Monitoreo de CronUp Ciberseguridad detectó al menos 10 organizaciones impactadas durante agosto. En los primeros ocho meses de 2026, el país ya supera el número de víctimas registrado en cualquier año completo anterior.
Agosto se convirtió en el mes con mayor actividad de ransomware registrada hasta ahora en Chile. De acuerdo con el monitoreo de CronUp Ciberseguridad, realizado a través de ATRc® – Alerta Temprana de Riesgo Cibernético, durante el último mes se identificaron al menos 10 organizaciones afectadas, superando todos los registros mensuales anteriores.
El escenario también marca un punto de inflexión para 2026. En los primeros ocho meses del año, el número de organizaciones afectadas por ransomware ya supera el total registrado en cualquier año completo anterior. A ello se suma que el promedio mensual observado durante este año alcanza aproximadamente cuatro víctimas, cuadruplicando el promedio registrado durante 2023.
Las organizaciones identificadas durante agosto pertenecen a sectores diversos, entre ellos salud, manufactura, energía, servicios profesionales, transporte y tecnología, confirmando que este tipo de ataques dejó de concentrarse exclusivamente en determinadas industrias.
Entre los casos detectados durante el período se encuentra el Hospital Clínico de la Universidad de Chile, cuya afectación fue atribuida al grupo Direwolf. De acuerdo con el monitoreo de CronUp, los atacantes publicaron información que alcanzaría los 240 GB de datos exfiltrados, elevando los riesgos asociados tanto a la protección de información como a la continuidad operacional.
Para Benjamín Mera, director de CronUp Ciberseguridad, el récord registrado durante agosto debe ser entendido más allá de la cifra.
«El récord de agosto es una señal que no deberíamos mirar solo como una estadística. El ransomware es el desenlace. Lo importante ocurre antes, cuando existen condiciones que un adversario puede aprovechar para avanzar: una credencial comprometida, un servicio expuesto, una vulnerabilidad, un acceso sin MFA o incluso un tercero. El desafío está en reconocer y conectar esas señales antes de que se transformen en un incidente», señala.
Credenciales, exposición y oportunidades de ataque
El análisis de CronUp identifica a las credenciales comprometidas entre los principales vectores utilizados por los atacantes para acceder a las organizaciones. A esto se suman servicios de acceso remoto sin mecanismos robustos de autenticación, software malicioso, proveedores comprometidos y credenciales obtenidas mediante infostealers.
Esta realidad se complejiza debido a la creciente superficie de ataque de las empresas, que actualmente incluye servicios cloud, aplicaciones SaaS, APIs, dispositivos perimetrales, identidades federadas y proveedores que cuentan con algún nivel de acceso a sistemas internos.
Por separado, estas condiciones pueden parecer eventos independientes. Sin embargo, cuando se conectan y se analizan en su contexto pueden revelar rutas y oportunidades que también podrían estar siendo observadas por un adversario.
«Una credencial comprometida, una vulnerabilidad o un servicio expuesto pueden parecer señales independientes. El valor está en conectarlas, entender su contexto y determinar qué oportunidad podría estar viendo un adversario. Ahí es donde la ciberinteligencia se vuelve realmente estratégica: no solo saber qué está pasando, sino entender qué significa para nuestra organización y dónde debemos actuar primero», explica Mera.
Este enfoque forma parte del modelo desarrollado por CronUp a través de ATRc® – Alerta Temprana de Riesgo Cibernético, que integra información sobre exposición y amenazas para identificar, contextualizar y priorizar condiciones que podrían ser aprovechadas por un atacante.
Desde CronUp plantean que este escenario exige ampliar la mirada más allá de la gestión tradicional de vulnerabilidades. Activos expuestos, identidades, credenciales comprometidas, vulnerabilidades, terceros y actividad asociada a grupos de amenaza pueden entregar señales que, analizadas de forma aislada, pierden parte de su valor.
El desafío está en conectar esas señales y darles contexto para reconocer cuáles pueden representar una oportunidad de ataque y dónde resulta prioritario actuar.
«La discusión sobre ransomware no debería comenzar cuando una organización aparece publicada por un grupo criminal. Para entonces, el incidente ya ocurrió. La oportunidad está antes: en reconocer, conectar y reducir las condiciones que un adversario necesita para avanzar», concluye Mera.
