Prueba de Penetración en Chile: Neutraliza ciberataques y asegura la continuidad de tu negocio

Qué es una prueba de penetración y qué cambia con la Ley 21.663

Una prueba de penetración es un ataque simulado y autorizado contra sus sistemas: profesionales de seguridad intentan vulnerarlos con las mismas técnicas que usaría un delincuente, para encontrar las fallas antes que él. A diferencia de un escáner automático, que solo lista posibles problemas, el pentest los explota de forma controlada y demuestra el impacto real de cada hallazgo.

En Chile, este ejercicio dejó de ser opcional para muchas organizaciones. La Ley 21.663, Ley Marco de Ciberseguridad —promulgada el 26 de marzo de 2024 y publicada en el Diario Oficial el 8 de abril de ese año— creó la Agencia Nacional de Ciberseguridad (ANCI) y el CSIRT Nacional, e impuso deberes de gestión de riesgos y reporte de incidentes a los servicios esenciales y operadores de importancia vital (fuente: Cuatrecasas). En la práctica, los directorios chilenos ahora deben demostrar diligencia en ciberseguridad, y un pentest independiente es la evidencia técnica más directa de esa diligencia.

El marco penal también se endureció: la Ley 21.459, publicada el 20 de junio de 2022, derogó la antigua Ley 19.223 y tipificó ocho delitos informáticos —ataque a sistemas, acceso e interceptación ilícitos, ataque a datos, falsificación y fraude informático, entre otros— adecuando a Chile al Convenio de Budapest (fuente: Montt Group). Y si su empresa maneja datos de personas, la Ley 19.628 sobre protección de la vida privada, vigente desde el 28 de agosto de 1999, regula el tratamiento de datos personales en registros públicos y privados (texto en LeyChile). Un incidente con filtración de datos en Chile hoy tiene consecuencias legales en varios frentes a la vez.

• Ley N° 21.663, Ley Marco de Ciberseguridad. Publicada en abril de 2024. Su régimen general rige desde el 1 de enero de 2025 y las obligaciones de operadores de importancia vital, reporte de incidentes y el régimen sancionatorio rigen desde el 1 de marzo de 2025. Crea la Agencia Nacional de Ciberseguridad (ANCI), operativa desde enero de 2025, que fiscaliza y sanciona. Los servicios esenciales y operadores de importancia vital deben gestionar riesgos y reportar incidentes significativos a la ANCI (alerta temprana en 3 horas, reporte completo en 72 horas), con multas de hasta 40.000 UTM en infracciones gravísimas para OIV (IAPP, análisis).
• Ley N° 21.719, de protección de datos personales. Publicada el 13 de diciembre de 2024; entra en plena vigencia el 1 de diciembre de 2026. Moderniza la antigua Ley 19.628, crea la Agencia de Protección de Datos Personales y obliga a reportar vulneraciones de seguridad con riesgo para los titulares «sin dilaciones indebidas», con multas de hasta 20.000 UTM (guía legal).

Por qué las empresas chilenas están en el radar de los atacantes

Santiago concentra las casas matrices regionales de la minería, la banca y los servicios financieros, el retail, las telecomunicaciones y los servicios corporativos del Cono Sur. Esa densidad, sumada a una digitalización profunda de trámites, banca y comercio, hace que los datos y el dinero pasen por infraestructura chilena todos los días. Los atacantes van donde están los datos y el dinero.

No es teoría. El 24 de mayo de 2018, el Banco de Chile sufrió un ciberataque en el que los delincuentes usaron un virus como distracción —cientos de computadores infectados, sucursales cerradas— mientras ejecutaban transferencias fraudulentas por el sistema SWIFT por cerca de US$10 millones, con fondos enviados a Hong Kong (fuente: dConstrucción). Fue el primer robo a un banco chileno mediante un ciberataque del que se tiene registro. Y en minería y energía, la convergencia entre tecnología operativa (OT) y redes corporativas (IT) abre una superficie que un atacante paciente sabe aprovechar: un pentest especializado es de las pocas formas de evaluarla sin poner en riesgo la operación.

En mayo de 2024, ciberdelincuentes accedieron a una base de datos del grupo Santander con información de clientes de Chile, España y Uruguay, además de datos de unos 200.000 empleados. Dos años después, el Sernac presentó una demanda colectiva en Chile que habla de una base con datos de 4,9 millones de consumidores. Ningún comunicado bonito evitó ese expediente: evitó quien hubiera encontrado primero las vulnerabilidades reales. Si su empresa opera en Chile, este es el estándar contra el que se mide una prueba de penetración seria.

Los errores que más vemos en empresas chilenas

Cuando auditamos organizaciones en Chile, ciertos patrones se repiten con una frecuencia que ya no sorprende:

• Proveedores con acceso sin evaluar. El caso IFX/mercadopublico.cl mostró que su continuidad depende de la seguridad de sus proveedores. Pocas empresas chilenas auditan la postura de quienes les prestan infraestructura crítica.
• Portales y APIs expuestos sin autenticación robusta. Banca digital, e-commerce y plataformas de clientes con endpoints olvidados o mal configurados.
• OT e IT conectados sin segmentación. En minería y energía, redes de planta que terminan alcanzables desde la red corporativa.
• Phishing en español y fraude BEC. Ingeniería social dirigida a colaboradores y ejecutivos, en su idioma y con contexto local.
• Sin pruebas periódicas ni plan de respuesta. Muchas empresas hacen un pentest una vez «para cumplir» y archivan el informe. La seguridad que no se revalida, caduca.

Chile: contexto empresarial y superficie de ataque

Chile concentra una parte relevante de la actividad corporativa del Cono Sur: minería, banca y servicios financieros, retail, telecomunicaciones y servicios tienen en Santiago su centro de operaciones regional. Esa densidad empresarial, sumada a una alta digitalización de trámites y servicios, convierte a las empresas chilenas en un objetivo atractivo: los atacantes van donde están los datos y el dinero. Una prueba de penetración en Chile ayuda a las organizaciones a validar que sus controles están a la altura de ese nivel de exposición.

Superficie de ataque por sector en Chile

Minería y proveedores: sistemas de gestión de faenas, portales de contratistas, accesos remotos a operaciones, y donde aplica, redes de control industrial. El riesgo no está solo en la faena: está en los cientos de proveedores con acceso a sus sistemas.

Banca y finanzas: banca en línea, aplicaciones móviles, APIs de pagos y transferencias, redes de sucursales. El ataque de 2018 al Banco de Chile —intrusión a su red interna seguida de fraude por la red SWIFT por alrededor de US$10 millones— mostró que el objetivo ya no es solo la aplicación web, sino la infraestructura completa.

Retail y e-commerce: plataformas de venta, pasarelas de pago, bases de datos de clientes. En temporada alta el tráfico se multiplica y con él la exposición; los atacantes lo saben.

Energía y servicios: sistemas de gestión, telemedición, proveedores de mantenimiento con accesos remotos permanentes que casi nadie audita.

Riesgos de ciberseguridad para las empresas en Chile

Los riesgos más comunes para empresas en Chile incluyen el fraude contra la banca digital y los medios de pago, el phishing masivo en español dirigido a clientes y colaboradores, la exposición de aplicaciones web y APIs, y los ataques a la cadena de suministro a través de proveedores. En minería y energía, además, convergen los entornos de tecnología operativa (OT) con las redes corporativas (IT), un punto que solo una prueba especializada sabe evaluar sin poner en riesgo la operación.

Panorama de amenazas en Chile: lo que muestran los datos

Chile combina alta digitalización con alta exposición. Los datos del informe anual State of Ransomware de Sophos para el país muestran que el costo medio de recuperación tras un ataque de ransomware alcanzó los USD 1,04 millones, y que la explotación de vulnerabilidades fue la causa técnica más común de los ataques (33 %), seguida por correos maliciosos (31 %) y compromiso de credenciales (21 %). El mismo estudio señala que los dispositivos de los usuarios se consolidaron como el punto de entrada más habitual (52 %), lo que confirma que el robo de identidad es hoy uno de los principales mecanismos de distribución del ransomware (IT Sitio, sobre el informe de Sophos).

En la práctica chilena, esto se traduce en tres frentes constantes:

• Phishing y robo de credenciales: la alta bancarización y el uso masivo de la banca electrónica hacen que los correos y mensajes que suplantan bancos, servicios públicos o plataformas de pago sean un vector permanente. Capturar las credenciales de un empleado con acceso a sistemas internos puede ser el primer paso de una intrusión mayor.
• Fraude en pagos y suplantación comercial: atacantes que falsifican correos de proveedores para desviar transferencias, crean sitios que imitan portales de pago legítimos o suplantan la identidad de empresas para engañar a sus clientes. El retail y los servicios, con altos volúmenes de transacciones, concentran buena parte de este riesgo.
• Ransomware en empresas digitalizadas: un ataque que cifre los sistemas de gestión, facturación o atención al cliente puede detener la operación por completo. En sectores donde la continuidad del servicio es crítica, como la banca o el retail, cada hora de interrupción tiene un costo directo y un daño reputacional difícil de revertir.

Qué tipos de prueba convienen a una empresa en Chile

No todas las pruebas sirven para todos. Según su sector, el alcance debería incluir:

• Aplicaciones web y APIs. Imprescindible para banca, fintech, retail y cualquier empresa con portales de clientes o comercio electrónico.
• Infraestructura de red interna y externa. Para validar segmentación, exposición de servicios y la postura frente a un atacante con acceso inicial.
• Ingeniería social y phishing simulado. El vector de entrada más común en Chile; medir la respuesta real de sus colaboradores vale más que otro curso genérico.
• OT / SCADA. Para minería, energía y manufactura: evaluación de la convergencia IT/OT con metodologías que no interrumpen la operación.
• Aplicaciones móviles. Si sus clientes operan desde el teléfono, su app es su sucursal: debe probarse como tal.

En nuestra experiencia, el error más caro es pedir «un pentest» sin definir qué se quiere demostrar. Un buen alcance nace de sus activos críticos, no de una lista genérica.

Alcance mínimo según el perfil de su organización

No todas las empresas chilenas necesitan lo mismo. Esto es lo mínimo razonable por perfil:

• Banca, fintech y medios de pago: app móvil y web, APIs de pagos, flujos de onboarding y transferencias. La NCG 538 de la CMF exige autenticación reforzada con dos factores desde agosto de 2026: el pentesting debe validar que esa implementación aguanta un ataque real.
• Retail y comercio electrónico: checkout, gestión de cuentas, integraciones de pago y lógica de descuentos/cupones. El fraude electrónico contra el comercio digital es de los vectores más activos en el país.
• Minería e industria: separación IT/OT, accesos remotos a plantas, VPNs y sistemas de gestión conectados. Una intrusión en red corporativa no debe poder saltar a operación.
• Pymes y servicios: sitio web, correo corporativo, superficie expuesta en internet y phishing interno controlado. Es donde más se concentra el ransomware oportunista.

Cómo trabaja DragonJAR una prueba de penetración en Chile

Un Pentesting serio empieza mucho antes del primer intento de intrusión. Así lo hacemos:

1. Alcance firmado y reglas de juego claras.Definimos objetivos, sistemas incluidos y excluidos, ventanas de prueba y canales de comunicación. Todo queda por escrito, con acuerdo de confidencialidad.
2. Pruebas manuales, no solo escáneres.Las herramientas automatizadas encuentran lo conocido; los atacantes reales encadenan fallas. Nuestros especialistas validan cada hallazgo a mano.
3. Hallazgos críticos notificados de inmediato.Si encontramos algo que pone en riesgo su operación, lo sabe el mismo día, no cuando se entregue el informe final.
4. Informe ejecutivo en español.Dos lecturas: una técnica para su equipo de TI, con evidencia y pasos de remediación; y una ejecutiva para el directorio, con riesgos priorizados por impacto al negocio.
5. Re-test para cerrar el ciclo.Verificamos que cada vulnerabilidad corregida quedó realmente cerrada. Sin costo adicional por esa segunda vuelta.

DragonJAR nació como comunidad de seguridad informática en 2001 y opera como empresa desde 2012. Atendemos empresas en Chile y Latinoamérica de forma remota y presencial, con equipos especializados en pruebas de penetración para organizaciones de todos los tamaños.

Escenarios que vemos en empresas chilenas

Proveedor minero en Antofagasta: decenas de contratistas con accesos VPN permanentes a los sistemas de gestión, credenciales compartidas y sin revisión periódica. El pentesting aquí empieza por mapear quién tiene acceso a qué, no por la aplicación web.

Retail con e-commerce en temporada alta: la plataforma aguanta el tráfico, pero nadie probó la lógica de la pasarela de pago: manipulación de precios en el carrito, cupones reutilizables, enumeración de cuentas. Lo que el escáner no ve, el atacante manual sí.

Empresa de servicios en Santiago con clientes regulados: sus clientes bancarios le exigen evidencia de pruebas de seguridad para renovar el contrato. Un informe de pentesting con re-test documentado se convierte en herramienta comercial, no solo técnica.

Qué gana su empresa con un pentest en Chile

• Evidencia para el directorio. Frente a la Ley 21.663, demostrar gestión de riesgos con una prueba independiente deja de ser un lujo: es diligencia documentada.
• Continuidad operativa. En minería y energía, una intrusión en OT no es un incidente de TI: es producción detenida. Validarlo a tiempo cuesta una fracción de un día de planta parada.
• Confianza de clientes y socios. En banca y retail, un informe de pentest reciente acelera procesos de homologación y alianzas comerciales.
• Menos fraude. Probar sus canales digitales como lo haría un defraudador es la forma más barata de encontrar las rutas que él ya está explorando.
• Protección de datos personales. Con la Ley 19.628 vigente y una ANCI fiscalizando, una filtración evitable es también un problema legal evitable.

Cómo elegir un proveedor de test de penetración en Chile

En nuestra experiencia, los compradores que obtienen mejores resultados no son los que eligen al proveedor más barato, sino los que comparan propuestas con un criterio claro. Esto es lo que debería exigir:

• Alcance definido por escrito: la propuesta debe listar exactamente qué se evalúa (aplicaciones web, APIs, red externa, red interna, aplicaciones móviles) y qué queda fuera. Un alcance vago produce hallazgos vagos.
• Metodología explicada: pide que describan cómo trabajan: fases, tipo de pruebas (caja negra, gris o blanca), herramientas y enfoque manual. Desconfíe de quien solo menciona «escaneos automatizados».
• Evidencia reproducible: el informe final debe permitir a su equipo reproducir cada hallazgo paso a paso. Un listado de vulnerabilidades sin evidencia es un inventario, no un Pentesting.
• Re-test incluido: una vez corrija las vulnerabilidades, alguien debe verificar que quedaron cerradas. Si el proveedor no lo ofrece, pagará dos veces por la misma evaluación.
• Reglas de juego y comunicación: autorización escrita, horarios de prueba, sistemas excluidos y un canal directo con el equipo técnico durante la evaluación. Esto protege su operación y es señal de profesionalismo.

Señales de alerta de una propuesta mala: cotización sin preguntar por su infraestructura; promesa de «hackearte en 24 horas garantizado»; informe que es solo la salida de un escáner; negativa a firmar acuerdos de confidencialidad; o precios tan bajos que no cubren ni el tiempo de análisis manual. En ciberseguridad, lo barato mal hecho es lo más caro.

Conclusión: en Chile, la pregunta ya no es si le van a probar, sino quién lo hace primero

Entre el robo al Banco de Chile en 2018, la caída de mercadopublico.cl por el ransomware a IFX en 2023 y una Ley Marco de Ciberseguridad que ya creó su agencia fiscalizadora, el mensaje para las empresas chilenas es consistente: la amenaza es real, la regulación ya está vigente y la evidencia de diligencia se construye antes del incidente, no después. Una prueba de penetración en Chile es esa evidencia: saber hoy, con un atacante autorizado de su lado, dónde están sus fallas, para que mañana no se las muestre un atacante real.