En los últimos meses, hemos identificado una tendencia preocupante: un alza sostenida en los fraudes digitales que aprovechan accesos no autorizados a través de Clave Única y Clave Tributaria, afectando gravemente a grandes empresas en Chile. Esta amenaza, que combina suplantación de identidad, emisión de facturas falsas y obtención ilícita de créditos, ha demostrado ser una de las más efectivas y difíciles de rastrear.
En CronUp, hemos participado activamente en la detección y respuesta a campañas en curso que han comprometido a organizaciones de alto perfil. En este artículo, presentamos algunos de los casos públicos conocidos más relevantes, junto con recomendaciones clave para prevenir, contener y mitigar este tipo de amenazas.
■ IMPORTANTE: La Clave Única, al carecer de autenticación multifactor (MFA), representa un riesgo significativo que facilita delitos graves como el fraude, debido a la falta de validaciones digitales robustas en numerosas empresas financieras y plataformas claves del país. Es imperativo que todas las organizaciones, adopten mecanismos de defensa activa para contrarrestar la creciente amenaza del uso fraudulento de inteligencia artificial (como los Deepfakes) y la utilización de identidades digitales robadas, lo que incluye, documentos de identificación como pasaporte o cédula, videos de reconocimiento y datos biométricos entre otros.
Actualmente, tanto el Servicio de Impuestos Internos (SII) como la Tesorería General de la República (TGR) entre otras plataformas críticas del estado, permiten el ingreso mediante Clave Única sin necesidad de MFA (algo que, por ejemplo, si exige el portal de la Agencia Nacional de Ciberseguridad o ANCI). Esto implica que con solo conocer el RUT y la contraseña, un atacante podría acceder a información tributaria sensible, emitir facturas falsas, realizar solicitudes indebidas de devolución, suplantar identidad o gestionar pagos y deudas fiscales en nombre de terceros.
A pesar de que la ausencia de MFA es algo sabido, lo que no todos ven es cómo exactamente se está explotando esta debilidad ni la escala real del daño. En este artículo documentamos algunos de los casos conocidos, parte de los métodos utilizados y las consecuencias concretas.
A continuación dos vistas actuales del acceso a los portales de SII y TGR.
Sin embargo, esto no es todo. Desde CronUp, hemos identificado otras vulnerabilidades o debilidades en estos entornos, incluyendo:
– Claves de 4 dígitos para autorizar operaciones críticas.
– Flujos de validación débiles que permiten el abuso de ciertas funcionalidades.
– Ausencia de alertas o bloqueos ante accesos sospechosos o automatizados.
Hacemos un llamado urgente a las autoridades a implementar mecanismos de autenticación robustos, validación de operaciones críticas y monitoreo o bloqueo activo de actividades sospechosas y fraudulentas.
Estas brechas están siendo activamente aprovechadas en campañas de fraude digital que afectan tanto a usuarios individuales como a empresas de gran tamaño.
Casos Públicos Conocidos
Los ataques vinculados al uso indebido de Clave Única han afectado a empresas de distintos tamaños y sectores. Entre 2024 y 2025, se han registrado múltiples incidentes de alto impacto que evidencian el alcance de esta amenaza.
1.- Walmart Chile: Se identificaron pérdidas por aproximadamente $380.000.000 debido a la emisión y factorización de documentos falsos. Ver más detalles.
2.- Antofagasta Minerals: Según declaraciones de la minera, los ciberdelincuentes habrían modificado las claves ante el Servicio de Impuestos Internos (SII) asociadas al gerente general y ejecutivos del área de finanzas y riesgo, lo que les permitió emitir facturas fraudulentas por un total de $373.000.000. Ver más detalles.
3.- Grupo BUPA: Reportó pérdidas estimadas en $300.000.000 tras recibir facturas falsas luego del compromiso de la Clave Única y la Clave Tributaria de dos de sus ejecutivos. Ver más detalles.
4.- Banco BCI: Presentó cuatro querellas por fraude digital por perdidas que suman $136.945.000. El modus operandi es idéntico en todos los casos: uso indebido de Clave Única, entrega de documentación falsa, validación de identidad engañosa y aprobación automática de productos. Ver más detalles.
¿Por qué Clave Única es un blanco tan crítico?
La falta de autenticación multifactor (MFA) y el uso extendido de Clave Única en procesos sensibles han creado un punto único de falla. Esto, sumado a la sofisticación creciente de técnicas como los deepfakes, la recolección de datos biométricos robados, y la ingeniería social, permite a los atacantes realizar acciones ilegales con aparente legitimidad.
Los impactos van desde el robo de datos personales y financieros hasta la completa suplantación de identidad, lo que puede derivar en delitos graves y de difícil rastreo.
Principales Riesgos por Compromiso de Clave Única
El uso indebido de Clave Única representa una amenaza seria tanto para usuarios individuales como para organizaciones públicas y privadas. Uno de los riesgos más relevantes es el acceso no autorizado a datos sensibles, ya que la Clave Única actúa como un identificador centralizado que, si es vulnerado, puede abrir la puerta a información crítica. Esto también facilita la suplantación de identidad, permitiendo que terceros realicen trámites, contraten servicios o incluso cometan delitos en nombre de otra persona. El compromiso de esta credencial también puede derivar en fraudes y robos financieros, sobre todo cuando está vinculada a plataformas que permiten operaciones comerciales o bancarias.
Además, la falta de mecanismos robustos de autenticación en muchos servicios digitales puede desencadenar una pérdida de confianza por parte de los usuarios, debilitando la adopción de tecnologías digitales clave para la gestión de servicios públicos y privados. Otro riesgo crítico es la manipulación o alteración de información sensible dentro de los sistemas, afectando directamente la integridad y confidencialidad de los datos. Por último, si la Clave Única está registrada en múltiples plataformas conectadas, su vulneración puede facilitar ataques escalonados, permitiendo a los atacantes expandir su radio de acción y comprometer más sistemas a partir de un solo punto de entrada.
Recomendaciones para Empresas
1.- Control en Facturación y Validación de Documentos
- Exigir número de Hoja de Entrada de Servicio (HES) y Orden de Compra en cada factura.
- Validar diariamente todas las facturas recibidas y rechazar aquellas sin respaldo o no reconocidas.
2.- Gestión Segura de Proveedores
- Capacitar al personal que inscribe proveedores en el ERP.
- Establecer políticas claras de validación antes de aceptar nuevos proveedores o realizar pagos.
3.- Aprobación Manual o Segura de Facturas
- Implementar doble validación o aprobación manual para facturas de alto riesgo o montos elevados.
4.- Autenticación y Accesos
- Activar autenticación multifactor (MFA) en todos los servicios críticos (financieros, identidad, proveedores).
- Nunca permitir que los navegadores corporativos guarden contraseñas.
5.- Seguridad en los Equipos
- Usar solo dispositivos corporativos para procesos críticos.
- Mantener sistemas actualizados con antivirus y antimalware.
- Aplicar políticas de acceso mediante VPN con validación de dispositivos confiables.
6.- Factoring Seguro
- Solo permitir factoring con empresas autorizadas.
- Registrar operaciones con verificación de cedente y deudor.
- Mantener una lista blanca en el ERP de entidades autorizadas para operar en factoring.
7.- Integración Segura con Clave Única
- En el caso de que se implemente la autenticación con Clave Única en una plataforma corporativa, esa plataforma también debe considerar la implementación de MFA para evitar accesos no autorizados utilizando Claves Únicas robadas.
Recomendaciones para Personas
1.- Protección de la Clave Única
- Nunca compartir la Clave Única ni las credenciales de acceso.
- No ingresar a portales sensibles desde links que lleguen por correo o redes sociales.
2.- Autenticación Multifactor (MFA)
- Activar MFA en todos los servicios que lo permitan, especialmente bancarios y del Estado.
3.- Uso Seguro de Dispositivos
- No realizar trámites críticos desde computadores públicos, compartidos o poco seguros.
- Evitar guardar contraseñas en navegadores y usar gestores de contraseñas confiables.
4.- Conciencia frente a Ingeniería Social
- Sospechar de llamadas, correos o mensajes que pidan datos personales o credenciales.
- Confirmar la autenticidad de comunicaciones con organismos oficiales antes de entregar información.
5.- Revisión de Actividades
- Revisar periódicamente el historial de trámites realizados con Clave Única y en cuentas bancarias.
- Cambiar credenciales cada vez que se tengan sospechas de compromiso o filtración.
- Reportar inmediatamente cualquier actividad sospechosa o acceso no autorizado.
Este tipo de ataques no son aislados ni esporádicos: responden a patrones informados, organizados y persistentes, aprovechando vulnerabilidades sistémicas. Es fundamental avanzar hacia un modelo de ciberdefensa activo, basado en monitoreo continuo, validación inteligente y colaboración constante.
Nuestro servicio de Alerta Temprana de Riesgos Cibernéticos (ATRc) entrega información validada, oportuna y directamente accionable para prevenir y contener amenazas digitales antes de que se materialicen. Ya estamos acompañando a múltiples clientes afectados por estas campañas.
Si quieres proteger a tu organización de este tipo de amenazas, contáctanos hoy y solicita una evaluación personalizada de tus riesgos actuales.
© 2026 CronUp Ciberseguridad. Todos los derechos reservados. Este contenido está protegido por la Ley Nº 17.336. Se permite su uso informativo citando la fuente y enlazando el artículo original. Su reproducción o uso sin atribución constituye infracción.
