Un estudio de 2023 reveló que más del 60% de los ciberataques en Chile van dirigidos a pymes. La razón es simple: tienen datos valiosos (clientes, cuentas bancarias, información tributaria) pero habitualmente menos defensas que las grandes empresas.
Lo que muchos dueños de pymes no dimensionan es el costo real de un incidente. No hablamos solo de perder archivos: un ataque de ransomware puede paralizar completamente la operación por días o semanas, con pérdidas que en muchos casos superan los $5.000.000 CLP solo en tiempo perdido, sin contar recuperación de datos, multas regulatorias ni daño a la reputación.
Las amenazas más comunes para las pymes chilenas
- Phishing: correos falsos que simulan ser el SII, bancos o proveedores para robar credenciales.
- Ransomware: un programa que cifra todos tus archivos y pide rescate para recuperarlos.
- Contraseñas débiles: el 80% de los accesos no autorizados ocurren por contraseñas simples o reutilizadas.
- Software desactualizado: las actualizaciones incluyen parches de seguridad críticos.
El phishing en Chile: la amenaza más frecuente
El phishing es el ataque más común y el que más éxito tiene en Chile. Los atacantes envían correos que imitan perfectamente la comunicación del SII, del Banco Estado, de Transbank o de proveedores conocidos. El objetivo es conseguir que alguien del equipo haga clic en un enlace e ingrese sus credenciales en una página falsa.
Una clínica dental en Santiago sufrió un incidente en 2023 cuando una recepcionista recibió un correo aparentemente del SII indicando una “inconsistencia tributaria urgente”. Al ingresar sus credenciales, los atacantes accedieron al sistema de gestión y extrajeron información de más de 800 pacientes. El costo de la notificación a los afectados, la consultoría legal y la recuperación del sistema superó los $8.000.000 CLP.
10 medidas básicas que toda empresa debe implementar
- Usa contraseñas únicas y largas para cada servicio. Un gestor de contraseñas (Bitwarden, 1Password) lo hace fácil.
- Activa la autenticación de dos factores (2FA) en todos los servicios críticos.
- Mantén Windows, macOS y todos los programas actualizados.
- Instala y mantén activo un antivirus/antimalware en todos los equipos.
- Realiza backups automáticos en la nube o un disco externo desconectado.
- Capacita a tu equipo para reconocer correos de phishing.
- Usa una red WiFi separada para visitas y dispositivos de clientes.
- Revisa los accesos de exempleados cuando alguien sale de la empresa.
- Usa conexión HTTPS (SSL) en tu sitio web.
- Ten un plan de respuesta ante incidentes (qué hacer si algo falla).
Ciberseguridad por nivel de riesgo
No todas las pymes enfrentan el mismo nivel de riesgo ni necesitan el mismo nivel de protección. Un kiosko de barrio y una empresa de transporte de valores tienen perfiles de riesgo completamente distintos. Lo importante es dimensionar correctamente:
Nivel básico (todo negocio con computadores)
- Contraseñas seguras y únicas con gestor de contraseñas
- 2FA activado en email corporativo, banca online y sistemas de gestión
- Antivirus actualizado en todos los equipos
- Backup semanal de archivos críticos
- Actualizaciones automáticas de sistema operativo activadas
Nivel intermedio (negocios con datos de clientes o transacciones)
- Todo lo anterior más un firewall correctamente configurado
- Segmentación de redes (WiFi de operación separada de WiFi de visitas)
- Política de control de accesos (cada empleado accede solo a lo que necesita)
- Capacitación formal al equipo sobre phishing y buenas prácticas
- Plan de respuesta ante incidentes documentado
Nivel avanzado (sector salud, financiero, legal u otros con datos sensibles)
- Todo lo anterior más auditorías de seguridad periódicas
- Cifrado de datos en reposo y en tránsito
- Monitoreo de actividad sospechosa (SIEM básico)
- Gestión profesional de ciberseguridad (proveedor especializado o CISO externo)
¿Cuánto cuesta la ciberseguridad básica?
Las medidas básicas descritas arriba tienen un costo muy bajo —muchas son gratuitas. El costo real de un incidente (pérdida de datos, multas del SII, tiempo perdido, daño reputacional) es infinitamente mayor.
Para una pyme chilena, implementar el nivel básico de ciberseguridad puede costar entre $0 y $50.000 CLP mensuales según las herramientas elegidas. Bitwarden (gestor de contraseñas) tiene plan gratuito. Microsoft Defender, incluido en Windows, es suficiente como antivirus base. Google Workspace ofrece 2FA robusto. El mayor costo es el tiempo de implementación y capacitación inicial.
La Ley de Delitos Informáticos en Chile
En 2022 entró en vigencia la Ley N° 21.459 sobre Delitos Informáticos, que actualizó el marco legal chileno en materia de ciberseguridad. Esta ley tipifica delitos como el acceso no autorizado a sistemas, la interceptación de datos y la introducción de malware.
Desde la perspectiva de las empresas, esto tiene dos implicancias: protege a las pymes que son víctimas de ataques (es más fácil perseguir penalmente a los responsables), pero también genera obligaciones: si tu empresa maneja datos de terceros y sufre una filtración por negligencia en seguridad, puedes tener responsabilidad legal.
Preguntas frecuentes sobre ciberseguridad para pymes
¿Por qué los hackers atacan a pymes si tienen menos dinero que las grandes empresas?
Porque son más fáciles de atacar. La mayoría de los ciberataques no son operaciones sofisticadas dirigidas a un objetivo específico: son ataques automatizados que prueban miles de sistemas buscando el más vulnerable. Las pymes con sistemas desactualizados, contraseñas débiles o sin 2FA activado son los primeros en caer. Además, muchas pymes pagan el rescate del ransomware porque no tienen backup, lo que hace el ataque financieramente rentable para los criminales.
¿El antivirus es suficiente para proteger mi empresa?
No. El antivirus es una capa de protección necesaria pero insuficiente por sí sola. Los ataques modernos, especialmente el phishing y el ransomware, frecuentemente evaden los antivirus tradicionales porque usan técnicas de ingeniería social (engañar a las personas) más que explotar vulnerabilidades técnicas. La capacitación del equipo y las contraseñas seguras con 2FA son igual o más importantes que el antivirus.
¿Qué hago si creo que fui víctima de un ciberataque?
Primero, desconecta los equipos afectados de la red para evitar que el ataque se propague. Segundo, no pagues rescates si es ransomware: no hay garantía de recuperar los datos y financia futuros ataques. Tercero, contacta a un especialista en ciberseguridad para evaluar el alcance. Cuarto, reporta el incidente al CSIRT del Gobierno de Chile (csirt.gob.cl) y, si hay datos personales comprometidos, a la Subsecretaría del Interior. Tener un plan de respuesta documentado antes de que ocurra un incidente hace toda la diferencia.
¿Es seguro usar la nube para almacenar datos de mi empresa?
Sí, y generalmente más seguro que un servidor físico sin mantenimiento en una oficina. Servicios como Google Workspace, Microsoft 365 o AWS tienen equipos de seguridad de clase mundial y cumplen con estándares internacionales. El riesgo más común no es que la nube sea hackeada, sino que las credenciales de acceso de tus empleados sean comprometidas. Por eso el 2FA es esencial independientemente de si usas la nube o no.
Ver más sobre soporte TI y ciberseguridad para pymes con Kombi →
