Entre finales de 2025 y marzo de 2026, el panorama de ransomware en Chile mostró un comportamiento que hasta hace poco era poco habitual para el país: trece organizaciones atacadas en solo cuatro meses, por múltiples grupos de actores maliciosos, operando en paralelo y apuntando a sectores críticos.
No se trata de incidentes aislados ni de un solo actor repitiendo patrones. Lo que se observa es un cambio estructural: Chile pasó de ser un objetivo oportunista a convertirse en parte de campañas activas y sostenidas de ransomware, alineadas con dinámicas globales.
Un patrón que se repite (y se acelera)
Los ataques registrados durante este período comparten elementos claros:
- Uso de doble extorsión (cifrado + exfiltración/publicación de datos).
- Explotación de servicios cloud y SaaS, especialmente Microsoft 365.
- Accesos iniciales mediante credenciales comprometidas, VPN o superficies expuestas.
- Aparición de grupos emergentes, junto a actores ya conocidos.
El resultado es una presión simultánea sobre empresas privadas, infraestructura crítica y organismos públicos, con impactos que van más allá de lo técnico y alcanzan lo reputacional, legal y operativo.
Salud, energía y logística: sectores bajo presión
Uno de los hitos más críticos del período fue el ataque a Clínica Dávila, atribuido al grupo Devman. El incidente, ocurrido en diciembre de 2025, expuso cientos de usuarios y una amplia superficie de ataque externa, confirmando que el sector salud sigue siendo uno de los blancos más atractivos para el ransomware, debido al alto valor de la información que maneja y la urgencia operativa.
En enero de 2026, el foco se desplazó hacia la energía con el ataque a Copec, atribuido al grupo Anubis. Más allá de las versiones contrapuestas sobre el alcance real del daño, el caso evidenció cómo los ataques a empresas de alta visibilidad generan impactos sistémicos y atención pública inmediata.
La logística y el comercio tampoco quedaron fuera. Empresas como Keylogistics Chile S.A. fueron atacadas incluso más de una vez, por grupos distintos, mostrando un fenómeno cada vez más frecuente: la re-victimización, cuando las brechas no se corrigen de forma estructural.
Qilin y la presión sostenida
Si hay un nombre que se repite con fuerza en este período es Qilin. Este grupo aparece asociado a múltiples ataques entre enero y marzo de 2026, afectando a organizaciones como Valbifrut, Ducasse Comercial Ltda, Conectados Chile S.A., Graneles de Chile y Noi Hotels.
La reiteración no es casual: refleja campañas automatizadas, buen reconocimiento previo del entorno digital chileno y un claro interés por organizaciones con dependencias cloud mal protegidas.
Cuando el ransomware alcanza al sector público
El ataque de febrero de 2026 al Instituto Nacional de Derechos Humanos, atribuido al grupo TheGentlemen, marca otro punto de inflexión. Confirma que los organismos públicos también están dentro del radar, no solo como blanco político, sino como parte del ecosistema digital vulnerable.
Más que incidentes: una señal de advertencia
15 publicaciones en cuatro meses, nueve grupos distintos y sectores clave afectados no son una coincidencia. Son una señal clara de madurez del ecosistema criminal y de que las defensas tradicionales ya no son suficientes.
La evidencia muestra que hoy el ransomware en Chile:
- No discrimina por tamaño ni trayectoria.
- Se apoya fuertemente en superficies cloud mal gestionadas.
- Aprovecha la falta de visibilidad y monitoreo continuo.
- Escala rápidamente desde lo técnico a lo reputacional.
El ransomware sigue consolidándose como una de las principales amenazas para organizaciones en Chile, con un aumento sostenido en volumen, sofisticación y impacto operativo.
En CronUp elaboramos un resumen ejecutivo que analiza las tendencias recientes, los sectores más afectados y las tácticas utilizadas por los actores de amenaza.
Descarga el informe completo y entiende cómo está evolucionando el riesgo en el país, y qué medidas priorizar para fortalecer tu postura de ciberseguridad:
© 2026 CronUp Ciberseguridad. Todos los derechos reservados. Este contenido está protegido por la Ley Nº 17.336. Se permite su uso informativo citando la fuente y enlazando el artículo original. Su reproducción o uso sin atribución constituye infracción.
