«Por qué el crecimiento de la tecnología sin educación en ciberseguridad convirtió al ciudadano común en la principal puerta de entrada del delito»
Reportaje de investigación — Por Omar Villegas Vega, Asesor en Ciberseguridad y Prevención de Fraude Digital
Chile es, según las principales firmas de inteligencia de amenazas del mundo, uno de los países más atacados digitalmente de Latinoamérica. Pero detrás de las cifras astronómicas que publican las multinacionales de ciberseguridad hay una historia más simple y humana: miles de personas —desde un adulto mayor que recibe una llamada de «su banco» hasta un hospital público que ve paralizados sus sistemas— están pagando el costo de un país que digitalizó a su gente antes de enseñarle a protegerse.
Este reportaje reúne cifras oficiales y de la industria, un comparativo de los últimos tres años, los sectores más golpeados, las amenazas y vectores de ataque más usados en Chile, y recomendaciones concretas. Cierra con un análisis: por qué la brecha entre digitalización y educación en ciberseguridad se ha vuelto, en sí misma, la principal vulnerabilidad del país.
1. ¿Cuántos ciberataques recibe Chile? Por semana y por año
No existe en Chile un contador público único y oficial de «ciberataques». Lo que existe son mediciones de distintas fuentes —Fortinet (FortiGuard Labs), Check Point Research, Kaspersky, Sophos y el propio CSIRT de Gobierno— que miden cosas distintas (intentos automatizados, incidentes gestionados, ataques por organización, intentos de phishing). Cruzando esas fuentes se obtiene el siguiente panorama:
Por semana
- Según Check Point Research, hacia 2024 cada organización chilena recibía en promedio 1.636 ataques por semana, un 30% más que el trimestre equivalente de 2023.
- Hacia 2025-2026, esa cifra escaló a un promedio de más de 3.100 ataques semanales por organización, en línea con el promedio regional de América Latina (la región más atacada del mundo, por encima de Europa —1.700 semanales— y Estados Unidos —1.400 semanales—).
- En materia de fraude digital dirigido a personas, se bloquearon más de 6,3 millones de intentos de phishing solo entre enero y octubre de 2025, lo que equivale a un promedio de más de 20.000 intentos diarios contra usuarios chilenos.
- Kaspersky reportó 37,7 millones de intentos de phishing en un período de 12 meses, es decir, más de 103.000 intentos de engaño diarios solo en Chile.
Por año
- El CSIRT de Gobierno gestionó más de 20.000 incidentes de ciberseguridad en 2024, con foco creciente en ransomware contra instituciones públicas.
- En intentos de ataque automatizados (telemetría de Fortinet), Chile pasó de miles de millones a billones de intentos anuales en apenas tres años (ver tabla comparativa).
- En el ámbito judicial, la Fiscalía cerró el tercer trimestre de 2025 con un récord histórico de 41.703 causas por fraude, un alza interanual de 64,4%, la cifra más alta en 12 años.
2. Tabla comparativa: Chile, tres años de escalada
| Indicador | 2023 | 2024 | 2025 |
| Intentos de ciberataque (telemetría Fortinet/FortiGuard) | 6.000 millones | 27.600 millones (+360% vs 2023) | 8,8 billones* (con 5 billones de escaneos activos) |
| Posición de Chile en América Latina | — | 3er país más atacado de la región | 4to país más atacado (tras Brasil, México y Colombia) |
| Incidentes gestionados por CSIRT de Gobierno | — | Más de 20.000 en el año (54 solo en el Q1) | En aumento, con foco en ransomware al sector público |
| Empresas chilenas afectadas por ransomware | — | 52%-55% de las organizaciones (Sophos) | Extorsión por solo robo de datos (sin cifrado) se triplica desde 2023 |
| Ataques promedio por organización (semanal, Check Point) | ~1.260 | 1.636 (+30% interanual) | ~3.100-3.123, en línea con el promedio regional |
| Causas judiciales por fraude (Fiscalía) | — | — | 41.703 al Q3 2025 (+64,4% interanual, máximo en 12 años) |
| Intentos de phishing detectados | — | — | 6,3 millones (ene-oct) a 37,7 millones (12 meses, Kaspersky) |
| Marco regulatorio | Sin ley marco vigente | Promulgación Ley 21.663 (abril) | Entrada en vigor (enero) y fiscalización activa de la ANCI |
*»Billones» en la nomenclatura chilena/española equivale a 10^12 (trillion en inglés). La cifra de 2025 representa un salto exponencial respecto a 2024, impulsado en parte por escaneos automatizados masivos con IA.
Lectura del comparativo: el salto de 2023 a 2024 (+360%) ya era alarmante, pero el de 2024 a 2025 es de otro orden de magnitud. Los expertos coinciden en un factor común: la masificación de herramientas de inteligencia artificial tanto para atacar (phishing hiperrealista, clonación de voz, malware generado por IA) como para escanear automáticamente miles de sistemas en busca de una puerta abierta.
3. ¿Quién es atacado en Chile? Sectores públicos, privado, salud, defensa y ciudadanía
La creencia de que «a mí no me va a pasar» es, según los propios organismos de ciberseguridad, parte del problema. Los ataques ya no distinguen tamaño de empresa ni tipo de institución.
Sector público y gobierno
- El gobierno/militar es, a nivel global, el segundo sector más atacado, con un promedio de más de 2.000 ataques semanales por organización.
- Casos recientes en Chile: en junio de 2025 un ciberataque paralizó al Instituto de Salud Pública, afectando certificados sanitarios y trámites de Aduanas; en septiembre de 2025 un ransomware golpeó a la Subsecretaría de Prevención del Delito, forzando la desconexión de equipos por varios días.
- Antecedentes: en 2022 fueron blanco el SERNAC, el Poder Judicial y el Estado Mayor Conjunto; en septiembre de ese mismo año se filtraron correos de las Fuerzas Armadas tras un hackeo al Ministerio de Defensa, episodio que motivó el regreso urgente de la entonces ministra desde Nueva York.
- En octubre de 2023, el ransomware «Rorschach» derribó a una empresa de servicios TI clave, afectando indirectamente a más de 3.500 organizaciones y al portal Mercado Público.
Defensa y Fuerzas Armadas
- Con la nueva Ley Marco de Ciberseguridad, el Ministerio de Defensa cuenta desde 2026 con un Reglamento de Ciberseguridad de la Defensa Nacional y un CSIRT-DN (Defensa Nacional) que fija estándares mínimos para las instituciones armadas.
- El Ejército de Chile fue designado Operador de Importancia Vital (OIV), lo que lo obliga a reportar incidentes y a invertir en monitoreo propio, incluyendo IA para defensa de redes.
- A nivel internacional, la principal amenaza que preocupa a las fuerzas armadas ya no es solo el hackeo técnico, sino el engaño mediante deepfakes: videos o llamadas falsificadas de superiores dando «órdenes urgentes» para obtener credenciales o información clasificada.
Salud
- Es, a nivel global, uno de los sectores más atacados y vulnerables, por la enorme cantidad de datos sensibles que maneja y la frecuente obsolescencia de su infraestructura tecnológica.
- El caso más resonante en Chile: en diciembre de 2025 la Clínica Dávila sufrió un ataque de ransomware del grupo Devman, que ingresó mediante una VPN con credenciales débiles (usuario y contraseña idénticos) y exfiltró cerca de 250 GB de datos de pacientes, incluyendo fichas clínicas y resultados de exámenes sensibles.
- A nivel mundial, la extorsión basada solo en robo de datos (sin necesidad de cifrar los sistemas) se triplicó desde 2023 en el sector salud, y genera consecuencias que van más allá de lo técnico: estrés, ansiedad y ausentismo laboral entre el personal sanitario.
Banca, telecomunicaciones y comercio
- Según cifras recientes de Check Point, telecomunicaciones concentra el 34% de los ataques dirigidos a organizaciones chilenas y la banca/servicios financieros el 30%, con el ransomware representando el 38% de las amenazas detectadas.
- El 56% de las empresas chilenas afectadas por ransomware pagó el rescate, con montos promedio cercanos a USD 675.000 (y hasta USD 2,3 millones en el caso de gobiernos locales). Sin embargo, más del 80% de quienes pagan vuelven a ser atacados.
Pymes, juntas de vecinos, colegios y ciudadanía general
- Aunque las estadísticas «grandes» se concentran en empresas e instituciones, el fraude a personas naturales es el que más ha crecido en volumen: récord histórico de causas por estafa en 2025, con la suplantación de identidad migrando masivamente hacia WhatsApp y llamadas telefónicas.
- El uso malicioso de tarjetas, claves o dispositivos ya representa más del 20% de los casos de fraude, un tipo de delito que hace seis años era casi inexistente.
- Pymes, colegios, juntas de vecinos y organizaciones comunitarias suelen quedar fuera de las campañas oficiales de prevención, a pesar de ser blanco frecuente de phishing y estafas por su menor nivel de defensa técnica.
4. Principales amenazas en Chile
- Ransomware — sigue siendo la amenaza dominante contra empresas e instituciones, con foco creciente en la sola exfiltración y extorsión de datos (sin cifrado), una modalidad más difícil de detectar a tiempo.
- Phishing, smishing y vishing — el engaño por correo, SMS y llamada telefónica es hoy la puerta de entrada más común, tanto a cuentas personales como corporativas.
- Robo y reventa de credenciales — en gran parte de los incidentes de acceso a servicios en la nube, el atacante entra con inicios de sesión desde ubicaciones desconocidas usando contraseñas robadas o reutilizadas.
- Fraude asistido por inteligencia artificial — clonación de voz, deepfakes y herramientas de IA sin restricciones éticas (usadas para generar phishing hiperrealista) están elevando drásticamente la tasa de éxito de los engaños.
- Suplantación de identidad institucional — bancos, servicios públicos y plataformas de pago son los disfraces más usados por los atacantes para ganarse la confianza de la víctima.
- Ataques a la cadena de suministro — comprometer a un proveedor de servicios TI para golpear, de un solo ataque, a cientos o miles de organizaciones que dependen de él (como ocurrió con el caso Rorschach en 2023).
- Escaneo automatizado masivo — bots que recorren internet buscando sistemas desactualizados o mal configurados, sin necesidad de elegir un blanco específico.
5. Vectores de ataque más usados
- Ingeniería social con sentido de urgencia: «le están vaciando la cuenta ahora», «su paquete tiene un problema», «debe verificar su clave inmediatamente». El estrés inducido busca que la víctima actúe antes de pensar.
- Correos y enlaces falsos (phishing/pharming): solo en el primer trimestre de 2024 se bloquearon más de 53.000 correos con malware dirigidos a la red de conectividad del Estado.
- Mensajes de texto fraudulentos (smishing) que imitan alertas bancarias o de entrega de encomiendas.
- Llamadas suplantando a ejecutivos bancarios o «soporte técnico» (vishing), incluyendo la reciente modalidad que induce a la víctima a marcar el código *21 desde su teléfono para desviar sus llamadas y así interceptar claves de verificación.
- Credenciales débiles o reutilizadas: la misma clave usada en múltiples plataformas es, según los propios especialistas, la falla que más veces abre la puerta a un ataque mayor.
- Accesos remotos mal protegidos (VPN, RDP): el caso Clínica Dávila mostró que basta una sola credencial débil para comprometer cientos de gigabytes de información sensible.
- Vulnerabilidades no parchadas en software y sistemas obsoletos, especialmente en salud y sector público.
6. Responsabilidad Humana en los Ciberataques: Cifras por Nivel
A nivel Mundial
- Verizon DBIR 2024/2025: el factor humano estuvo presente en 74%-75% de las brechas de seguridad (clics en enlaces maliciosos, credenciales compartidas, errores de configuración, ingeniería social).
- Foro Económico Mundial: 95% de los incidentes de ciberseguridad se explican, en algún grado, por error humano.
- Gartner proyectaba que hacia 2025 la falta de talento o el error humano serían responsables de más de la mitad de los incidentes cibernéticos graves.
- Rangos citados por distintos estudios van del 74% al 95%, dependiendo de si se mide «error humano puro» o «factor humano» en sentido amplio (incluye ingeniería social, contraseñas débiles, mala configuración).
A nivel Latinoamérica / Sudamérica
- Kaspersky (encuesta a empresas de la región): el 20% de los incidentes cibernéticos en los últimos dos años se debió a que empleados violaron intencionalmente los protocolos de seguridad; a esto se suman fugas de datos por empleados (24%) casi al mismo nivel que las causadas directamente por ciberataques externos (25%).
- Desglose Kaspersky LATAM: 26% por visitar sitios no seguros, 18% por no actualizar software/sistemas, 18% por uso de canales no autorizados para compartir datos, 21% por acceso intencional a datos vía dispositivos no autorizados.
- No hay una cifra única «oficial» para Sudamérica específicamente (los estudios agregan toda LATAM), pero la tendencia regional confirma que entre 1 de cada 5 y 1 de cada 4 incidentes tiene origen directo en conducta de empleados/usuarios, sin contar el phishing exitoso (que también es «factor humano» pero se contabiliza aparte como vector de entrada).
En Chile
- Kaspersky (estudio 2024): el error humano es la principal causa de los incidentes de ciberseguridad en empresas chilenas, con 50% de los casos atribuidos a fallos de empleados (vs. 40% ataques de hackers y 20% falta de inversión en ciberseguridad; los porcentajes se superponen porque un incidente puede tener más de una causa).
- PUCV / CSIRT de Gobierno (declaraciones públicas, 2023): el factor humano corresponde al 90% de los delitos cuando se vulneran sistemas de información en Chile — cifra más cercana al estándar «amplio» (incluye caer en phishing, ingeniería social, etc.).
- Columna de Gabriel Bergel (especialista chileno en ciberseguridad): sitúa la cifra en 85% de las infracciones de ciberseguridad atribuibles a las personas.
Resumen comparativo (distintas metodologías):
| Nivel | Rango citado | Fuente principal |
| Mundial | 74% – 95% | Verizon DBIR / Foro Económico Mundial |
| Latinoamérica | 20% – 25% (conducta directa de empleados) | Kaspersky |
| Chile | 50% – 90% | Kaspersky / CSIRT-PUCV / expertos locales |
La brecha entre el 20-25% de LATAM y el 50-90% de Chile no significa necesariamente que Chile sea «peor»: refleja que las encuestas miden cosas distintas (violación intencional de protocolo vs. error humano en sentido amplio, que incluye caer en un engaño de ingeniería social). Para tu reportaje, lo más honesto y sólido para citar sería la cifra de Kaspersky Chile 2024 (50%) como dato duro comparable, y usar el 74-95% global de Verizon/WEF como contraste, dejando claro que las metodologías difieren.
7. Recomendaciones de mitigación
Para instituciones (públicas, privadas, salud, pymes)
- Implementar autenticación multifactor (MFA) en todos los accesos críticos, especialmente correo y VPN.
- Nunca reutilizar la misma contraseña en dos sistemas; usar gestores de contraseñas.
- Mantener copias de respaldo (backups) desconectadas de la red y probadas periódicamente: los atacantes buscan primero comprometer los respaldos.
- Actualizar y parchar sistemas de forma constante, priorizando los expuestos a internet.
- Diseñar un plan de respuesta a incidentes y capacitar a los equipos para activarlo, no solo tenerlo en un documento.
- Adoptar un modelo de «confianza cero» (Zero Trust): verificar cada acceso, no asumir que lo interno es siempre seguro.
- Cumplir con los plazos de reporte de incidentes que exige la Ley 21.663 (3 horas para los Operadores de Importancia Vital).
Para personas y familias
- Desconfiar de cualquier mensaje o llamada que exija actuar «ahora mismo»: es la señal de alerta número uno de la ingeniería social.
- Nunca entregar códigos de verificación (los que llegan por SMS o WhatsApp) a nadie, ni siquiera a alguien que dice representar al banco.
- Verificar siempre por un canal oficial y distinto al que contactó primero (llamar al número real del banco, no al que aparece en el mensaje sospechoso).
- Activar la autenticación en dos pasos en redes sociales, correo y banca en línea.
- No marcar códigos como *21 u otros que un tercero solicite por teléfono sin verificar de forma independiente su propósito.
- Enseñar a los adultos mayores del entorno familiar no solo a «usar» la aplicación del banco o WhatsApp, sino a reconocer las señales de un engaño.
Análisis: Chile digitalizó a su gente, pero no la protegió
Opinión de Omar Villegas Vega, Asesor en Ciberseguridad y Prevención de Fraude Digital
Chile avanza rápido en digitalización y también, hay que decirlo, en institucionalidad: la Ley Marco de Ciberseguridad y la creación de la ANCI son pasos que otros países de la región aún no dan. El país tiene, en el papel, un marco regulatorio moderno. El problema no es la ley. El problema es que la ley protege sobre todo a las instituciones —bancos, hospitales, empresas de energía— y muy poco a la persona común que recibe una llamada a las nueve de la noche diciéndole que «le están robando la cuenta ahora mismo».
He escuchado la misma frase cientos de veces: «me hackearon el WhatsApp», «me hackearon las redes sociales», «me hackearon el banco». Y en la enorme mayoría de esos casos no hubo ningún hackeo técnico. Hubo una persona que, bajo presión y sin las herramientas para reconocer el engaño, entregó una clave o un código de verificación. El atacante no necesitó romper nada: entró con una llave válida, una llave que la propia víctima le entregó, convencida de que estaba haciendo lo correcto.
Ese es el cambio de paradigma que como país todavía no asumimos del todo: la ciberseguridad dejó de ser un problema de murallas —firewalls, antivirus, sistemas técnicos— para convertirse en un problema de identidad. El acceso inicial de la mayoría de los fraudes hoy no es una falla de software, es una identidad comprometida por engaño.
Y aquí está la contradicción que más me preocupa como asesor: el Estado invierte, con razón, en enseñar a la ciudadanía a usar plataformas digitales —Clave Única, banca en línea, trámites del Estado, herramientas de inteligencia artificial—, pero invierte muchísimo menos en enseñarle a cuidarse mientras las usa. Se promociona la digitalización de adultos mayores, de pymes, de juntas de vecinos, de colegios, pero rara vez se acompaña esa capacitación con charlas claras, sin tecnicismos, sobre cómo reconocer un intento de phishing, una llamada de vishing o un mensaje que suplanta a una institución.
Los propios organismos de gobierno, siendo autocríticos, no han sido suficientemente promotores de estas leyes hacia quienes más lo necesitan: encargados de salud en consultorios, directores de colegios, dirigentes vecinales, dueños de pymes. La ANCI y el CSIRT hacen un trabajo técnico sólido con los Operadores de Importancia Vital, pero ese esfuerzo no siempre baja a la calle, al barrio, a la sala de profesores o a la sede vecinal.
Con la inteligencia artificial el riesgo se multiplica exactamente por la misma razón: se enseña a la gente y a las empresas a usar IA para el trabajo, para automatizar tareas, para ser más productivos, pero no se enseña, con la misma fuerza, qué cuidados hay que tener al usarla. Y los ciberdelincuentes sí lo saben. Ya están usando esa misma inteligencia artificial —para clonar voces, generar videos falsos, redactar correos de phishing indistinguibles de uno real— para atacar exactamente a ese ciudadano común y a esa pyme que recién empieza a digitalizarse.
Los pilares de la ciberseguridad no son un misterio técnico. Se pueden explicar con ejemplos simples: no compartir claves ni códigos con nadie (así como no le darías la llave de tu casa a un desconocido que llama a la puerta con apuro); desconfiar de la urgencia (un banco real nunca te va a presionar para que actúes en segundos); verificar por otro canal (si te llaman «del banco», cuelga y llama tú al número oficial); y activar más de un candado en tus cuentas (la doble verificación).
Mientras Chile no cierre esta brecha entre digitalización y educación en ciberseguridad, seguiremos viendo estas cifras crecer año tras año, no porque falten leyes, sino porque falta que esas leyes y esos conocimientos lleguen a quien más los necesita: la ciudadanía de a pie.
Fuentes y Referencias
- Fortinet / FortiGuard Labs — Reporte del Panorama Global de Amenazas 2025 y 2026. Diario Financiero, G5noticias, BC Tecnología, ITseller Chile, Zoomtecnológico, El Diario de La Araucanía, Portal Innova.
- Check Point Research — Informes trimestrales de ciberataques por industria (2024-2026). Revista Seguridad & Defensa, G5noticias.
- Kaspersky — Panorama de Amenazas / Phishing en Latinoamérica. CutSecurity.
- Sophos — State of Ransomware 2024/2025 (Chile y sector salud). TrendTIC, Cyber Summit, Observatorio de la vida misma (blog.ttpsec.cl).
- Agencia Nacional de Ciberseguridad (ANCI) de Chile — anci.gob.cl, Resolución Exenta N° 87 (diciembre 2025), Reglamento de Ciberseguridad de la Defensa Nacional (febrero 2026).
- CSIRT de Gobierno de Chile — reportes de incidentes gestionados 2024.
- Ley N° 21.663, Ley Marco de Ciberseguridad e Infraestructura Crítica de la Información (Diario Oficial, 8 de abril de 2024).
- Ex-Ante — «El fenómeno de los ataques de ciberseguridad en contra del sector público y privado en 2024».
- Diario Financiero — cobertura de informes Fortinet y Check Point 2024-2025.
- El Mostrador — «Ciberataques en Chile: el sector salud en la mira» (diciembre 2025).
- Firewall-Chile — «Hackeo a Clínica Dávila en Chile» (enero 2026).
- Portal Metropolitano / Revista Seguridad & Defensa — «Fraudes se disparan en Chile: suplantación por WhatsApp y llamadas impulsa récord histórico de estafas en 2025».
- Emol — «Advierten brechas en ciberseguridad ante filtración masiva: en 2025 hubo 8,8 billones de intentos de ataque en Chile» (mayo 2026).
- G5noticias — «3.123 ataques por semana a organizaciones: Chile está en el centro del cibercrimen global» (marzo 2026), y «Nueva estafa telefónica en Chile: así funciona el fraude que utiliza el código *21» (mayo 2026).
- Defensa.com — «El Ejército de Chile invierte en su propia IA, monitoreo avanzado y un data center propio para blindar sus redes» (marzo 2026).
- Ciberseguridad Peñalolén — cronología de incidentes públicos en Chile (SERNAC, Poder Judicial, Estado Mayor Conjunto, ALMA, Ministerio de Defensa).
Este reportaje fue elaborado con fuentes públicas verificables a agosto de 2026. Las cifras de intentos de ataque provienen de telemetría privada de proveedores de ciberseguridad (Fortinet, Check Point, Kaspersky, Sophos) y no de un registro estatal único, por lo que deben leerse como estimaciones de tendencia y no como conteos oficiales exhaustivos.