Según el Informe sobre Principales Tendencias de Fraude 2025 de TransUnion, Chile tiene el porcentaje más alto de consumidores que declararon haber sido blanco de intentos de estafas digitales en Latinoamérica: el 41% aseguró haber recibido intentos de fraude por correo electrónico, teléfono, Internet o mensajes de texto durante 2025, muy por sobre el promedio regional de 34%.
A esto hay que agregarle, de acuerdo con el patrón documentado por plataformas como Google y NordPass, que entre el 60% y el 70% de los usuarios reutiliza la misma contraseña en diferentes servicios. Cuando una plataforma sufre una filtración, esas credenciales se prueban de modo automático en cientos de otros sitios a través de una técnica conocida como credential stuffing.
El contexto suma presión. Según el Reporte Global sobre el Panorama de Amenazas 2026 de FortiGuard Labs (Fortinet), durante 2025 Chile registró 8,8 billones de intentos de ciberataque, y la mayoría no apuntó a infraestructura corporativa sino a credenciales de usuarios. Sernac, en tanto, reportó que durante CyberDay y CyberMonday los reclamos por estafas digitales aumentan más de 200% respecto al promedio mensual del año.
Dos casos que ilustran el patrón ocurrieron durante la primera semana de mayo. La Agencia Nacional de Ciberseguridad (ANCI) confirmó una filtración activa generada por el robo de credenciales a un funcionario público —no en un ataque a la infraestructura— y, días después, Enex (licenciataria de Shell en Chile) admitió que cerca de 150 usuarios de su nueva aplicación móvil sufrieron cargos no autorizados, también atribuidos al uso de credenciales filtradas con anterioridad. Dos sectores distintos, una misma raíz.
Índice de temas
La filtración silenciosa: cuando el dato ya estaba afuera
Lo que emparenta a estos incidentes recientes no es el ataque, sino lo que vino antes. Las bases con datos personales de usuarios chilenos —que pueden incluir RUT, fecha de nacimiento, correo, teléfono y, en muchos casos, contraseñas— circulan desde hace años en foros y mercados de cibercrimen, y las nuevas filtraciones van sumando material a un conjunto que los atacantes emplean posteriormente de manera automatizada.
Desde la perspectiva de las empresas que reciben las consecuencias del ataque, Lucas Behncke, Placement de Viento Sur Corredores de Seguros y especialista en gestión de riesgo digital, sostiene que “el usuario que sufre un cargo no autorizado en su tarjeta, una compra hecha a su nombre o un acceso indebido a su correo casi nunca está sufriendo un ataque dirigido a él. Está siendo afectado por una filtración que ocurrió meses o años antes en un servicio que ya ni recordaba. Por eso, la pregunta correcta no es solo cómo proteger al usuario en el CyberDay; es qué tienen que hacer las empresas para no convertirse en el siguiente eslabón de esa cadena“.
CyberDay como peak de exposición a estafas digitales
Durante los tres días del CyberDay 2026 —entre el 01 y el 03 de junio con la participación esperada de más de 700 marcas, según la Cámara de Comercio de Santiago—, un consumidor promedio puede crear varias cuentas nuevas en sitios que visita por primera vez, ingresar datos de tarjeta en pasarelas de pago que no había usado previamente y recibir decenas de correos y mensajes promocionales. La velocidad del evento, la presión de las ofertas que duran horas y la cantidad de comunicaciones hacen que reconocer un correo legítimo y uno fraudulento sea cada vez más complejo.
El Sernac monitorea el evento año a año y ha alertado sobre las principales estafas digitales que proliferan estos días: phishing por correo, smishing por SMS y WhatsApp simulando ser bancos o tiendas, quishing con códigos QR fraudulentos, aplicaciones falsas con malware y pasarelas de pago clonadas. Para el usuario común, los riesgos durante el CyberDay tienen al menos cuatro frentes concretos: cargos no autorizados con tarjetas cuyas credenciales ya estaban filtradas, suplantación de identidad para abrir cuentas o tomar créditos, secuestro de cuentas de correo o redes sociales que se usan luego para estafar al círculo cercano, y compras hechas en sitios falsos que suplantan a marcas conocidas y que jamás entregan el producto.
