La ciberseguridad en Chile entró en una fase distinta con la Ley Marco de Ciberseguridad (Ley 21.663), publicada a comienzos de 2024, que crea la Agencia Nacional de Ciberseguridad (ANCI) y obliga a los operadores de servicios esenciales a reportar incidentes y a cumplir estándares mínimos. Para una empresa que opera en el país, esto significa dos cosas concretas: las amenazas que golpean a la región – ransomware, fraude por correo, robo de credenciales – siguen creciendo, y ahora existe un marco legal que exige preparación y notificación. Esta guía explica qué está pasando, qué obliga la ley y por dónde empezar.

Este texto es orientación general para directivos y profesionales fuera del equipo de seguridad. No sustituye una auditoría, asesoría legal de cumplimiento ni una respuesta a incidentes ajustada a tu entorno.

El panorama de amenazas en Chile: qué golpea de verdad

Chile es una de las economías más digitalizadas de América Latina, con banca en línea muy extendida, comercio electrónico maduro y una alta penetración de servicios públicos digitales. Esa madurez atrae exactamente el tipo de ataque que busca rentabilidad rápida.

Los patrones dominantes no son exóticos. El fraude por correo electrónico – suplantación de proveedores, facturas falsas, compromiso de cuentas corporativas – sigue siendo la vía de entrada más frecuente porque es barato para el atacante y depende de que una persona haga clic o transfiera dinero. El ransomware, que cifra los sistemas y exige pago, ha afectado a organizaciones chilenas de todos los tamaños, incluidas entidades públicas y empresas de infraestructura. Y el robo de credenciales, muchas veces mediante campañas de phishing dirigidas a usuarios de bancos y servicios estatales, alimenta un mercado clandestino de accesos.

Un rasgo local que conviene entender: los atacantes adaptan sus cebos al contexto chileno. Usan referencias a instituciones reconocibles, calendarios tributarios, procesos de devolución de impuestos y organismos de gobierno para dar verosimilitud al engaño. La ingeniería social funciona porque imita lo cotidiano, no porque sea sofisticada técnicamente.

Si quieres una base sobre cómo se clasifican y priorizan estos vectores, revisa nuestra guía completa de amenazas de ciberseguridad y el repaso de las principales amenazas de ciberseguridad.

Los ataques de ciberseguridad en Chile más relevantes para una empresa

No todas las amenazas pesan igual según el tamaño y el rubro. Para una pyme o una empresa mediana chilena, cuatro categorías concentran la mayor parte del riesgo real.

Fraude del CEO y compromiso de correo corporativo. El atacante estudia la organización, suplanta a un directivo o a un proveedor conocido y solicita una transferencia urgente o el cambio de datos bancarios de pago. El daño es directo y a menudo irrecuperable. La defensa no es técnica sino de proceso: verificación por un segundo canal antes de mover dinero, y una regla clara de que ninguna urgencia salta ese control.

Ransomware. Además del cifrado, hoy la modalidad habitual incluye la extorsión doble: el atacante roba datos antes de cifrar y amenaza con publicarlos. Para una empresa chilena esto implica no solo interrupción operativa, sino posible exposición de datos personales de clientes, con las consecuencias legales que eso conlleva bajo la normativa de protección de datos.

Phishing y robo de credenciales. Es el punto de entrada más común hacia todo lo demás. Una credencial robada de un empleado puede abrir el correo, el sistema contable o el acceso remoto. El uso de autenticación multifactor reduce drásticamente el impacto de una contraseña filtrada, aunque no lo elimina.

Ataques a la cadena de suministro. Muchas empresas medianas dependen de proveedores de software y servicios en la nube. Un compromiso en un proveedor puede propagarse a sus clientes. Aquí la defensa pasa por saber qué proveedores tienen acceso a tus sistemas y datos, y exigirles requisitos mínimos.

Frente a una URL sospechosa recibida por correo o mensajería, un escáner de URL de phishing permite evaluarla antes de hacer clic, y consultar una base de datos de amenazas ayuda a reconocer patrones ya identificados. Ninguna herramienta reemplaza el criterio, pero acortan la distancia entre la duda y la decisión.

La Ley Marco de Ciberseguridad: qué cambia para tu organización

La Ley 21.663 establece obligaciones que antes eran voluntarias. Sus piezas centrales son:

  • La creación de la Agencia Nacional de Ciberseguridad (ANCI) como autoridad rectora, con potestad para dictar normas técnicas, fiscalizar y sancionar.
  • La categoría de operadores de importancia vital y de servicios esenciales, sujetos a deberes reforzados de seguridad y a la obligación de reportar incidentes.
  • Un deber de notificación de incidentes con plazos definidos, canalizado hacia el CSIRT Nacional.
  • Un régimen de sanciones por incumplimiento, que da peso real a la norma.

La aplicación práctica se despliega de forma gradual mediante reglamentos y normas técnicas. Por eso conviene no fiarse de resúmenes de segunda mano: confirma el estado vigente y las obligaciones concretas que te aplican en la Biblioteca del Congreso Nacional de Chile (BCN), que publica el texto oficial de la ley, y sigue las comunicaciones oficiales de la ANCI y del CSIRT del Gobierno de Chile, que emite alertas y recomendaciones técnicas.

La pregunta que más se repite es si una pyme está obligada. La respuesta corta: depende de si presta un servicio calificado como esencial o vital. Muchas pequeñas empresas no caen directamente en esas categorías, pero sí como proveedoras de quienes sí lo están – y ahí las obligaciones llegan por contrato. En la práctica, tratar la ley como el estándar mínimo hacia el que moverse es más sensato que esperar a saber si te aplica literalmente.

Cómo se defiende una empresa chilena en la práctica

La defensa efectiva no empieza por comprar tecnología, sino por entender qué tienes y qué te dolería perder. Este orden importa.

Primero, saber qué proteges

No puedes proteger lo que no conoces. Un inventario de sistemas, datos y accesos – quién puede entrar a qué, qué información sensible manejas, qué depende de proveedores externos – es el punto de partida de todo. A partir de ahí se construye un análisis de riesgos de ciberseguridad que ordena las decisiones por impacto real, no por moda.

Segundo, cerrar las puertas más usadas

Un conjunto reducido de controles bloquea la mayoría de los ataques oportunistas: autenticación multifactor en todo lo que la admita, copias de seguridad probadas y aisladas de la red, actualización de software para cerrar vulnerabilidades conocidas, y formación práctica del personal para reconocer engaños. Estas medidas tienen fricción – piden tiempo y disciplina – y esa fricción es real. Vale la pena decirlo con franqueza: la seguridad cuesta esfuerzo diario, y cualquiera que prometa protección sin ninguna molestia está vendiendo humo.

Tercero, prepararse para cuando falle

Ningún control es perfecto. La diferencia entre un susto y una catástrofe suele estar en la preparación. Tener un plan de respuesta a incidentes, saber a quién llamar, cómo notificar según la ley y cómo restaurar desde copias marca esa diferencia. Nuestra guía sobre ciberseguridad durante la crisis y el curso sobre incidentes de ciberseguridad desarrollan este punto. Para el ciclo completo, revisa también la gestión de riesgos de ciberseguridad.

El papel de la inteligencia artificial: para atacar y para defender

La IA está cambiando el equilibrio en ambos lados. Los atacantes la usan para redactar correos de phishing más creíbles, en español correcto y adaptado al contexto local, y para automatizar el reconocimiento de objetivos. El resultado es que los cebos son más difíciles de distinguir a simple vista, y las viejas señales – faltas de ortografía, traducciones torpes – ya no bastan.

Del lado defensivo, la IA se emplea para detectar patrones anómalos en grandes volúmenes de tráfico y para acelerar el trabajo del threat hunting, la búsqueda proactiva de amenazas que ya podrían estar dentro. La lección estratégica, en línea con el trabajo de instituciones como MIT Sloan sobre estrategia de IA, es que la herramienta no reemplaza el juicio: amplifica al equipo que ya sabe qué busca. Una empresa sin procesos básicos no arregla su seguridad comprando un producto con "IA" en la etiqueta.

Para el lector chileno, la conclusión práctica es doble: no confíes en detectar el fraude solo por su apariencia, y no esperes que la tecnología por sí sola cubra la falta de procesos y de formación.

Preguntas frecuentes

¿Es obligatoria la Ley Marco de Ciberseguridad para todas las empresas en Chile?

No de forma automática. La ley pone deberes reforzados sobre los operadores de servicios esenciales y de importancia vital. Muchas empresas quedan fuera de esas categorías directas, pero sí alcanzadas por vía contractual cuando son proveedoras de una entidad obligada. Verifica tu situación en el texto oficial de la ley y en las comunicaciones de la ANCI antes de asumir que no te aplica.

¿Cuáles son los ataques de ciberseguridad más comunes en Chile?

El fraude por correo corporativo (facturas y transferencias falsas), el ransomware con extorsión de datos, el phishing para robar credenciales y los ataques a través de proveedores concentran la mayor parte del riesgo para empresas medianas y pequeñas.

¿A quién debo reportar un incidente de ciberseguridad en Chile?

El canal de referencia es el CSIRT Nacional, y para las entidades sujetas a la ley existen deberes de notificación con plazos definidos hacia la ANCI. Consulta el CSIRT del Gobierno de Chile para el procedimiento vigente y los datos de contacto actualizados.

¿Qué es la ANCI?

Es la Agencia Nacional de Ciberseguridad, la autoridad creada por la Ley 21.663 para dictar normas técnicas, coordinar la respuesta nacional, fiscalizar el cumplimiento y aplicar sanciones. Es el punto de referencia institucional en la materia dentro del país.

¿La autenticación multifactor realmente reduce el riesgo?

Sí, de forma significativa. Aunque una contraseña se filtre, el segundo factor complica mucho el acceso no autorizado. No es infalible – existen técnicas para eludirla en casos concretos – pero su relación entre esfuerzo y protección es de las mejores que existen.

¿Cómo sé si un enlace o correo es phishing?

Desconfía de la urgencia, verifica el remitente real, no introduzcas credenciales desde un enlace recibido y contrasta cualquier solicitud de dinero por un segundo canal. Ante la duda sobre una dirección, analízala con un escáner de URL antes de abrirla. Recuerda que la IA hace que los cebos parezcan cada vez más legítimos.

¿Una pyme chilena necesita un equipo de seguridad propio?

No necesariamente. Muchas pymes cubren lo esencial combinando buenos hábitos internos, servicios gestionados y proveedores de nube que aportan controles de base. Lo importante es que alguien tenga responsabilidad clara sobre la seguridad, aunque sea a tiempo parcial o externalizada.

¿Por dónde empiezo si nunca me he ocupado de esto?

Empieza por un inventario de tus sistemas y datos, activa la autenticación multifactor, asegura copias de seguridad probadas y forma al personal en reconocer fraudes. Esos cuatro pasos, sin comprar nada sofisticado, cierran una mayoría de los ataques oportunistas.

Un primer paso concreto esta semana

Si tuvieras que hacer una sola cosa después de leer esto, elige verificar tus copias de seguridad: comprueba que existen, que son recientes, que están aisladas de la red principal y que sabes restaurarlas. Es la medida que más veces convierte un ataque de ransomware en una molestia en lugar de una quiebra. A partir de ahí, activa la autenticación multifactor y agenda una conversación honesta sobre quién responde qué si mañana algo falla. La ley chilena marca un mínimo; tu preparación real la defines tú, empezando por lo básico y bien hecho.

Read in English: la versión en inglés de esta guía está disponible en CiberValle.

Contenido educativo. No sustituye una auditoría de seguridad cualificada ni asesoramiento de respuesta a incidentes para tu entorno específico.