"Tu vulnerabilidad es nuestra riqueza": el ataque de hackers que golpeó a empresa en Chile

“TU FRÁGIL SEGURIDAD ES NUESTRA BENDICIÓN. TU VULNERABILIDAD ES NUESTRA RIQUEZA. TU CEGUERA ES NUESTRO TESORO”

Ese es el titular de la nota de rescate que un grupo de ciberdelincuentes dejó el pasado 29 de marzo en uno de los servidores en Quilicura de una compañía francesa con filial en Chile.

El mensaje, escrito con tono sarcástico, era simple: pudimos acceder a sus servidores, robamos sus datos personales y tienen 48 horas para hacernos una oferta lo suficientemente buena para convencernos de no filtrarlos a sus competidores.

Por el modus operandi, el ataque fue atribuido a BlackNevas —también conocido como Trial Recovery— o a uno de sus afiliados: una organización con fines de lucro dedicada a ataques de ransomware (tipo de programa malicioso que bloquea los archivos de una víctima) y extorsión digital, detectada por primera vez en noviembre de 2024, cuyas víctimas son empresas medianas y grandes en distintas partes del mundo.

De acuerdo a lo afirmado por el propio BlackNevas, posterior al ataque se habría filtrado más de 1 terabyte de data confidencial de la compañía atacada, incluyendo documentación técnica, bases de datos de clientes e información de producción de distintas filiales de la empresa.

Según informó el observatorio de inteligencia de amenazas de ciberseguridad Darkfield, entre agosto de 2025 y agosto de 2026, se han identificado 46 víctimas públicas de BlackNevas, ignorando si este número aumenta al considerar las compañías que sí habrían pagado.

Aunque el ataque propiamente tal se produjo fuera del país, la empresa interpuso una querella ante la justicia chilena, por los delitos de acceso ilícito a un sistema informático, ataque a la integridad de un sistema informático, ataque a la integridad de los datos informático y fraude informático, causa que se encuentra siendo tramitada en el 2º Juzgado de Garantía de Santiago.

El modus operandi

La primera señal visible llegó la noche del 29 de marzo cuando múltiples servidores de la multinacional comenzaron a quedar inaccesibles. Los archivos había sido cifrados y en las carpetas afectadas apareció un documento bajo el nombre de “how_to_decrypt.txt”, donde se encontraba la nota de rescate.

El ataque había comenzado antes, tal como reveló una investigación forense encargada posteriormente a la firma de ciberseguridad SYNETIS, que logró establecer que al menos desde el 19 de marzo los atacantes ya se movían dentro de la empresa. En esa fecha, habrían utilizado una herramienta para transferir archivos desde uno de los servidores de la compañía a un equipo remoto.

Durante los días siguientes avanzaron. Intentaron obtener las credenciales del sistema utilizado por la compañía para administrar sus copias de seguridad, mapearon la red y consiguieron comprometer cuentas con altos privilegios, incluidas credenciales de administrador de dominio. Eso les permitió desplazarse entre distintos equipos de la infraestructura mediante conexiones remotas. Para mantener el acceso instalaron, además, un agente que se comunicaba con un servidor controlado por ellos.

El 29 de marzo vino el golpe. Los atacantes borraron registros de auditoría de Windows, introdujeron modificaciones destinadas a disminuir las defensas de algunos equipos y desplegaron el programa encargado de cifrar la información. A las 19:59 el archivo fue ejecutado, el ransomware alcanzó servidores y respaldos y comenzó a generar las notas de rescate. Francia y Estados Unidos resultaron especialmente golpeados.

El ataque, sin embargo, también cruzó hasta Chile. En las instalaciones de la compañía en Quilicura, un dispositivo de almacenamiento conectado a la red de la empresa terminó con su información cifrada. Allí también apareció el archivo “how_to_decrypt.txt”. Los registros de tráfico habrían evidenciado comunicaciones desde y hacia direcciones internas pertenecientes a la filial chilena, lo que confirma que la actividad ilícita alcanzó directamente a la empresa en nuestro país.

La nota de rescate, escrita en inglés, decía lo siguiente:

“TU FRÁGIL SEGURIDAD ES NUESTRA BENDICIÓN. TU VULNERABILIDAD ES NUESTRA RIQUEZA. TU CEGUERA ES NUESTRO TESORO

No estamos preguntando: estamos advirtiendo. Esperamos su señal”.

La reconstrucción posterior apuntó a BlackNevas, también conocido como Trial Recovery, una operación de ransomware surgida a fines de 2024 y derivada de Trigona. SYNETIS atribuyó el ataque a partir de las características del cifrado, las notas dejadas en los equipos y el modus operandi, conocido como doble extorsión.

Las consecuencias del ataque para Speed han sido de extrema gravedad. La conducta de los atacantes afectó, simultáneamente, la disponibilidad de la información de la compañía, su integridad y su confidencialidad. Como resultado del cifrado, se estima que aproximadamente un 5% total de los datos e información del grupo se perdieron de forma irrecuperable.

En la querella, la empresa solicitó que despachara una orden de investigar a la Brigada Investigadora del Cibercrimen Metropolitana (BRICIB), que se oficie a la Agencia Nacional de Ciberseguridad (ANCI) a fin de que remita el expediente y toda la información relativa al patrón de comportamiento de BlackNevas y se oficie a Entel, en su calidad de proveedor de conectividad afectado por el incidente, con el objetivo de que informe sobre los flujos de tráfico desde y hacia las direcciones IP identificadas.

Empresas chilenas en riesgo

En nuestro país, los casos documentados de ransomware vienen apareciendo desde 2022, cuando el SERNAC y el Poder Judicial enfrentaron ataques de este tipo. En 2023, también se registraron incidentes contra proveedores tecnológicos como GTD y IFX Networks, y en 2025, se conoció el caso de Clínica Dávila que habría involucrado la exfiltración de aproximadamente 250 GB de información, incluidos antecedentes sensibles de pacientes.

Así lo explicó el Gerente de TI de Forvis Mazars, Juan Eduardo Cortez, a Radio Bío Bío, quien llamó la atención sobre la vulnerabilidad de las compañías chilenas frente a este tipo de bandas delictuales.

“Hoy las empresas chilenas tienen una exposición alta frente a este tipo de grupos, principalmente porque la superficie de ataque ha crecido mucho. Las organizaciones tienen más servicios conectados, más accesos remotos, más proveedores tecnológicos y una enorme cantidad de credenciales circulando entre distintos sistemas, lo que multiplica las posibles puertas de entrada”, comentó.

“En cuanto a las empresas que tienen monitoreo permanente, respaldos segregados e inmutables, gestión de vulnerabilidades, autenticación multifactor y capacidad de respuesta, reducen considerablemente el riesgo. Las que no cuentan con esos controles están mucho más expuestas”, agregó.

Un estudio realizado por Forvis Mazars en Chile concluyó que solo el 42% de los ejecutivos C-level declara estar completamente protegido respecto del uso y resguardo de su información, mientras que un 52% señala estarlo solo de manera parcial. A nivel global, en contraste, cerca del 60% de los líderes empresariales afirma contar con protección total.

Un nuevo tipo de delito

Consultado por Radio Bío Bío, Pedro Huichalaf Roa —abogado especialista en derecho informático y ex subsecretario de Telecomunicaciones durante el segundo gobierno de Michelle Bachelet— explicó que los ciberataques orientados con las técnicas de secuestro virtual (donde se pide un rescate por los archivos encriptados), son técnicas que hoy se utilizan a nivel mundial por los cibercriminales más profesionales.

“Es obviamente una preocupación que se tiene que dar a nivel de país, sobre todo cuando está pensando en cómo protegerse frente a estas contingencias y cómo dar una seguridad, puesto que hoy día no tan solo tenemos que hablar de los portonazos tradicionales, los robos, los asaltos, sino que también en el mundo digital tenemos los portonazos digitales y esta es una de esas dinámicas”, comentó.

Respecto a la legislación vigente, explicó que: “Hoy día Chile tiene a nivel latinoamericano en una de las regulaciones más actualizada, se creó hace muy poco la agencia de protección, o sea, en este caso la la ANCI, que es la Agencia Nacional de Ciberseguridad”.

También puso énfasis en la prevención.

“Sin embargo, obviamente es muy complicado eh acreditar hechos, sobre todo porque son delincuentes extranjeros que lo realizan fuera de Chile, utilizan técnicas
muy sofisticadas (…) por tanto, podemos tener una regulación, podemos tener una agencia de ciberseguridad, pero siempre es importante tener una prevención y saber cómo responder y obviamente tener los resguardos necesarios de cada organización”, concluyó.