• Central: 22 869 1746
  • Urgencias 24/7: 9 99822 311
  • contacto@cutsecurity.cl
SOMOS GRUPO TECH
Ley Marco Ciberseguridad

¿Tu empresa es un Operador de Importancia Vital? Consulta pública ya está abierta

  • Prevención y Normativas

La Agencia Nacional de Ciberseguridad (ANCI) dio inicio al primer proceso oficial de calificación de Operadores de Importancia Vital (OIV), una categoría definida por la Ley 21.633 para identificar a instituciones públicas y privadas que proveen servicios críticos para el país.

Esta etapa —que incluye una consulta pública activa desde el 16 de septiembre de 2025— busca validar el listado preliminar elaborado por la ANCI, que ya identificó 1.712 instituciones como potenciales OIV.

¿Qué es un Operador de Importancia Vital (OIV)?

Según la Ley Marco de Ciberseguridad, un OIV es toda organización cuya interrupción de operaciones o servicios podría afectar la seguridad nacional, la salud pública, la economía o la estabilidad social.

Los OIV tienen obligaciones más estrictas en materia de ciberseguridad: deben contar con protocolos técnicos, reportar incidentes y demostrar capacidad operativa frente a amenazas digitales.

¿Quiénes están en el primer listado?

De un universo de tres millones de instituciones, la ANCI evaluó a 60 mil entidades y seleccionó a 1.712 que fueron precalificadas como OIV. Estas se distribuyen en 7 sectores clave:

  • Generación, transmisión o distribución eléctrica: 307 organizaciones.
  • Telecomunicaciones: 52 instituciones.
  • Infraestructura digital y servicios TI de terceros: 748 empresas.
  • Banca y medios de pago: 111 instituciones.
  • Salud institucional (hospitales, clínicas, centros médicos): 326 prestadores.
  • Empresas públicas creadas por ley: 21 empresas.
  • Organismos de la Administración del Estado: 147 entidades.

¿Para qué sirve la consulta pública?

Este proceso tiene dos objetivos principales:

  1. Validar el listado preliminar de OIV.
  2. Incorporar observaciones y nuevas propuestas.

Cualquier persona natural o jurídica puede participar desde el 16 de septiembre, ingresando al portal oficial:
🔗 https://portal.anci.gob.cl

Allí es posible:

  • Revisar si una empresa o institución fue incluida.
  • Proponer nuevas entidades que deberían considerarse.
  • Enviar comentarios u objeciones sobre las que aparecen listadas.

El proceso estará abierto por 30 días corridos.

¿Cómo saber si tu empresa está en la lista?

En Cut Security ponemos a tu disposición una herramienta rápida y accesible:

🎯 Nuestro GPT especializado te permite:

  • Saber si tu empresa fue preseleccionada como OIV.
  • Conocer qué debe cumplir tu organización en caso de estar calificada.
  • Entender el contexto normativo y técnico de la Ley 21.633.

¿Necesitas asesoría? Puedes contactarnos directamente a través de nuestro sitio web para recibir orientación sobre este proceso y adecuar tu estrategia de cumplimiento.

Ingresa a nuestro GPT y consulta con nuestro asistente. No te quedes fuera del proceso.

También te podría interesar: ¿Tu empresa es un Operador de Importancia Vital? Así lo determina la Ley 21.663

Noticia en desarrollo

Seguiremos informando conforme avance el proceso y se publique la lista definitiva.

🔗 Conoce todas nuestras marcas
Cut Security forma parte del ecosistema digital de Grupotech.
Descubre nuestras otras marcas especializadas en ciberseguridad, desarrollo web, automatización y soluciones digitales para empresas chilenas.

¿Cuánto cuesta recuperarse de un ciberataque en Chile?

  • Riesgos Digitales

Cuando se habla de ciberseguridad, muchas empresas chilenas piensan en inversión. Pero pocas consideran lo más crítico: el costo de no invertir. En un país donde los ataques crecen en volumen y sofisticación, recuperarse de un ciberataque no es solo cuestión de restaurar sistemas, sino de enfrentar pérdidas económicas, operativas y reputacionales profundas.

Cifras alarmantes en Chile

De acuerdo con datos recientes de entidades como TrendTIC, Sophos y Fortinet, el costo promedio de recuperación tras un ciberataque en empresas chilenas puede superar los USD 650.000, dependiendo del tipo de incidente y del nivel de preparación previa.

Una encuesta regional de Sophos 2025 muestra que en Chile:

  • El 94 % de las empresas enfrentó intentos de intrusión durante el último año.
  • El 56 % de las víctimas de ransomware terminó pagando el rescate.
  • El tiempo promedio de recuperación total (incluyendo operaciones y reputación) supera los 21 días.

Estas cifras no solo impactan a grandes compañías. Las pymes chilenas también están en la mira, y muchas no sobreviven financieramente a un incidente mayor.

¿Qué compone el “costo real” de un ciberataque?

Aunque el impacto técnico es evidente (pérdida de acceso, daño a sistemas, tiempo fuera de línea), el costo real de un ciberataque incluye múltiples capas:

  • Pérdidas por interrupción del negocio: paralización de operaciones, caída de ventas, imposibilidad de prestar servicios.
  • Costos legales y regulatorios: asesoría jurídica, multas por no cumplir con normativas como la Ley 21.663.
  • Daño reputacional: pérdida de confianza de clientes, medios, inversionistas.
  • Gastos técnicos y forenses: recuperación de datos, auditorías de ciberseguridad, contratación de expertos externos.
  • Compensaciones o demandas: indemnizaciones a clientes o proveedores afectados.
  • Aumento en primas de seguros o cancelación de pólizas.

En muchos casos, las pérdidas más altas provienen de áreas no contempladas en el presupuesto inicial.

Casos que reflejan la realidad

Aunque muchas empresas optan por no divulgar incidentes, se conocen casos públicos que muestran la gravedad del impacto. Instituciones del Estado, clínicas, empresas de transporte y universidades han enfrentado ataques que interrumpieron servicios durante semanas.

En 2023, un ciberataque a una plataforma pública dejó fuera de línea servicios digitales esenciales por más de 10 días. Aunque no se confirmó el monto de las pérdidas, fuentes estiman que superaron los $400 millones de pesos en daños operacionales y reputacionales.

¿Cuánto cuesta prevenir en comparación?

Invertir en ciberseguridad proactiva es, en la mayoría de los casos, mucho más económico que recuperarse después de un ataque. Un plan de protección robusto incluye:

  • Políticas y protocolos claros
  • Seguridad perimetral y de endpoints
  • Backups regulares
  • Simulaciones de ataque (pentesting)
  • Capacitación a equipos y directorio
  • Monitoreo constante (SOC / SIEM)

El costo promedio anual de este tipo de medidas en una pyme puede ir entre los $3 y $10 millones de pesos. Una cifra menor frente al potencial costo de recuperación.

¿Por qué muchas empresas aún no actúan?

Algunas razones comunes incluyen:

  • Falta de información sobre los riesgos reales
  • Creencia de que “nuestra empresa no es objetivo”
  • Subestimación del daño reputacional
  • Percepción de que la ciberseguridad es cara o compleja

La nueva Ley Marco de Ciberseguridad (21.663) busca revertir esta inercia, obligando a organizaciones públicas y privadas a tomar medidas concretas.

También te podría interesar: ¿Tu empresa es un Operador de Importancia Vital? Así lo determina la Ley 21.663

Conclusión

Los ciberataques en Chile ya no son una posibilidad, son una certeza estadística. Lo que está en juego no es solo la continuidad operativa, sino el futuro financiero de las empresas.

Invertir en ciberseguridad no debe verse como un gasto, sino como una póliza de protección integral. Quienes actúan tarde, lo hacen desde el daño. Quienes se anticipan, lo hacen desde la estrategia.

🔗 Conoce todas nuestras marcas
Cut Security forma parte del ecosistema digital de Grupotech.
Descubre nuestras otras marcas especializadas en ciberseguridad, desarrollo web, automatización y soluciones digitales para empresas chilenas.

Subsecretaría de Prevención del Delito sufre ataque ransomware: computadores inhabilitados y servicios detenidos

  • Riesgos Digitales

La mañana del 11 de septiembre de 2025, la Subsecretaría de Prevención del Delito (SPD) fue víctima de un ataque informático tipo ransomware, lo que ha dejado inhabilitados sus computadores y ha provocado la caída total de sus sistemas.

Según reportó el medio Fast Check CL, funcionarios de la SPD se encontraron con un mensaje en pantalla que decía: “Your System Has Been Blocked”. Esto es típico de los ataques ransomware, donde el malware bloquea el acceso a los equipos y exige el pago de un rescate para restaurar la información.

¿Qué se sabe hasta ahora?

  • El ataque ocurrió durante la madrugada del miércoles.
  • Los computadores institucionales quedaron bloqueados.
  • Funcionarios no pueden acceder a sus dispositivos.
  • La Agencia Nacional de Ciberseguridad (ANCI) llegó a las oficinas de la SPD para investigar.
  • Existe preocupación de que el ransomware haya alcanzado servidores internos.
  • El comunicado oficial de la SPD calificó el incidente como un “incidente informático”, sin confirmar la naturaleza del ataque.
  • Sin embargo, fuentes internas aseguran que todos los sistemas están inhabilitados y los funcionarios han debido operar de forma remota mientras se resuelve la situación.

¿Por qué esto es grave?

Este ataque ocurre en una institución clave del aparato estatal chileno, responsable de políticas públicas de prevención del delito y coordinación con distintas entidades de seguridad. El secuestro de sus sistemas genera múltiples riesgos:

  • Interrupción de servicios esenciales.
  • Posible acceso no autorizado a datos sensibles.
  • Riesgo reputacional para la institucionalidad pública.
  • Exposición ante posibles filtraciones de información confidencial.

Además, al tratarse de un organismo gubernamental, el ataque podría tener motivaciones más amplias, incluyendo espionaje, sabotaje o intentos de desestabilización.

También te podría interesar: Agencia Nacional de Ciberseguridad: ¿Te puede fiscalizar?

Noticia en desarrollo. Seguiremos informando.

🔗 Conoce todas nuestras marcas
Cut Security forma parte del ecosistema digital de Grupotech.
Descubre nuestras otras marcas especializadas en ciberseguridad, desarrollo web, automatización y soluciones digitales para empresas chilenas.

Ethical Hacking: ¿Por qué un solo test no basta para proteger tu empresa?

  • Ciberseguridad

Muchas empresas creen que al realizar un único test de ethical hacking, también conocido como pentesting, ya cumplieron con su deber en ciberseguridad. Pero confiar en un solo ejercicio puede generar una falsa sensación de seguridad que termina siendo más peligrosa que no hacer nada.

Un solo test puede ayudarte a identificar fallos iniciales, pero no es suficiente para validar que las correcciones se hayan implementado correctamente ni que otras brechas no hayan surgido después. Además, las amenazas evolucionan rápidamente, y lo que era seguro hace un mes puede ya no serlo hoy. Por eso, hacer solo un test revela vulnerabilidades visibles en ese momento, pero no confirma que hayan sido realmente corregidas ni que no existan nuevas brechas invisibles.

¿Qué es un ethical hacking (y qué no es)?

Un ethical hacking es una simulación controlada de un ciberataque, ejecutada por expertos con permiso del cliente. El objetivo es detectar fallas antes que lo hagan los atacantes reales, evaluando tanto vulnerabilidades técnicas como errores humanos, debilidades en políticas y configuraciones expuestas.

También llamado test de penetración o «pentest», este ejercicio proporciona un diagnóstico claro del estado de seguridad de una organización en un momento específico. Ayuda a entender cuán expuesta está una infraestructura frente a técnicas reales utilizadas por cibercriminales.

Por qué hacer solo uno puede ser peligroso

Un único pentest puede generar confianza… pero también riesgos ocultos. ¿Por qué?

  • No confirma si los errores corregidos fueron realmente eliminados.
  • No detecta nuevas vulnerabilidades que hayan surgido tras actualizaciones.
  • No valida si los cambios implementados abrieron nuevos vectores de ataque.
  • No evalúa si el equipo interno aprendió de la experiencia anterior.

En ciberseguridad, lo que no se prueba, no se puede asegurar. Por eso, hacer un segundo ethical hacking es tan importante como el primero.

El verdadero valor del segundo test

Hacer un segundo test no solo es una verificación, es parte de un proceso maduro de seguridad.

Un segundo ethical hacking permite:

  • Confirmar que las medidas correctivas fueron eficaces.
  • Detectar vulnerabilidades residuales o nuevas.
  • Verificar que no se reintrodujeron errores tras cambios operativos.
  • Medir el progreso del equipo de seguridad frente al test anterior.

Además, sirve como evidencia de mejora continua en auditorías o cumplimiento normativo (como la Ley 21.663 en Chile).

Cuándo hacer el segundo ethical hacking

Idealmente, se debe programar un segundo pentest:

  • 60 a 90 días después del primero, una vez implementadas las correcciones.
  • Tras grandes cambios de infraestructura (migraciones cloud, nuevas APIs, etc.).
  • Como parte de una política anual o semestral de pruebas.

Si una empresa no vuelve a testear, nunca sabrá si está realmente protegida o solo parchada.

¿Y si nunca has hecho uno?

Entonces lo primero es programar un ethical hacking inicial, pero entendiendo que no debe verse como un evento único, sino como parte de una estrategia continua, progresiva, adaptable, preventiva y alineada con los riesgos reales del negocio.

Incluso una pequeña empresa con servicios digitales, datos sensibles, operaciones en la nube, conexiones externas o personal remoto se beneficia de un test de penetración bien ejecutado y adecuadamente documentado.

También te podría interesar: ¿Cuánto cuesta recuperarse de un ciberataque en Chile?

Conclusión

Hacer un solo ethical hacking es un buen comienzo, pero no una solución completa. Solo al realizar un segundo test puedes tener certeza de que las correcciones fueron efectivas y que no quedaron espacios abiertos para futuros ataques.

En Cut Security, recomendamos siempre un enfoque de mejora continua. No se trata de descubrir errores una vez, sino de mantener tu seguridad verificada en todo momento.

🔗 Conoce todas nuestras marcas
Cut Security forma parte del ecosistema digital de Grupotech.
Descubre nuestras otras marcas especializadas en ciberseguridad, desarrollo web, automatización y soluciones digitales para empresas chilenas.

Nueva estafa con comprobantes falsos de BancoEstado: lo que tu empresa debe saber

  • Riesgos Digitales

Una nueva modalidad de estafa está afectando a empresas y emprendedores en Chile: el uso de transferencias falsos de transferencia bancaria, supuestamente emitidos desde BancoEstado. La técnica, sofisticada y visualmente creíble, busca engañar a personas que venden productos o servicios, haciendo parecer que un pago fue realizado, cuando en realidad nunca llegó.

Las autoridades y el propio banco han emitido alertas. Aquí te explicamos cómo funciona esta estafa, a quiénes afecta más y qué puedes hacer para evitar caer en el engaño.

¿Cómo funciona esta nueva estafa?

Los delincuentes utilizan una aplicación falsa o modificada, similar a la oficial de BancoEstado. Con esta herramienta pueden generar comprobantes de transferencia adulterados que imitan perfectamente la interfaz de la app real.

El proceso suele ser así:

  1. El estafador acuerda una compra (producto o servicio).
  2. Simula una transferencia y genera un comprobante falso.
  3. Envía el comprobante por WhatsApp, correo o lo muestra en persona.
  4. El vendedor, confiado por la apariencia del documento, entrega el producto sin confirmar el ingreso del dinero.
  5. La transferencia nunca se realizó, y cuando se detecta, ya es tarde.

¿Por qué es tan peligrosa esta técnica?

Esta estafa no requiere vulnerar sistemas bancarios reales, lo que la hace más difícil de rastrear. El problema es de confianza y verificación:

  • El comprobante parece real (con logo, datos del banco, hora, número de operación).
  • Se aprovecha de la urgencia o buena fe del vendedor.
  • Muchas empresas pequeñas no tienen protocolos de verificación de pago.

Este tipo de fraude está en crecimiento en redes sociales, ventas directas y pequeños comercios.

¿A quiénes afecta más?

  • Emprendedores que reciben pagos por transferencia directa.
  • Pymes y tiendas online sin métodos automatizados de confirmación de pago.
  • Negocios físicos que venden con rapidez (reparto, reventa, comercio informal).
  • Freelancers y profesionales independientes que prestan servicios con pagos por adelantado.

Cómo proteger a tu empresa de estas transferencias falsas

Verifica siempre desde tu propia app o portal bancario

Nunca confíes en un comprobante enviado desde el teléfono de otra persona. La única forma válida de confirmar es revisando directamente tu cuenta bancaria.

Desconfía de la presión o la urgencia

Los estafadores suelen decir frases como:

  • “¡Apúrate, ya te transferí!”
  • “Estoy en la calle, no puedo esperar.”
  • “Revisa después, solo entrégamelo ahora.”

Si no permiten verificar, es probable que sea fraude.

Cuidado con apps truchas y pantallazos manipulados

Hay aplicaciones que generan pantallazos falsos que simulan pagos. Algunos delincuentes incluso editan comprobantes reales con Photoshop.

Establece una política de validación de pagos

Define protocolos en tu empresa:

  • No entregar nada hasta confirmar el abono.
  • Verificación por dos personas si el monto es alto.
  • Alertas automáticas del banco activadas.

También te podría interesar: Agencia Nacional de Ciberseguridad: ¿Te puede fiscalizar?

Conclusión

Esta nueva estafa con comprobantes falsos no necesita vulnerar redes ni sistemas corporativos. Ataca por la vía más frágil: la confianza humana y la falta de verificación interna.

En un entorno donde las transacciones digitales son cada vez más comunes, tener procedimientos claros de validación de pagos es tan importante como contar con un firewall o antivirus actualizado.

Si tienes un negocio en Chile, no importa el tamaño: asegúrate de que tu equipo esté informado y alerta.

🔗 Conoce todas nuestras marcas
Cut Security forma parte del ecosistema digital de Grupotech.
Descubre nuestras otras marcas especializadas en ciberseguridad, desarrollo web, automatización y soluciones digitales para empresas chilenas.

¿Tu empresa es un Operador de Importancia Vital? Así lo determina la Ley 21.663

  • Prevención y Normativas

La Ley Marco de Ciberseguridad (Ley 21.663), en vigor desde julio de 2025 en Chile, introduce un concepto clave que muchas organizaciones están comenzando a escuchar por primera vez: los Operadores de Importancia Vital (OIV). Ser considerado OIV implica nuevas obligaciones, fiscalización directa por parte del Estado y responsabilidad reforzada en materia de ciberseguridad.

Pero, ¿qué significa realmente ser un OIV y cómo saber si tu empresa está dentro de esta categoría?

¿Qué es un Operador de Importancia Vital (OIV)?

Un OIV es una organización cuya actividad, infraestructura o servicios son considerados críticos para el funcionamiento del país o la seguridad nacional. Esto incluye servicios esenciales cuya interrupción tendría consecuencias graves para la población, el orden público o la economía.

Según la Ley 21.663, el listado definitivo de OIV será definido por la Agencia Nacional de Ciberseguridad (ANCI), pero ya existen criterios orientadores para anticipar si una empresa podría ser clasificada como tal.

Sectores donde se concentran los OIV

Las empresas que operan en los siguientes sectores deben prestar especial atención:

  • Energía: generadoras, transmisoras y distribuidoras de electricidad, gas o petróleo.
  • Salud: hospitales, clínicas, redes de atención primaria, laboratorios críticos.
  • Transporte: aeropuertos, ferrocarriles, puertos y operadores logísticos clave.
  • Telecomunicaciones y redes: ISPs, operadores de infraestructura digital.
  • Banca y servicios financieros: bancos, bolsas, fintech de alto impacto.
  • Educación superior: universidades y centros de investigación con infraestructura digital crítica.

La Ley también contempla que empresas privadas puedan ser OIV si operan servicios digitalizados que impacten indirectamente a sectores esenciales.

Criterios para determinar si tu empresa podría ser OIV

Si bien la ANCI definirá el catastro oficial, tu organización podría ser considerada OIV si cumple al menos una de estas condiciones:

  • Su interrupción afecta la seguridad, salud, economía o estabilidad del país.
  • Administra plataformas tecnológicas esenciales para un servicio público.
  • Brinda servicios que dependen de infraestructura crítica.
  • Maneja datos masivos sensibles o personales de la población.
  • Tiene alta dependencia de sistemas informáticos para operar.

¿Cuáles son las obligaciones de un OIV?

Las empresas clasificadas como OIV tienen mayores responsabilidades legales y técnicas en materia de ciberseguridad. Entre las más importantes:

  • Notificación obligatoria de incidentes graves en plazos de hasta 3 horas.
  • Auditorías regulares y fiscalización directa por la ANCI.
  • Implementación de protocolos técnicos exigidos por la ley.
  • Asignación formal de responsables de ciberseguridad.
  • Planes de continuidad operativa y recuperación ante incidentes.
  • Capacitación a equipos y directivos en materias normativas.

Incumplir estas obligaciones puede derivar en multas de hasta 20.000 UTM, además de daños reputacionales y responsabilidades legales para la alta dirección.

¿Y si no soy OIV? ¡Igual hay que prepararse!

Incluso si tu organización no califica como OIV, la Ley 21.663 exige mínimos comunes para todas las empresas, especialmente si prestan servicios digitales o manejan datos sensibles. Además, si trabajas con un OIV como proveedor, también podrías ser auditado indirectamente.

En otras palabras: la seguridad digital ya no es una opción, sino un requisito país.

Recomendaciones si crees que tu empresa podría ser OIV

  • Revisa si perteneces a alguno de los sectores mencionados.
  • Evalúa el impacto que tendría una interrupción total de tus servicios.
  • Designa responsables de ciberseguridad internos o externos.
  • Levanta un inventario de activos digitales críticos.
  • Diseña un protocolo de notificación y respuesta ante incidentes.
  • Mantente informado de los reglamentos que emitirá la ANCI.

También te podría interesar: Agencia Nacional de Ciberseguridad: ¿Te puede fiscalizar?

Conclusión

La clasificación como Operador de Importancia Vital no es una etiqueta menor: marca la diferencia entre una gestión de ciberseguridad opcional y una exigencia legal con supervisión directa del Estado. En un contexto donde los ataques digitales son cada vez más frecuentes y sofisticados, prepararse desde ya es una decisión estratégica.

Comprender si tu empresa puede ser catalogada como OIV, asumir ese rol con responsabilidad y anticiparse a los estándares de cumplimiento no solo evitará multas, sino que protegerá la continuidad y reputación de tu negocio.

🔗 Conoce todas nuestras marcas
Cut Security forma parte del ecosistema digital de Grupotech.
Descubre nuestras otras marcas especializadas en ciberseguridad, desarrollo web, automatización y soluciones digitales para empresas chilenas.

Artículos Destacados

Navegación

Soluciones

Contáctenos

  • contacto@cutsecurity.cl
  • Central: 22 869 1746
  • Urgencias: 9 99822 311
Copyright 2025. Todos los derechos reservados por Grupotech.