El 16 de septiembre de 2024, a las 2:20 de la madrugada, Huachipato apagó su Alto Horno 2 en Talcahuano y cerró 74 años de operaciones. No fue un ciberataque lo que la detuvo —fue la competencia del acero chino—, pero ese apagón resume el momento que vive el Gran Concepción: una región industrial en plena reconversión, con plantas que se automatizan, terminales portuarios que digitalizan sus operaciones y pymes que heredan la infraestructura tecnológica de ese tejido productivo. La superficie de ataque de la zona está creciendo más rápido que sus defensas.
Concepción es el centro industrial y universitario de la región del Biobío: forestal y celulosa, manufactura, pesca, energía, banca, salud y universidades que mueven investigación y datos. En Talcahuano, los terminales de San Vicente y Talcahuano movilizaron más de 3,1 millones de toneladas en un solo semestre, y el 85% de la carga total que exporta la región es forestal. Cada embarque corre sobre sistemas de gestión, trazabilidad y aduanas entrelazados, donde un eslabón comprometido frena exportaciones reales.
Tabla de Contenido
Por qué las empresas del Gran Concepción son un objetivo rentable
Un atacante no elige objetivos por simpatía: elige donde la interrupción duele más. En Concepción, tres factores concentran el riesgo.
Convergencia IT/OT. Las plantas industriales de la zona —forestales, manufactureras, energéticas— llevan décadas operando sistemas de control (SCADA, HMI, PLC) diseñados cuando la red de planta estaba aislada. Hoy muchos están conectados a la red corporativa para monitoreo remoto o integración con el ERP. Esa convergencia multiplica las vías de entrada: un phishing en la oficina administrativa puede terminar siendo un vector hacia la red de planta.
Cadena de suministro. Proveedores, transportistas, mantenedores e integradores acceden a las redes de las empresas del Biobío todos los días. Cada tercero conectado es una superficie de ataque delegada: los atacantes lo saben y prefieren entrar por el eslabón con menos controles que la empresa grande que sí invierte en seguridad.
Puertos y trazabilidad. Los terminales portuarios y sus sistemas de documentación, agendamiento y seguimiento de carga concentran datos comerciales sensibles y operan con plazos estrictos. Un ransomware en un sistema de gestión portuaria no solo cifra datos: detiene camiones, buques y exportaciones.
El calendario regulatorio chileno: ya no es opcional
Chile dejó de tratar la ciberseguridad como una buena práctica y la convirtió en obligación legal. Dos leyes cambian el cálculo para cualquier empresa de la región:
- Ley 21.663, Ley Marco de Ciberseguridad. Publicada en abril de 2024 y vigente desde 2025, crea la Agencia Nacional de Ciberseguridad (ANCI) y obliga a los prestadores de servicios esenciales y a los Operadores de Importancia Vital (OIV) a gestionar sus riesgos de ciberseguridad y a reportar los incidentes significativos: alerta temprana en 3 horas y reporte completo en 72 horas, según el detalle de esta guía de cumplimiento. El régimen sancionatorio contempla multas de hasta 40.000 UTM. Si tu empresa provee servicios esenciales o es calificada como OIV, un pentest documentado es evidencia de gestión de riesgos frente a la ANCI.
- Ley 21.719, que reforma la Ley 19.628 de protección de datos. Publicada el 13 de diciembre de 2024, su entrada en vigencia está fijada para el 1 de diciembre de 2026, crea la Agencia de Protección de Datos Personales, obliga a reportar las vulneraciones de seguridad «sin dilaciones indebidas» y establece multas de hasta 20.000 UTM. Clínicas, universidades, comercios con venta en línea y cualquier empresa del Biobío que trate datos de clientes o pacientes debe demostrar que sus sistemas resisten ataques reales, no solo auditorías de papel.
Los cinco errores que más se repiten en la región
En infraestructuras industriales y comerciales como las de Concepción, los hallazgos tienden a repetirse:
- Red de planta sin segmentar. Equipos de control industrial accesibles desde la red corporativa, o peor, desde internet a través de accesos remotos de mantenimiento con credenciales débiles.
- Sistemas de gestión expuestos. ERP, WMS y portales de clientes instalados una vez y nunca endurecidos: paneles administrativos publicados en internet con credenciales por defecto o sin doble factor.
- Phishing dirigido al personal operativo. Técnicos de planta y personal administrativo con cuentas que abren la puerta a sistemas críticos, y poca preparación frente a campañas de ingeniería social diseñadas para el rubro.
- Copias de seguridad que nunca se probaron. El backup existe en la política, pero nadie verificó la restauración. Un backup que nunca se restauró es un backup que no existe, y el ransomware lo demuestra.
- Terceros conectados sin control. Integradores y mantenedores con acceso persistente a la red interna, sin revisión periódica de cuentas ni acuerdos mínimos de seguridad.
Qué tipo de prueba necesita tu perfil
No todas las organizaciones de la zona necesitan lo mismo. El alcance se diseña por perfil:
Pyme comercial, de servicios o manufactura liviana
Pentest externo de perímetro (sitio web, correo, VPN, servicios publicados), prueba de aplicaciones web y phishing simulado dirigido al personal. Es el punto de partida: cierra las puertas que un atacante automatizado encuentra en minutos.
Planta industrial con tecnología operativa (OT)
Evaluación IT/OT con reglas estrictas de no disrupción: descubrimiento pasivo primero, pruebas intrusivas solo en ventanas de mantenimiento acordadas y sin denegación de servicio salvo autorización explícita. Se evalúa la segmentación entre red corporativa y red de planta, el acceso remoto de técnicos y proveedores, y los activos legacy que ya no admiten parches, que se documentan con medidas de compensación.
Proveedor del Estado o de servicios esenciales
Pentest alineado a los deberes de la Ley 21.663: evaluación técnica más revisión documental de controles (gestión de riesgos, respuesta a incidentes, continuidad), de modo que el informe sirva como evidencia ante la ANCI y en procesos de contratación pública.
Cómo trabaja DragonJAR en entornos industriales
DragonJAR es una comunidad de seguridad informática activa desde 2001 y una empresa fundada en 2012, con un equipo especializado en Ethical Hacking que atiende organizaciones en Concepción de forma remota, con cobertura en todo Chile. Cada servicio se ejecuta bajo reglas de compromiso claras, especialmente en entornos OT donde una prueba mal diseñada puede detener una línea de producción.
- Informe en español, ejecutivo y técnico. Cada hallazgo se prioriza por riesgo real para tu operación, con pasos de reproducción y recomendaciones prácticas. Sin falsos positivos: lo reportado fue explotado y validado.
- Re-test incluido. Verificamos que las vulnerabilidades hayan quedado corregidas después de aplicar las recomendaciones, hasta cerrar el ciclo.
- Reglas claras para OT. Fases pasivas antes que activas, ventanas acordadas con operaciones, y escalamiento inmediato si una prueba toca un sistema sensible. La planta sigue produciendo mientras nosotros probamos.
Preguntas frecuentes sobre ethical hacking en Concepción
¿La prueba puede interrumpir la operación de mi planta?
No, si está bien diseñada. En entornos industriales trabajamos con reglas de compromiso explícitas: reconocimiento pasivo primero, pruebas intrusivas solo en ventanas de mantenimiento que tu equipo de operaciones aprueba, y prohibición de denegación de servicio salvo autorización escrita. El objetivo es encontrar las fallas sin detener la producción.
¿Mi empresa está obligada por la Ley 21.663?
Depende. La ley alcanza a los prestadores de servicios esenciales y a las instituciones que la ANCI califique como Operadores de Importancia Vital. Si estás en ese grupo, el reporte de incidentes y la gestión de riesgos son obligaciones con sanciones reales, y un pentest documentado es una de las evidencias más sólidas frente a la fiscalización.
¿Qué hacen con los equipos viejos que ya no se pueden actualizar?
Los documentamos como hallazgos con riesgo aceptado o compensado: segmentación de red, monitoreo dedicado, restricción de accesos y planes de reemplazo. Ignorarlos no es una opción; la salida es controlar el riesgo, no fingir que no existe.
¿Qué recibo al final del servicio?
Un informe en español con resumen ejecutivo para la gerencia y detalle técnico para tu equipo, hallazgos priorizados por riesgo, recomendaciones de remediación y un re-test para verificar las correcciones. El servicio se ejecuta de forma remota para organizaciones en Concepción, con etapas presenciales disponibles cuando el entorno OT lo requiere.
¿Cuánto cuesta un pentest para una pyme?
Depende del alcance: número de direcciones IP, aplicaciones, sedes y si incluye OT o ingeniería social. La primera llamada es de descubrimiento sin costo: entendemos tu infraestructura y te proponemos el alcance mínimo que cubra tu riesgo real, sin inflar el servicio.
Hablemos de tu infraestructura en Concepción
Si operas en el Gran Concepción —industria forestal o manufactura, logística portuaria, comercio, salud o servicios— y tus sistemas sostienen producción, exportaciones o datos de clientes, el ethical hacking te muestra las vulnerabilidades reales antes de que un atacante las explote. Agenda una llamada de descubrimiento sin costo: revisamos tu infraestructura, te recomendamos el alcance adecuado y decides sin compromiso.