Resumen ejecutivo

Chile cruzó un umbral: pasó de blanco oportunista a campo de operaciones RaaS (Ransomware as a Service) sostenido, justo cuando entró en vigencia su régimen regulatorio (Ley 21.663). Pero los incidentes revelan una brecha entre la ambición normativa y la realidad operativa: ninguno requirió sofisticación —predominan fallas de higiene básica (VPN con usuario=contraseña, RDP expuesto, credenciales débiles)— y varios golpearon a OIV. La madurez que exige la ley todavía no se traduce en defensa efectiva.

Ese contraste tiene base objetiva: en el Reporte de Ciberseguridad 2025 del BID y la OEA —que aplica el Modelo de Madurez de Capacidades (CMM) de la Universidad de Oxford sobre cinco dimensiones: estrategia, cultura, educación, marco legal y tecnología— Chile lideró entre 30 países de la región con 228 puntos, el más alto. Pero ese índice mide capacidad institucional, no resiliencia operativa: el país más maduro de la región en el papel sigue viendo a sus OIV caer por controles elementales.

Introducción

Este informe examina los incidentes de ransomware y extorsión de datos que afectaron a organizaciones chilenas entre junio de 2025 y mayo de 2026, con foco en los actores responsables, sus tácticas, técnicas y procedimientos (TTPs), las víctimas y su cruce con la nómina oficial de Operadores de Importancia Vital (OIV).

1. Conclusiones Clave

• El vector dominante por impacto público es el ransomware de doble extorsión de afiliados RaaS internacionales; no hay actores locales persistentes en Chile (a diferencia de Uruguay que viene siendo objeto de La Pampa Leaks).  
• El actor más activo fue Qilin (campaña dirigida ene–mar 2026, con 5 víctimas confirmadas). 
• Acceso inicial de baja sofisticación: cuentas válidas, credenciales débiles, VPN y RDP. No se evidenció el uso de 0-days.
• Cinco Operadores de Importancia Vital (OIV), sufrieron incidentes: (Clínica Dávila, ISP (Instituto de Salud Pública de Chile), Subsec. Prevención del Delito, Copec y Lipigas)  al menos tres por ransomware.   [Conf. ALTA] (F. A)
• 2025 marcó la inflexión institucional (reporte obligatorio, 915 OIV, Chile #1 LATAM en BID/OEA). Pronóstico: la presión RaaS probablemente se mantiene o aumenta. 

2. Metodología y confianza

Las afirmaciones críticas indican su fiabilidad de fuente (escala tipo Admiralty) y su nivel de confianza analítica (ICD 203). Se distingue siempre lo confirmado por fuente oficial de lo reivindicado por el actor.

Fuente	Tipo	Confianza analítica
A	Oficial (CSIRT, ANCI, Diario Oficial)	ALTA: varias fuentes, ≥1 tipo A
B	Telemetría vendor (CronUp, Entel, Check Point, BID)	MODERADA: creíble pero parcial o de fuente única
C / D	Prensa (C) / blog especializado a verificar (D)	BAJA: fuente única o cifra del actor refutada
X	Reivindicación del actor (sin validar)	—

3. Panorama cuantitativo

• Fuentes Oficiales (CSIRT, ANCI):  +400 incidentes reportados en 2025 (doble de los 5 años previos). A nivel de reporte predominan phishing y abuso de credenciales. Chile esta en el puesto 1 LATAM segunel Reporte de Ciberseguridad 2025 del Banco Interamericano de Desarrollo y la OEA.
• Telemetría de otras fuentes (CronUp, Entel, Check Point, BID): Las filtraciones aumentaron un +188%, incidentes cloud +136%, predominando los infostealers como vector.
• Observación DLS (Data Leak Site,): entre finales de 2025 y marzo de 2026 (≈4 meses), CronUp registró 13 organizaciones chilenas atacadas y 15 publicaciones en DLS —la diferencia se explica por re-victimización (p. ej. Keylogistics Chile, atacada más de una vez por grupos distintos)— atribuidas a 9 grupos de ransomware operando en paralelo. Como contraste de magnitud, NetProvider contabilizó 8 ataques por 7 grupos en una ventana similar.   (F. B)

Figura 1 — Línea de tiempo de incidentes y hitos

Rojo = ransomware/extorsión · ámbar = otro incidente · azul = hito regulatorio/métrica. Elaboración propia.

4. Inventario y conteo de víctimas

Esas cifras agregadas se vuelven concretas en las organizaciones efectivamente golpeadas. “¿OIV?”: Sí = confirmado por nombre en nómina oficial; No = no figura o fuera de sector.

Organización	Fecha	Actor	Sector	OIV	Tipo / dato
GORE La Araucanía	jun-25	n/d	Adm. Estado reg.	No	Ciberataque a servidores
Inst. de Salud Pública (ISP)	jun–jul 25	n/d	Adm. Estado / salud	Sí	Servicios paralizados; posible filtración
Universidad Mayor	jul-25	Dire Wolf	Educación	No	Ransomware
Subsec. Prevención del Delito	sep-25	n/d	Adm. Estado	Sí	Ransomware; equipos inhabilitados
Clínica Dávila	dic-25	Devman→LockBit	Salud	Sí	≈250 GB decl.; datos médicos/VIH
Empresas Lipigas	dic-25	n/d	Combustibles	Sí	Acceso no autorizado (no ransomware)
Copec	ene-26	Anubis	Combustibles	Sí	6 TB decl.; rescate USD 6M
Inst. Diagnóstico Urológico	ene-26	n/d	Salud	No	Exposición por mala configuración
Qilin (5 víctimas)*	ene–feb 26	Qilin	Agro/comercio/digital	No	Valbifrut, Ducasse, Conectados, Graneles, Noi
INDH	feb-26	The Gentlemen	Adm. Estado autónomo	No	Exfil por RDP; datos publicados
Keylogistics Chile	feb-26	Lynx + Minteye	Logística	No	Doble compromiso (2 grupos)

* Campaña Qilin: Valbifrut, Ducasse Comercial, Conectados Chile, Graneles de Chile y Noi Hotels.

• Conteo: ≈15 organizaciones con incidente público; ≈12 atribuibles a ransomware/extorsión .  
• Victimas OIV (operadores de importancia vital): Clínica Dávila , ISP (Instituto de Salud Pública de Chile) y Subsec. Prevención del Delito, Copec y Lipigas/ 3 de ellas por ransomware (Dávila, Subsec., Copec).  

5. Perfiles de actores

• Qilin (RaaS): Grupo de doble extorsión, motivación financiera. Víctimas: Valbifrut, Ducasse, Conectados Chile, Graneles, Noi Hotels.  
• The Gentlemen (RaaS): Uno de los más activos del mundo en feb-2026 (≈78 víctimas). Víctima CL: INDH. TTPs confirmadas por CSIRT: RDP (T1021.001), exfil pre-cifrado (T1048), cifrado (T1486).   (F. A)
• Anubis (RaaS): Víctima Copec; reclama 6 TB y USD 6M (ofertas de 120k/400k rechazadas); acceso por VPN corporativa.   (F. X — reivindicado)
• Devman y LockBit 5.0: Clínica Dávila (dic-25). Devman reivindicó pero no publicó; el 20-feb-26 LockBit 5.0 publicó ≈180 GB → reventa entre afiliados. Vector: VPN con usuario=contraseña. 
• Secundarios: Dire Wolf (Universidad Mayor); Keylogistics Chile S.A.  fue atacada más de una vez por grupos distintos (Lynx + Minteye).  

6. Caso testigo: INDH vs The Gentlemen

¿Por qué este incidente? De los ~15 incidentes del período, este es el único que se analiza en profundidad, por tres razones que lo hacen distinto. 

• Es el único con evidencia técnica oficial: el CSIRT Nacional publicó un análisis forense (alerta AIA26-00012), lo que permite reconstruir las TTPs con fuente de máxima confianza, en vez de depender de lo que declara el atacante. 
• Ilustra como ningún otro la tesis del informe —la brecha entre discurso y realidad—: la víctima comunicó públicamente que “no existía información comprometida” y el análisis forense demostró lo contrario. 
• Marca un punto de inflexión: confirma que el ransomware ya alcanza a organismos de derechos humanos, ampliando el blanco más allá de empresas e infraestructura crítica.

Contexto. El INDH (Instituto Nacional de Derechos Humanos) es una corporación autónoma de derecho público, creada por la Ley 20.405 (2009), independiente del gobierno de turno. Custodia información de altísima sensibilidad: denuncias ciudadanas, finiquitos y certificados de la Comisión Valech (víctimas de prisión política y tortura), lo que agrava el impacto de la filtración. El atacante, The Gentlemen, es un grupo RaaS emergente que en febrero de 2026 figuró entre los más activos del mundo (~78 víctimas reclamadas).

Cronología y lección. detectado el 04-feb-2026; el 05-feb el INDH comunicó que “no existía información ni infraestructura comprometida”; el CSIRT, en cambio, identificó exfiltración por RDP previa al cifrado; el 20-feb The Gentlemen publicó los datos en su sitio de filtración. La lección para el defensor: la postura pública de una víctima no equivale a evidencia técnica; solo el análisis forense determina el alcance real.   [Conf. ALTA] (F. A)

Por qué es el caso testigo. El INDH no es una excepción, sino el espejo del resto: lo que aquí se ve con evidencia forense —acceso simple, exfiltración por RDP y doble extorsión— es el mismo patrón que se repite en las demás víctimas. Esos patrones se sintetizan a continuación.

7. Patrones transversales: el porqué

Estos cinco patrones se observan de forma consistente en los incidentes del período y explican cómo grupos sin recursos extraordinarios comprometen a OIV y grandes empresas.

• Acceso inicial de baja sofisticación (cuentas válidas, credenciales débiles, VPN, RDP); sin 0-days.
• Doble extorsión como estándar: la amenaza de divulgación es el apalancamiento, el cifrado es opcional.
• Economía RaaS y reventa entre afiliados (Devman→LockBit): un mismo lote circula entre grupos.
• Infostealers como habilitador del mercado de accesos iniciales (IAB) previo a ransomware y fraude.
• Re-victimización (Lynx + Minteye): brechas estructurales no remediadas tras el primer compromiso.

8. Montos de rescate e impacto económico

• Rescates exigidos: Copec/Anubis USD 6 millones (ofertas de 120k/400k rechazadas). El resto de víctimas no divulgó montos. Referencia de industria: costo promedio global por ataque > USD 4,5M (F. D). 
• Impacto operativo: ISP paralizó certificados sanitarios (afectó Aduanas); Dávila e INDH, exposición de datos sensibles con costo reputacional/legal. No hay cifra oficial consolidada de pérdidas en Chile (vacío del ecosistema).

9. Marco regulatorio OIV y consecuencias para las víctimas

 9.1 Nóminas y obligaciones

• Nómina final 1ª etapa (Res. 87, 17-dic-2025): 915 OIV (servicios digitales 413, eléctrico 147, salud 114, banca 34, telecom 29, empresas/Estado). 2ª etapa preliminar (Res. 85, 24-abr-2026): 372 entidades más (combustibles, agua, transporte, concesiones, seguridad social, postal, farmacéutica).
• Deberes generales: gestión de riesgos y reporte al CSIRT (alerta en 3 h, informe en 72 h, reporte final 15–30 días según reglamento).
• Reforzados solo OIV: SGSI certificado, plan de continuidad y ciberseguridad auditable, delegado de ciberseguridad, medidas mínimas (~60 días desde la nómina).

9.2 Qué significa ser OIV víctima (víctima ≠ infracción)

Ser atacado no es sancionable. El incidente dispara un proceso: reporte obligatorio → coordinación de contención con ANCI/CSIRT → posible fiscalización de la ANCI para verificar el cumplimiento de deberes. La sanción solo procede si el OIV incumplió (no reportar, carecer de SGSI o plan, desobedecer una instrucción).

9.3 Cuadro de multas por nivel (Título VII, Ley 21.663)

Nivel	Tope general	Tope OIV	Conducta típica
Leve	Hasta 5.000 UTM	(se duplica en gravísima)	Incumplimientos formales menores
Grave	Hasta 10.000 UTM	(se duplica en gravísima)	No reportar en plazo; no implementar medidas exigidas
Gravísima	Hasta 20.000 UTM	Hasta 40.000 UTM (~$2.800M CLP)	No reportar deliberadamente; información falsa a la ANCI; desobedecer instrucción en incidente activo

Régimen paralelo: la Ley 21.719 de Protección de Datos sanciona la filtración de datos personales/sensibles (hasta 20.000 UTM), relevante en Clínica Dávila por datos de salud (incl. VIH).

9.4 Estado de las acciones públicas

• SERNAC ofició a Clínica Dávila (24-dic-2025): exige cronología, n° de afectados y reclamos en 10 días hábiles; advierte posibles acciones judiciales y administrativas.  
• ANCI/CSIRT coordinaron la contención en INDH (AIA26-00012), ISP y Subsec. Prevención del Delito.
• Sin multas firmes ni sumarios públicos contra estas víctimas a la fecha; 2026 es el primer año pleno de fiscalización, por lo que podría haber procesos en curso sin resolución pública.  

10. Conclusión

Chile llega a este período como el país más maduro de la región en el papel —primero en el índice BID/OEA, con ley marco, agencia y nómina de OIV—, pero los incidentes analizados muestran que esa madurez todavía no se traduce en defensa: se entró por credenciales filtradas, VPN sin MFA y RDP expuesto, no por sofisticación. El desafío de los próximos meses no es normativo sino de ejecución: cerrar la brecha entre el marco que ya existe y los controles básicos que siguen fallando. Mientras esa brecha persista, el régimen OIV documentará los incidentes más de lo que logrará evitarlos.