En mayo de 2024, ciberdelincuentes accedieron a una base de datos del grupo Santander con información de clientes de Chile, España y Uruguay, además de datos de unos 200.000 empleados. Dos años después, el Sernac presentó una demanda colectiva en Chile que habla de una base con datos de 4,9 millones de consumidores. Ningún comunicado bonito evitó ese expediente: evitó quien hubiera encontrado primero las vulnerabilidades reales. Si tu empresa opera en Chile, este es el estándar contra el que se mide una prueba de penetración seria.
Tabla de Contenido
Guía de compra: cómo elegir un proveedor de Pentesting en Chile
El mercado chileno está lleno de proveedores que venden «pentesting» y entregan un escaneo automatizado con portada. Antes de firmar, exige lo siguiente por escrito:
- Informe de ejemplo anonimizado. Pídelo antes de cotizar. Un informe serio muestra hallazgos con evidencia (solicitud, respuesta, captura), severidad con criterio de negocio, pasos de remediación concretos y un resumen ejecutivo que la gerencia entienda. Si el «informe» es un PDF de vulnerabilidades genéricas sin evidencia de explotación, no es pentesting.
- Retest incluido. Sin retest no hay forma de demostrar que las vulnerabilidades se corrigieron. Exige que la segunda ronda de pruebas esté incluida en la cotización, no como «extra opcional».
- Metodología y reglas de juego por escrito. Debe constar el alcance exacto (URLs, IPs, apps), lo que está fuera de alcance, las ventanas de prueba, el contacto de emergencia y el compromiso de confidencialidad. Un pentester profesional nunca prueba nada sin tu autorización documentada.
- Equipo, no plantilla. Pregunta quién ejecuta la prueba, cuánta experiencia tiene en tu sector y cuántas horas reales de testing manual incluye el servicio. El escáner lo hace cualquiera; la explotación manual de una lógica de negocio rota no.
Alcance mínimo según el perfil de tu organización
No todas las empresas chilenas necesitan lo mismo. Esto es lo mínimo razonable por perfil:
- Banca, fintech y medios de pago: app móvil y web, APIs de pagos, flujos de onboarding y transferencias. La NCG 538 de la CMF exige autenticación reforzada con dos factores desde agosto de 2026: el pentesting debe validar que esa implementación aguanta un ataque real.
- Retail y comercio electrónico: checkout, gestión de cuentas, integraciones de pago y lógica de descuentos/cupones. El fraude electrónico contra el comercio digital es de los vectores más activos en el país.
- Minería e industria: separación IT/OT, accesos remotos a plantas, VPNs y sistemas de gestión conectados. Una intrusión en red corporativa no debe poder saltar a operación.
- Pymes y servicios: sitio web, correo corporativo, superficie expuesta en internet y phishing interno controlado. Es donde más se concentra el ransomware oportunista.
Señales de alerta en un proveedor
Huye si detectas alguna de estas:
- Prometen «hackeo garantizado» o «acceso 100% asegurado». Nadie serio garantiza resultados antes de ver el objetivo. Es marketing, no seguridad.
- Te venden «obligaciones legales» que no existen. En Chile ninguna norma obliga a todas las empresas a hacer pentesting. Lo que sí existe: la Ley 21.663 exige a servicios esenciales y operadores de importancia vital gestionar riesgos y reportar incidentes a la ANCI; la CMF exige gestión de seguridad de la información a sus fiscalizados. Quien inventa una «multa por no hacer pentesting» está vendiendo miedo.
- Informes plantilla sin evidencia. Si el informe no muestra cómo se explotó cada hallazgo, es un escaneo, no un pentest.
- Sin retest, sin autorización escrita o con precio «desde» sin definir alcance. El alcance se define contigo, por escrito, antes de empezar.
Panorama de amenazas en Chile por sector
El cibercrimen en Chile ya no es anecdótico. Casos y cifras públicas recientes dibujan el mapa:
- Sector financiero: el ataque a Santander (mayo de 2024) expuso datos de millones de clientes en tres países y terminó en demanda colectiva del Sernac en 2026, que alega una base con datos de 4,9 millones de consumidores (fuente). Además, en Chile se bloquearon más de 5.000 ataques de troyanos bancarios, con tres familias activas en Android en 2025 frente a una sola el año anterior (fuente). El ataque migró de los computadores a los teléfonos.
- Retail y comercio digital: fraude electrónico, phishing dirigido a clientes y compromiso de plataformas transaccionales. La superficie crece con cada integración de pago.
- Minería e industria: operaciones digitalizadas con sistemas OT conectados a redes corporativas; el riesgo no es solo el dato, es la continuidad operativa.
- Sector público: la propia ANCI ha activado protocolos preventivos ante campañas que alcanzaban a instituciones del Estado chileno (fuente), señal de que el Estado ya opera bajo el nuevo régimen de reporte.
Chile concentra en Santiago su núcleo financiero, corporativo y tecnológico, con regiones productivas como Antofagasta y el Biobío que sostienen la minería y la industria con sistemas conectados. Esa digitalización profunda de sectores críticos amplía la superficie de ataque y convierte a las organizaciones chilenas en objetivos frecuentes del cibercrimen regional.
Normativa aplicable: lo que sí rige y desde cuándo
- Ley N° 21.663, Ley Marco de Ciberseguridad. Publicada en abril de 2024. Su régimen general rige desde el 1 de enero de 2025 y las obligaciones de operadores de importancia vital, reporte de incidentes y el régimen sancionatorio rigen desde el 1 de marzo de 2025. Crea la Agencia Nacional de Ciberseguridad (ANCI), operativa desde enero de 2025, que fiscaliza y sanciona. Los servicios esenciales y operadores de importancia vital deben gestionar riesgos y reportar incidentes significativos a la ANCI (alerta temprana en 3 horas, reporte completo en 72 horas), con multas de hasta 40.000 UTM en infracciones gravísimas para OIV (IAPP, análisis).
- Ley N° 21.719, de protección de datos personales. Publicada el 13 de diciembre de 2024; entra en plena vigencia el 1 de diciembre de 2026. Moderniza la antigua Ley 19.628, crea la Agencia de Protección de Datos Personales y obliga a reportar vulneraciones de seguridad con riesgo para los titulares «sin dilaciones indebidas», con multas de hasta 20.000 UTM (guía legal).
- Ley N° 21.113, de delitos informáticos. Establece sanciones penales para acceso no autorizado, alteración de datos y uso indebido de información. Texto en la Biblioteca del Congreso Nacional.
- CMF: NCG 538, NCG 454 y RAN 20-10. La Comisión para el Mercado Financiero exige a bancos, emisores de tarjetas, cooperativas y fintechs reguladas la autenticación reforzada de clientes (dos factores independientes) en operaciones críticas desde el 1 de agosto de 2026, y mantiene exigencias de gestión de seguridad de la información y ciberseguridad para sus fiscalizados (ITsitio, Anguita Osorio).
Nota honesta: ninguna de estas normas dice «haz pentesting». Exigen gestión de riesgos, reporte de incidentes y seguridad demostrable; el pentesting es la forma más directa de producir esa evidencia.
Preguntas frecuentes antes de contratar
¿El pentesting es obligatorio en Chile?
No existe una norma que obligue a todas las empresas a hacer pentesting. Pero si eres servicio esencial u operador de importancia vital bajo la Ley 21.663, debes gestionar riesgos de ciberseguridad y reportar incidentes a la ANCI; si estás fiscalizado por la CMF, debes operar un sistema de gestión de seguridad de la información. En ambos casos, un pentest es la evidencia más sólida de que esos deberes se cumplen.
¿Pentesting o análisis de vulnerabilidades?
El análisis de vulnerabilidades identifica y clasifica debilidades, generalmente con herramientas automatizadas. El pentesting las explota de forma controlada para demostrar el impacto real en tu negocio. Si ya haces escaneos periódicos, el pentest es el siguiente paso. Si nunca has probado nada, empieza por un alcance acotado: una aplicación web crítica y tu superficie expuesta.
¿Cuánto dura y cuánto cuesta?
Depende del alcance: un sitio web acotado puede tomar días; un ecosistema con app móvil, APIs y red interna, semanas. Desconfía de precios fijos sin visita de alcance: el precio serio se calcula por objetivos, tecnologías y horas de testing manual.
¿El pentesting interrumpe mi operación?
No, si está bien diseñado. Las reglas de juego definen ventanas de prueba, límites de explotación y contactos de emergencia. Cualquier prueba que pueda afectar disponibilidad se coordina contigo antes.
¿Por qué DragonJAR?
DragonJAR es comunidad de seguridad ofensiva desde 2001 y empresa desde 2012. Entregamos informe ejecutivo priorizado por riesgo con evidencia de cada hallazgo, recomendaciones de remediación accionables y retest para verificar que las vulnerabilidades quedaron corregidas, con informe en español. Atendemos organizaciones en Chile de forma remota, con cobertura en Santiago y todas las regiones del país.
Agenda una llamada de descubrimiento sin costo
Si operas en Chile —banca y servicios financieros, minería, retail y comercio electrónico, agroindustria o servicios—, conversemos 30 minutos: revisamos tu superficie de ataque, te recomendamos un alcance concreto para tu caso y te cotizamos con reglas de juego por escrito. Sin compromiso y sin letra pequeña. Completa el formulario o escríbenos y definimos el alcance recomendado para tu infraestructura.