Noticias

“Informamos que nuestros servicios y plataformas tecnológicas se encuentran operando con normalidad, sin evidencias de vulneraciones ni afectaciones asociadas a incidentes de ciberseguridad”.

Con ese mensaje, la Tesorería General de la República (TGR) descartaba, hace algunos días, la amenaza a sus servicios informáticos (las que también habrían afectado a organismos como Fonasa, el Registro Civil e, incluso, instituciones de carácter privado). 

Ver esta publicación en Instagram

Una publicación compartida por Tesorería General de la República (@tgrchile)

Pese a esto, la situación generó preocupación en gran parte de la población que cuenta con ClaveÚnica y que ingresa diariamente sus datos personales en este tipo de plataformas.

Y ante situaciones como esta, surge la pregunta: ¿cómo funcionan los mecanismos de ciberseguridad ante los ataques informáticos? “En los organismos del Estado, eso opera en varios niveles”, dice a Diario Usach, Diego Fuentealba, ingeniero de ejecución en computación y académico de la Facultad de Administración y Economía de la Universidad de Santiago (FAE).

El profesional indicó que “cada servicio debe proteger sus propios sistemas, bases de datos, accesos y plataformas. Luego existe una capa de coordinación nacional donde la Agencia Nacional de Ciberseguridad (ANCI) cumple un rol de monitoreo, alerta, armonización y respuesta ante incidentes. Aquí, el brazo operativo es realizado por el CSIRT de Gobierno (Computer Security Incident Response Team) que funciona 24/7 y que emite las alertas tempranas a los servicios públicos”. 

En Chile, esa labor está regida por la Ley N° 21.663, normativa que busca ordenar esta institucionalidad y establecer reglas para la prevención, contención y respuestas ante incidentes que pudiesen afectar al Estado y a los servicios esenciales.

Aquí, los protocolos habituales incluyen el levantamiento de alertas, la verificación de los incidentes, la identificación de los alcances, el aislamiento de accesos compartidos, la contención de las filtraciones, preservar las evidencias, recuperar las operaciones e informar a los encargados institucionales o proveedores externos. Diego Fuentealba sostiene que “cuando se producen situaciones relevantes, las respuestas deben coordinarse con la ANCI y el CSIRT de Gobierno”.

Ahora, es importante indicar que los niveles de monitoreo no son iguales para todas las instituciones. “Algunas instituciones tienen capacitades más avanzadas, con monitoreo permanente. Otras, en cambio, pueden tener niveles más básicos o depender de proveedores externos”, dice el especialista y complementa indicando que “en el caso de la ClaveÚnica, el Gobierno Digital afirmó que el sistema cuenta con protocolos de vigilancia continua y de coordinación permanente con la ANCI, además de descartar evidencia de afectación a su infraestructura o base de datos”.

En esa línea, lo fundamental es no limitarse a revisar “si el sistema está funcionando. También la vigilancia debe mirar quién entra, desde dónde lo hace, qué es lo que consulta y si ese comportamiento es normal o sospechoso. Eso es lo que se conoce como monitoreo de comportamiento o detención y respuesta (EDR/XDR) y ese es estándar moderno de ciberseguridad”, afirma. 

¿ES NECESARIO CAMBIAR LAS CLAVES?

Tras conocerse la posible filtración de datos, muchas personas ingresaron a las plataformas de servicios públicos para cambiar sus claves. Pero,  ¿esto es necesario? Ante el caso que levantó las alertas de la opinión pública, Diego Fuentealba indicó que “no hay evidencia de que la ClaveÚnica haya sido vulnerada. Y, por lo mismo, no corresponde levantar pánico”.

Sin embargo, el académico Usach expresó que “es razonable que la ciudadanía tome medidas preventivas. Por ejemplo, ANCI recomendó cambiar la ClaveÚnica si es que esto no se ha modificado hace más de uno o dos años y, en particular, si una persona utiliza la misma contraseña en otros sitios”.

Otras indicaciones en esa línea refieren a la no utilización de la misma contraseña que se utiliza para servicios públicos en las webs de bancos, mails, retail y redes sociales; la activación del doble factor de autenticación (2FA) (recordemos que el Estado está impulsando la adopción de la app ClaveÚnica que actúa como factor mediante notificaciones push); Desconfiar de correos o mensajes que pidan el ingreso de claves; y la revisión de movimientos o trámites sospechosos. “Cambiar la ClaveÚnica es útil pero la activación del doble factor es lo que realmente anula el valor de la contraseña robada”, dice el experto. 

En materia de responsabilidades, esta depende de dónde ocurrió la afectación. Fuentealba explica que “si el hecho ocurrió en un organismo público, o una empresa que trata datos personales, existen deberes de resguardo. La Ley N° 19.628 establece que el responsable de una base de datos debe cuidarlos con la debida inteligencia y responder ante daños derivados en un tratamiento indebido. También, la normativa reconoce derechos de las personas para solicitar información, modificación, eliminación o bloqueo en ciertos casos”.

En este sentido, un o una afectada por el mal uso de datos puede dejar constancia formal del hecho, reunir evidencia de eventuales fraudes o suplantaciones y denunciar si es que hay una mala utilización de la identidad, estafas o accesos no autorizados. A su vez, si existe algún perjurio económico o moral, podrían evaluarse acciones de carácter judicial.

Por otro lado, desde el 1 de diciembre de 2026, entrará plenamente la vigencia de la Ley N° 21.719 que moderniza la protección de datos y que crea la Agencia de Protección de Datos Personales. En esa línea, Fuentealba explica que “una de sus novedades más relevantes es la obligación de la notificación de brechas. Aquí los organismos deben informar a los usuarios afectados, y al organismo señalado, en plazos breves (el estándar internacional indica 72 horas). Eso, hoy día, ocurre de manera más voluntaria o través de comunicados de prensa”.

Finalmente, el académico de la FAE manifiesta que si la filtración de datos se produce a raíz de una falla institucional, la responsabilidad no puede trasladarse completamente a las personas. “Pero el ciudadano sí debe proteger sus claves, evitar reutilizarlas y actuar rápido si es que detecta usos sospechosos de su información”, concluye.