Ciberseguridad en Chile 2025: claves legales, riesgos y estrategias para empresas
En 2024, las redes informáticas chilenas registraron 27.600 millones de intentos de ciberataque, lo que representa un incremento del 360 % respecto al año anterior. Este ritmo equivale a 76 ataques por segundo, impulsados por el uso masivo de bots automatizados e inteligencia artificial ofensiva. En abril de 2025, el CSIRT Nacional emitió la alerta CND25‑00134 tras la irrupción del ransomware VanHelsing, un software malicioso que cifra los archivos de las víctimas y exige rescate en criptomonedas para su liberación. Paralelamente, continuaban las campañas masivas de phishing y smishing (fraude por correo y SMS), afectando a miles de usuarios en el país.
El Foro Económico Mundial describe que la inteligencia artificial ofensiva ha multiplicado tanto la escala como la velocidad de los ataques globales, ampliando el riesgo no solo a grandes empresas, sino también a pymes y organizaciones públicas.
En este contexto, la ciberseguridad ha dejado de ser un asunto exclusivamente tecnológico y se ha convertido en una prioridad estratégica para las empresas de todos los tamaños. A continuación se analizan la magnitud de la amenaza, su impacto económico, el marco legal chileno, el déficit de talento especializado y las claves estratégicas que pueden transformar esta crisis en una ventaja competitiva.
Un adversario que multiplica su escala
Los 27.600 millones de intentos reflejan la industrialización del delito digital. Plataformas RaaS (Ransomware-as-a-Service) arriendan paneles, soporte y reparto de utilidades a afiliados sin conocimientos técnicos (CSIRT Chile). Cualquier empresa con vulnerabilidades se vuelve objetivo.
En 2024 se negociaron más de 100.000 millones de credenciales robadas, alimentando ataques automatizados de fuerza bruta a correos, RDP y nubes públicas. La IA genera correos de phishing casi perfectos, convirtiendo el “clic” humano en la vía de entrada más común.
Chile vivió esto en 2020 cuando el ransomware Sodinokibi obligó a BancoEstado a cerrar sus 410 sucursales. Hoy, con mayor capacidad ofensiva, podrían impactar varios sectores críticos al mismo tiempo.
Costos empresariales: finanzas, reputación y continuidad
IBM calcula en US$2,76 millones el costo medio de una filtración en Latinoamérica; la automatización defensiva ahorra hasta US$2,22 millones. Las mayores pérdidas no son por rescates, sino por la parálisis operativa y multas regulatorias.
La reputación tarda 12-18 meses en recuperarse tras un incidente. En mercados competitivos, esa erosión implica pérdida de contratos y menor valoración ante inversores.
La continuidad es crítica: VanHelsing cifra entornos industriales en minutos, deteniendo producción, violando SLA y afectando logística. Un paro prolongado puede convertir ganancias en pérdidas.
Un marco legal con dientes y plazos definidos
Chile cuenta con tres capas normativas. La Ley 21.459 modernizó delitos informáticos y endureció penas. La CMF exige reportar incidentes en 30 minutos y mantener registros. La Ley 21.663 creó la ANCI y obliga a servicios esenciales a implementar SGSI, notificar incidentes y someterse a auditorías. Las multas alcanzan 40 000 UTM y entró en vigor el 1 de marzo 2025.
Talento y cultura: el eslabón más crítico
La CCS estima un déficit de 6.000 especialistas en ciberseguridad para 2025. El 82 % de las brechas comienza por error humano. Simulacros, autenticación multifactor y recompensas por reportar vulnerabilidades son claves, pero faltan en muchas pymes.
Construir cultura de “seguridad por diseño” implica involucrar a toda la organización. Esa madurez impacta las pólizas de ciberseguro, que ahora exigen evidencia de formación continua y simulacros.
Claves estratégicas para blindarse en 2025
a. Gobierno visible
Incluir la ciberseguridad como punto fijo en los directorios, con métricas claras y evidencia de simulacros, muestra diligencia y prepara defensa ante reguladores y accionistas.
b. Automatización defensiva
Implementar machine learning para detección de anomalías en tiempo real reduce el costo de incidentes y aísla amenazas antes de su propagación.
c. Cadena de valor segura
Auditar APIs y proveedores SaaS, exigir cláusulas de notificación de incidentes y derecho de auditoría mitiga riesgos de ataques laterales. Líderes adoptan marcos que integran seguridad y ESG.
d. Integración de inteligencia de amenazas
Acceder a inteligencia intersectorial permite anticipar patrones de ataque y ajustar controles proactivamente. Involucrar a la industria eleva la resiliencia colectiva.
e. Zero Trust avanzado
Adoptar arquitecturas Zero Trust con microsegmentación L7, validación continua de identidad y orquestación SOAR reduce el tiempo medio de contención bajo 10 minutos, umbral crítico para evitar escalada de costos.
f. Comunicación transparente
El nuevo entorno regulatorio penaliza el silencio y premia la transparencia. Reportar incidentes a tiempo reduce multas y protege la reputación.
Conclusión técnica y crítica
La ofensiva digital transforma la ciberseguridad de un problema operativo a un riesgo macro-financiero. Con 76 ataques por segundo, la probabilidad de compromiso ya no es un evento aislado: exige modelos de riesgo agregado tipo Value at Risk. La defensa pasa de “firewall+antivirus” a Zero Trust con SOAR y microsegmentación. El objetivo: contener en menos de 10 minutos.
La Ley 21.663 redefine las responsabilidades fiduciarias: directores sin evidencia de diligencia (métricas, simulacros, escenarios) arriesgan multas y demandas civiles. La convergencia ANCI, CMF y protección de datos penaliza el silencio y premia la transparencia.
Cada peso invertido en automatización defensiva genera retorno marginal positivo, pero el factor humano deja un riesgo residual. La ventaja competitiva vendrá de quienes integren inteligencia de amenazas, validación criptográfica con proveedores y moneticen la confianza mediante diferenciación de producto. El escenario chileno exige pasar de la defensa reactiva a la ingeniería de resiliencia cuantificable: modelos dinámicos, controles automatizados y cultura donde cada empleado sea un sensor de seguridad. Quien no lo haga enfrentará un régimen regulatorio y un mercado que penaliza sin concesiones la fragilidad digital.
Publicado por Peter Schneider Contreras, Director de Schneider Abogados