Hoy, lunes 5 de octubre, parte el CyberMonday: tres días con el mayor volumen de pagos digitales del semestre y, con él, la temporada alta del fraude. La banca chilena llega a esta fecha con la NCG 538 de la CMF rigiendo desde el 1 de agosto (autenticación reforzada obligatoria para bancos, emisores de tarjetas, cooperativas y fintechs reguladas) y operando como Operador de Importancia Vital bajo la Ley 21.663, con la ANCI fiscalizando. El tercer marco es la Ley 21.719 de protección de datos, fijada para el 1 de diciembre y con un proyecto en el Senado que propone moverla a diciembre de 2027. Tres marcos, tres reguladores, un solo año.
Los atacantes no esperaron el calendario: el ransomware concentra el 79% de los incidentes de ciberseguridad de la industria financiera en América Latina, frente al 53% global, según el estudio de Duke University y Digi Americas. Y solo en el primer semestre de 2025, la banca chilena registró reclamos por fraude asociados a 170 mil clientes.
Mi lectura de la situación es directa: la ciberseguridad bancaria en Chile dejó de ser una carrera contra los atacantes solamente; ahora es también una carrera contra tres calendarios regulatorios que se cruzan en el mismo año. Los bancos grandes tienen equipos para ambas carreras. La banca mediana, las cooperativas y las fintechs reguladas son las que están corriendo con la dotación justa, y este artículo está escrito pensando en ellas.
¿Qué normas de ciberseguridad debe cumplir un banco en Chile en 2026?
La respuesta corta, en orden de llegada:
- RAN 20-10 de la CMF (gestión de seguridad de la información y ciberseguridad): el marco sectorial de base, vigente hace años, con reporte de incidentes operacionales al regulador financiero.
- Ley 21.663 (Ley Marco de Ciberseguridad): la banca fue calificada OIV en la primera etapa. Obligaciones vigentes: registro ante la ANCI, delegado de ciberseguridad, medidas de seguridad mínimas y reporte de incidentes significativos con alerta temprana en 3 horas y reporte preliminar en 72.
- NCG 538 de la CMF: desde el 1 de agosto de 2026, autenticación reforzada en las operaciones digitales: al menos dos factores de categorías distintas para las transacciones sensibles. Alcanza a bancos, emisores no bancarios, cooperativas de ahorro y crédito fiscalizadas y fintechs reguladas por la Ley Fintech.
- Ley 21.719 (Protección de Datos): régimen completo de datos personales con multas de hasta 20.000 UTM en infracciones gravísimas. La vigencia legal es el 1 de diciembre de 2026; el 1 de septiembre el Gobierno ingresó al Senado un proyecto con suma urgencia para moverla al 1 de diciembre de 2027. Mientras el Congreso no lo apruebe, la fecha que manda es la de 2026. La banca trata datos financieros de millones de titulares y está en el centro del nuevo régimen, con o sin el año adicional.
¿El resultado práctico? Un mismo incidente (digamos, un ransomware con fuga de datos de clientes) puede gatillar reportes a la ANCI, a la CMF y a la Agencia de Protección de Datos, cada uno con plazos y formatos propios. El banco que no tenga ese flujo resuelto en un procedimiento único va a descubrir la brecha en plena crisis.
Las amenazas: El fraude industrializado llegó primero
La banca chilena tiene décadas de oficio en seguridad y aun así el 2025-2026 la puso a prueba. Tres frentes concentran el riesgo:
El fraude al cliente escaló con IA. Los intentos de estafa por ingeniería social crecieron 155% interanual en la región según BioCatch. El atacante ya no necesita vulnerar el core bancario: suplanta la marca con sitios clonados, llama con voces generadas por IA que imitan al ejecutivo de cuenta y arma campañas de smishing segmentadas. Los 170 mil clientes con reclamos de fraude en un semestre cuentan esa historia. La NCG 538 es la respuesta regulatoria, y las tecnologías de identidad digital (biometría conductual incluida) están pasando de diferenciador a estándar.
El ransomware apunta al ecosistema, no solo al banco. El 79% regional no se explica por ataques directos al core: los grupos criminales golpean procesadores de pago, proveedores tecnológicos, corresponsalías y empresas de cobranza conectadas al banco. El registro de CronUp de los últimos meses en Chile muestra el patrón: el eslabón atacado casi nunca es el más grande, es el más conectado con el más grande. La gestión de riesgo de terceros que exige el marco OIV no es papeleo: es exactamente la defensa contra este patrón.
Las credenciales siguen siendo la moneda. Accesos de banca en línea se venden desde US$35 en los mercados de la dark web y los infostealers alimentan ese inventario a diario. Para el banco, el problema es doble: credenciales de clientes (fraude) y credenciales de funcionarios (intrusión). El monitoreo de filtraciones en la dark web es la alerta temprana de ambos.
Las 6 amenazas principales del sector bancario
Cómo se ven en la operación real de la banca y qué cuestan.
| Amenaza | Cómo se ve en banca | Impacto típico |
|---|---|---|
| Fraude con IA al cliente | Suplantación de marca, voces clonadas, smishing segmentado | Pérdidas masivas, reclamos, presión regulatoria |
| Ransomware al ecosistema | Ataque a procesadores, proveedores TI y cobranza conectados | Interrupción de servicios, exposición de datos |
| Credential stuffing | Pruebas masivas de credenciales filtradas contra banca en línea | Cuentas comprometidas, fraude transaccional |
| BEC y fraude interno de pagos | Correos que suplantan a gerencias o contrapartes para desviar transferencias | Pérdida financiera directa |
| Intrusión por credenciales de funcionarios | Accesos corporativos filtrados o phishing dirigido al personal | Acceso persistente al core, exfiltración |
| DDoS y extorsión de disponibilidad | Saturación de canales digitales con demanda de rescate | Banca en línea caída, daño reputacional |
Fuentes: Duke University / Digi Americas (ransomware 79% de incidentes financieros LATAM), BioCatch, trendTIC, CronUp (registro ransomware Chile 2025-2026).
El triple frente en una tabla
El triple frente, marco por marco
Tres marcos, tres reguladores, un solo año.
Fiscaliza la ANCI: registro, delegado de ciberseguridad, medidas mínimas y reporte de incidentes significativos (3 h / 72 h).
Fiscaliza la CMF: gestión de ciberseguridad más autenticación reforzada en las operaciones digitales. Alcanza a bancos, emisores, cooperativas fiscalizadas y fintechs reguladas.
Fiscaliza la Agencia de Protección de Datos: régimen completo de datos personales, DPO según el caso y reporte de brechas, con multas de hasta 20.000 UTM.
La banca hereda además el frente de gobernanza de IA: la CMF ya fijó expectativas para el uso de inteligencia artificial en el sector financiero, y el directorio responde por esos controles. Lo tratamos en detalle en nuestra guía de gobernanza de IA para directorios. El fraude con IA se combate con IA, y el regulador quiere gobernanza sobre ambas puntas.
NCG 538 en la práctica: Seguridad sin matar la experiencia
Vale la pena detenerse en la norma más nueva, porque su implementación define la experiencia digital del banco por los próximos años.
La exigencia central es autenticación reforzada: al menos dos factores de categorías distintas (algo que sabes, algo que tienes, algo que eres) en las operaciones sensibles. Hasta ahí, nada que un banco grande no tuviera. Los desafíos reales están en los bordes:
- Los canales heredados. La excepción "es un cliente antiguo que opera por teléfono" es el hueco que el fraude explota y que la norma vino a cerrar. En junio la CMF permitió mantener la tarjeta de coordenadas para grupos acotados (adultos mayores, personas con discapacidad o salud deteriorada, clientes sin acceso a canales físicos). Esa excepción es legítima y exige lo mismo que el resto: criterios escritos, clientes identificados y monitoreo de fraude propio para ese segmento. El inventario de operaciones sensibles debe cubrir todos los canales, incluidos los incómodos.
- La fricción como riesgo de negocio. Cada factor adicional mal implementado empuja clientes al canal presencial o a la competencia. La respuesta de la industria es la autenticación adaptativa: fricción máxima solo cuando la señal de riesgo lo amerita (dispositivo nuevo, monto inusual, patrón de navegación extraño), fluidez en el resto. La biometría conductual (cómo tipeas, cómo mueves el teléfono) permite verificar sin preguntar.
- El tercero que autentica. Buena parte de la banca mediana y las fintechs delega la autenticación en proveedores. La norma no delega la responsabilidad: si el proveedor de OTP o biometría falla, el regulado responde. Otra entrada más para la lista de terceros críticos.
- La evidencia. Como con la ANCI, la CMF va a pedir demostración, no declaración: cobertura de la autenticación reforzada por canal y por tipo de operación, tasas de fraude antes y después, excepciones documentadas con su plan de cierre.
Para las cooperativas y fintechs que llegan más justas de equipo, la secuencia sensata es: inventario de operaciones sensibles por canal, cierre de excepciones de mayor riesgo primero, y monitoreo de fraude que retroalimente las reglas adaptativas. La norma es exigente, pero también es la mejor palanca presupuestaria que el equipo de seguridad ha tenido frente a su gerencia de finanzas: ahora es obligación legal, no proyecto postergable.
Chile, Perú y Colombia: La banca regional juega con tres reglamentos
La banca regional juega con tres reglamentos
Diseñar una vez para el triple frente chileno, desplegar tres veces.
| País | Marco de ciberseguridad bancaria | Datos personales | Qué significa para el sector |
|---|---|---|---|
| Chile | OIV (ANCI) + RAN 20-10 + NCG 538 (CMF) | Ley 21.719 (dic-2026, postergación en trámite) | Triple frente simultáneo, el más exigente de la región |
| Perú | SBS con reglamento de ciberseguridad y gestión de riesgo operacional | Ley 29733 vigente | Supervisión bancaria madura, sin figura OIV transversal |
| Colombia | Superintendencia Financiera con circulares de ciberseguridad y nube | Ley 1581 vigente | Regulación sectorial activa, habeas data fuerte |
Para los bancos y fintechs con operación multipaís, la asimetría es una ventaja disfrazada: el programa que satisface al triple frente chileno cubre con holgura las exigencias de la SBS peruana y la Superfinanciera colombiana. Diseñar una vez, desplegar tres veces.
Checklist: Los 10 puntos del triple frente
Autodiagnóstico: Los 10 puntos del triple frente
Responde sí o no. Cada sí vale 1 punto.
¿Tu registro OIV, delegado de ciberseguridad y canal con la ANCI están operativos y documentados?
¿Tu autenticación cumple la NCG 538 en todas las operaciones sensibles, y las excepciones de tarjeta de coordenadas están documentadas según los criterios de la CMF?
¿Existe UN procedimiento de incidentes que resuelva a quién se reporta qué, en qué plazo (ANCI, CMF, Agencia de Datos)?
¿Puedes activar la alerta de 3 horas un domingo a las 2 AM, con evidencia de que lo has ensayado?
¿Monitoreas suplantación de tu marca (dominios, apps falsas, redes) con capacidad de baja rápida?
¿Tus terceros críticos (procesadores, proveedores TI, cobranza) tienen requisitos de seguridad contractuales y monitoreo?
¿Detectarías una campaña de credential stuffing contra tu banca en línea en minutos (no en el reclamo del cliente)?
¿Monitoreas si credenciales de clientes o funcionarios circulan filtradas en mercados criminales?
¿Tu registro de tratamientos de datos y la evaluación de DPO avanzan con fecha propia, sin depender de lo que resuelva el Senado?
¿Tu directorio revisó este año el estado del triple frente con métricas, no con semáforos decorativos?
Hoja de ruta: Cerrar el año con los tres frentes en orden
Octubre: Fraude y consolidación. El CyberMonday (5 al 7 de octubre) abrió la temporada alta del fraude, que sigue con Black Friday, aguinaldos y compras navideñas. Afinar el monitoreo de suplantación de marca y credential stuffing antes de cada peak. En paralelo, auditar internamente OIV y NCG 538 antes de que lo haga el regulador, y ensayar el procedimiento unificado de incidentes con un escenario de ransomware + fuga.
Noviembre: Terceros y frente de datos. Revisión de riesgo de terceros con foco en procesadores y proveedores conectados al core. Registro de tratamientos cerrado, DPO designado o externalizado, y el reporte de brechas a la Agencia integrado al flujo único de incidentes. Si el Senado aprueba la postergación, ese trabajo queda como ventaja; si no, llega justo a tiempo.
Diciembre: Régimen permanente. Los tres frentes operando como un solo sistema de gestión, con tablero único para el directorio: estado de cumplimiento, incidentes del período, métricas de fraude y deuda técnica de seguridad priorizada.
El efecto espejo: Lo que el banco exige, el banco debe mostrar
Un último ángulo que la banca mediana suele pasar por alto. Como OIV, los bancos están obligados a gestionar el riesgo de sus terceros, y lo están haciendo: cuestionarios de seguridad a proveedores, cláusulas de reporte de incidentes, auditorías. Pero la cadena funciona en ambos sentidos. Los grandes clientes corporativos del banco (mineras, retailers, otros OIV) están enviando los mismos cuestionarios de vuelta: quieren saber cómo protege el banco sus datos de tesorería, sus nóminas, su información de pagos.
El banco que responde esos cuestionarios con evidencia sólida convierte la seguridad en argumento comercial para su banca empresas. El que responde con generalidades le regala un punto de comparación a la competencia. En un mercado donde los productos financieros se parecen cada vez más, la confianza demostrable es de las pocas diferenciaciones que quedan.
Preguntas frecuentes
¿La NCG 538 aplica a las fintechs?
Sí, a las reguladas bajo la Ley Fintech que realizan operaciones alcanzadas por la norma, además de bancos, emisores de tarjetas y cooperativas fiscalizadas. Si tu fintech inicia pagos o custodia fondos de clientes, la autenticación reforzada ya es obligación, no roadmap.
¿Un banco mediano necesita SOC propio para cumplir el marco OIV?
Necesita la capacidad, no necesariamente la propiedad. Detección y respuesta 24x7 con los plazos de reporte de la ANCI se puede construir internamente (caro y lento, con el déficit de 6.000 profesionales que arrastra Chile) o contratar como servicio gestionado. Lo que no admite el marco es el punto ciego nocturno.
¿Cómo evitamos que el cumplimiento se coma el presupuesto de seguridad real?
Tratando los tres marcos como un solo sistema con un solo inventario de controles mapeado a las tres exigencias. El error caro es armar tres proyectos con tres consultoras y tres repositorios de evidencia. El control es el mismo; lo que cambia es a quién se le demuestra.
¿Qué mirará primero la ANCI en un banco?
Lo mismo que en todo OIV: registro, delegado y funcionamiento real del canal de reporte. En el sector financiero se suma un matiz: la ANCI y la CMF coordinan supervisión, así que las inconsistencias entre lo declarado a una y otra agencia son el hallazgo fácil. Coherencia documental primero.
Cómo puede ayudarte Netprovider
Trabajamos con la banca chilena en su nivel más exigente: Banco de Chile, uno de los principales bancos del país, confía en Netprovider como socio de ciberseguridad. Sabemos lo que significa operar con supervisión permanente y ventanas de mantención que no existen.
Para el sector financiero, el fit natural son dos servicios: nuestro CyberSOC 24x7, con el mejor desempeño técnico del estudio CETIUC 2026, que cubre la detección y respuesta con los plazos que exigen ANCI y CMF; y el CISO as a Service para la banca mediana, cooperativas y fintechs que necesitan seniority estratégico frente al triple frente sin el costo de una gerencia completa.
¿Tu institución está corriendo el triple frente con la dotación justa? Conversemos: un diagnóstico contra los tres marcos a la vez ordena las prioridades del trimestre en una sola hoja.
Fuentes
- Duke University / Digi Americas (vía DPL News), ransomware 79% de incidentes financieros LATAM: dplnews.com
- trendTIC, reclamos por fraude bancario primer semestre 2025 y tecnologías de identidad digital: trendtic.cl
- CMF, NCG 538 sobre autenticación reforzada (vigencia 1-ago-2026), ajuste de junio 2026 sobre tarjetas de coordenadas y RAN 20-10: cmfchile.cl
- Cámara de Comercio de Santiago, CyberMonday 2026 (5 al 7 de octubre): cyber.cl
- Proyecto de ley que posterga la Ley 21.719 (ingresado al Senado el 1-sep-2026): senado.cl
- BioCatch (vía 100% Seguro), ingeniería social +155% interanual LATAM
- CronUp, registro de ransomware en Chile 2025-2026: cronup.com
- Check Point / TIVIT, ataques semanales por organización en Chile
- ANCI, calificación OIV primera etapa: anci.gob.cl
- Ley 21.719, régimen sancionatorio: bcn.cl
Contáctanos para asegurar tu continuidad operacional
No esperes más, protege tu negocio y asegura su continuidad operativa con nuestros servicios especializados.
