadiense para la Ciberseguridad, confirmó explotación activa de CVE-2026-109618 y CVE-2026-109619. Eso afecta a cualquier organización chilena con servicios PHP expuestos, aunque el material del mes no identifique una víctima local concreta. La sección de vulnerabilidades resume el riesgo técnico.

¿Cómo se conectan los fraudes financieros con las medidas regulatorias de octubre?

Se conectan por la necesidad de probar identidad, autenticación y trazabilidad. La CMF sancionó y denunció casos ligados a manejo deficiente de información y créditos online presuntamente fraudulentos, mientras ChileCompra y la ANCI avanzaron en cláusulas, MFA y reglas de seguridad. El cruce entre fraude y regulación aparece en los bloques de amenazas y cumplimiento.

¿Qué sector debería mirar primero un CISO chileno después de este mes?

Energía, seguido por finanzas y salud. Energía quedó marcada por Huatacondo y por la persistencia de impacto operativo, finanzas por la presión de fraude, phishing y control de identidad, y salud por la filtración del Hospital Clínico de la U. de Chile. La distribución sectorial del informe muestra por qué esos tres frentes concentran la prioridad.

¿La caída de casos respecto de septiembre significa menos riesgo real?

No necesariamente. Bajó el número de hechos verificados y cambió la composición, pero no desaparecieron los incidentes ni la explotación activa de vulnerabilidades. Además, un indicador en cero o sin comparativa no significa ausencia de riesgo en la región, solo ausencia de registro en el material analizado para este mes.

Limitaciones del material

Este informe se elaboró exclusivamente con el material provisto para Chile en octubre de 2026. La ventana temporal de los indicadores fue de 44 hechos con fecha en octubre de 2026, más 2 hechos de meses anteriores usados solo como marco comparativo y no como volumen del mes. No se usó internet ni fuentes fuera de la lista autorizada.

Un indicador en 0, especialmente en CVEs o en categorías sin dato comparable, significa que no apareció en el material analizado de este período, no que el fenómeno no exista en la región. Del mismo modo, la presencia de un reclamo en un leak site no equivale por sí sola a una brecha confirmada, ni una telemetría de vendor se contabiliza como incidente si no hay evidencia de intrusión.

Se excluyeron del conteo los hechos sin fecha confirmada y no se usó telemetría agregada, porque el material no incluyó cifras de intentos o bloqueos. Tampoco se tomaron como evidencia válida redes sociales de consumo ni publicaciones de LinkedIn, Facebook, Instagram, TikTok, Threads o Reddit. Cuando una fuente era comercial, promocional o un publirreportaje, se evitó usarla como base para tendencias y solo se la mencionó cuando el material la trataba como afirmación atribuida.