Una alerta de filtración puede generar preocupación incluso antes de confirmar una vulneración. El episodio que involucró a la Tesorería General de la República muestra por qué las organizaciones necesitan distinguir entre información expuesta, credenciales comprometidas y ataques a su infraestructura, sin perder capacidad de respuesta ni confianza.
A comienzos de mayo de 2026, distintos reportes de ciberinteligencia alertaron sobre una presunta filtración de datos que podría involucrar a organismos públicos chilenos, entre ellos la Tesorería General de la República (TGR) y el Registro Civil.
La situación generó atención pública, especialmente por las referencias a credenciales administrativas e información que supuestamente habría sido comprometida.
La TGR descartó una vulneración de sus sistemas, mientras la Agencia Nacional de Ciberseguridad (ANCI) inició la revisión de los antecedentes disponibles.
El episodio plantea una pregunta relevante para cualquier organización:
¿Qué hacemos cuando aparece información que podría comprometer nuestra seguridad, pero todavía no sabemos si estamos frente a un ataque real?
La respuesta importa porque una alerta no confirmada puede exigir medidas preventivas, investigaciones y comunicaciones oportunas. Pero actuar con rapidez no significa dar por ciertos hechos que todavía están siendo verificados.
Entre una alerta de ciberinteligencia y una vulneración confirmada
El 1 de mayo, la ANCI informó que estaba analizando reportes sobre presunta actividad maliciosa relacionada con servicios públicos y operadores de telecomunicaciones.
En ese momento, la agencia señaló que no había podido corroborar la autenticidad ni el alcance de la información supuestamente comprometida.
Los reportes que dieron origen a la alerta incluían referencias a credenciales y datos atribuidos a distintas instituciones. Sin embargo, la publicación de esa información no demostraba por sí sola una intrusión reciente en sus sistemas.
Esta diferencia es esencial.
Una filtración difundida en internet puede contener información antigua, registros procedentes de terceros, datos recopilados de distintas fuentes o credenciales obtenidas mediante programas maliciosos instalados en dispositivos de usuarios.
También puede revelar un acceso no autorizado que requiere investigación.
Son escenarios diferentes y, por tanto, necesitan respuestas distintas.
La actualización publicada por la ANCI el 8 de mayo reforzó esa distinción. La agencia indicó que no existía evidencia de ataques a infraestructura tecnológica en los antecedentes investigados, pero sí había identificado casos de acceso no autorizado mediante credenciales válidas, posiblemente obtenidas de filtraciones anteriores o de programas maliciosos dedicados al robo de información.
Esto no demuestra que la infraestructura de la TGR haya sido comprometida. Sí muestra que una organización puede enfrentar riesgos relevantes sin que necesariamente exista una intrusión directa a sus servidores.
Primera lección: proteger la identidad es proteger el acceso al negocio
Durante años, buena parte de la conversación sobre ciberseguridad se concentró en impedir que un atacante atravesara las defensas de una red corporativa.
Hoy, uno de los escenarios que deben considerar las organizaciones es el uso indebido de credenciales legítimas.
Si un atacante obtiene el usuario y la contraseña de una persona autorizada, puede intentar acceder a sistemas y datos sin recurrir necesariamente a la explotación de una vulnerabilidad técnica.
Por eso, la protección de identidades debe considerar más que la complejidad de una contraseña.
Las organizaciones necesitan aplicar autenticación multifactor, limitar privilegios administrativos, revisar accesos que ya no corresponden y detectar comportamientos anómalos.
Pero estas medidas deben funcionar como un sistema.
Un mecanismo de autenticación robusto pierde efectividad si existen cuentas privilegiadas sin supervisión, sesiones expuestas o procedimientos de recuperación de acceso insuficientemente protegidos.
La pregunta no es solamente quién tiene autorización para ingresar, sino cómo sabemos que quien utiliza esa autorización es realmente quien debería hacerlo.
Segunda lección: una exposición no confirmada también requiere investigación
Una organización puede descubrir que sus datos aparecen publicados en una fuente externa, una plataforma de filtraciones o un repositorio ajeno a su infraestructura.
La reacción no debería limitarse a negar o confirmar inmediatamente un ataque.
Primero corresponde comprender qué información circula, de dónde podría provenir, qué tan reciente es y si representa un riesgo vigente.
Esto implica contrastar los reportes externos con evidencia propia: registros de autenticación, actividad de usuarios, accesos privilegiados, sistemas afectados y señales de comportamiento anómalo.
La vigilancia de información expuesta puede ayudar a identificar indicios que merecen atención, pero no reemplaza la investigación ni permite concluir automáticamente que ocurrió una intrusión.
También es importante distinguir la exposición de una credencial de su utilización efectiva.
Una contraseña publicada puede exigir medidas preventivas. Un acceso no autorizado realizado con esa contraseña plantea, además, la necesidad de investigar qué acciones se ejecutaron y qué información pudo verse comprometida.
La capacidad de respuesta depende de transformar una alerta en una evaluación sustentada en evidencia.
Tercera lección: la confianza también se gestiona durante la incertidumbre
Cuando una alerta involucra información sensible o servicios importantes para la ciudadanía, la preocupación puede extenderse antes de que exista claridad técnica.
Las organizaciones deben comunicar lo que saben, lo que todavía están investigando y qué medidas han adoptado.
La transparencia no exige entregar conclusiones prematuras ni divulgar información que pueda comprometer la investigación.
Exige evitar dos extremos: minimizar una situación sin suficiente evidencia o amplificar una hipótesis presentándola como un hecho demostrado.
Una comunicación responsable debe mantener consistencia entre los equipos técnicos, la dirección y los responsables de relaciones institucionales.
También debe actualizarse si aparecen nuevos antecedentes.
El objetivo no es únicamente proteger la reputación. Es permitir que usuarios, clientes, colaboradores y otras partes interesadas comprendan la situación y tomen decisiones informadas.
La confianza se fortalece cuando la organización puede explicar sus decisiones y respaldarlas con hechos verificables.
¿Qué debería revisar una empresa a partir de este episodio?
La principal enseñanza no depende de que una determinada institución haya sufrido o no una intrusión.
Depende de que cualquier organización puede enfrentarse a una alerta cuya autenticidad, origen y alcance todavía se desconocen.
Para prepararse, conviene revisar cinco capacidades:
1. Gestión de identidades y accesos. ¿Las cuentas privilegiadas están identificadas, protegidas y supervisadas? ¿Se revocan oportunamente los accesos que dejan de ser necesarios?
2. Visibilidad de información expuesta. ¿Existe un mecanismo para identificar posibles credenciales comprometidas o datos de la organización publicados fuera de sus sistemas?
3. Investigación y trazabilidad. ¿Los registros disponibles permiten establecer quién accedió, cuándo, desde dónde y qué acciones realizó?
4. Coordinación de respuesta. ¿Está claro quién valida las alertas, quién decide las medidas de contención y cómo se coordinan tecnología, seguridad, comunicaciones y dirección?
5. Continuidad y comunicación. ¿La organización puede mantener sus procesos esenciales y comunicar con precisión mientras investiga una situación todavía incierta?
Estas capacidades son complementarias. Una alerta externa puede descubrir un problema, pero son los controles operativos, la evidencia disponible y la coordinación interna los que permiten comprenderlo y responder.
La CiberResiliencia también se demuestra frente a lo incierto
El episodio de la TGR recuerda que la ciberseguridad no consiste exclusivamente en prevenir ataques.
También implica reconocer señales de exposición, verificar la efectividad de los controles, detectar accesos indebidos y responder proporcionalmente a la información disponible.
La incertidumbre forma parte de la gestión del riesgo. Ninguna organización puede garantizar que conocerá inmediatamente todos los hechos cuando aparece una alerta.
Lo que sí puede desarrollar es la capacidad de investigar, contener cuando corresponda, comunicar y mantener su operación mientras obtiene evidencia.
Para la Alta Dirección, la pregunta de fondo trasciende este caso:
Si mañana aparecieran supuestas credenciales de nuestra organización en una filtración, ¿podríamos demostrar qué está protegido, qué debemos investigar y qué tan preparados estamos para responder?
Esa capacidad de comprender, verificar y actuar es parte fundamental de la CiberResiliencia.
Conoce tu Nivel de CiberResiliencia
Comprende cómo conectar tus riesgos, la efectividad de tus controles y tu capacidad de respuesta con la continuidad de tu negocio.
Nota editorial
Publicado originalmente el 6 de mayo de 2026 por Marcelo Carvajal. Actualizado en octubre de 2026 para incorporar antecedentes oficiales posteriores y distinguir los reportes iniciales de los hallazgos confirmados.
Fuentes
- Agencia Nacional de Ciberseguridad, 1 de mayo de 2026: Comunicado sobre los reportes de presuntas filtraciones.
- Agencia Nacional de Ciberseguridad, 8 de mayo de 2026: Actualización sobre filtraciones por robo de credenciales.
- BioBioChile, 1 de mayo de 2026: ANCI investiga presunta filtración de datos que afectaría a TGR y Registro Civil.