El CyberMonday de la semana pasada dejó tres días de avisos de despacho y de cobro en el mismo teléfono donde tu equipo revisa el correo corporativo, y los delincuentes montan sus campañas sobre esa espera. Kaspersky bloqueó 37,7 millones de intentos de phishing en Chile en doce meses, más de 103.000 al día y 71% más que en el período anterior (Panorama de Amenazas, septiembre de 2025). Según el Cost of a Data Breach 2026 de IBM, el phishing por voz o SMS es el vector de entrada más caro: USD 5,29 millones promedio por brecha.
Mi lectura de la situación es directa: el phishing ya ocupa el SMS, la llamada, el código QR y el chat de Teams además del correo, y los tiempos corren en dos escalas. Verizon midió en su DBIR 2024 una mediana de 21 segundos para hacer clic tras abrir el correo y 28 segundos más para entregar los datos. La Ley 21.663 da 3 horas para enviar la alerta temprana a la Agencia Nacional de Ciberseguridad (ANCI). Octubre, Mes Nacional de la Ciberseguridad, es buen momento para preparar ese trayecto.
Qué es el phishing
El phishing es una técnica de ingeniería social en la que un delincuente suplanta a una persona, marca o institución de confianza para que la víctima entregue credenciales, datos o dinero, o instale malware. Llega por correo, SMS (smishing), llamadas (vishing), códigos QR (quishing) o mensajería, y explota la urgencia y la confianza.
En una empresa, el botín que más rinde es la credencial corporativa (Microsoft 365, VPN, ERP), porque con ella el atacante entra como un usuario legítimo.
Por qué sigue funcionando: La ingeniería social detrás del engaño
El phishing ataca la atención de las personas antes que el software. Usa la urgencia ("tu cuenta vence hoy") y la autoridad ("lo pide gerencia"). Verizon atribuye al factor humano el 62% de las brechas de su DBIR 2026. En América Latina, el 73% de las organizaciones sufrió phishing según el ESET Security Report 2026, con Educación (81,4%) y Manufactura (81,1%) a la cabeza. Quien recibe decenas de correos al día decide en segundos, y por eso la ingeniería social rinde incluso en equipos con buena formación técnica.
Qué cambió en 2026: IA generativa, voz clonada y nuevos canales
La IA generativa borró las faltas de ortografía. Microsoft registró en su Digital Defense Report 2025 que los correos de phishing automatizados con IA lograron 54% de clics, contra 12% del phishing estándar. IBM agrega en 2026 que una de cada cuatro brechas maliciosas involucró IA del lado del atacante, y que la suplantación con deepfake explica el 45% de esos casos.
CrowdStrike midió en su Global Threat Report 2026 un promedio de 29 minutos entre el acceso inicial y el salto a otros sistemas. Revisamos ese cambio en IA y ciberseguridad en 2026.
Phishing, smishing, vishing, quishing y BEC: Tabla comparativa
Las cinco modalidades comparten el método y cambian el canal. Dos siglas antes de la tabla: BEC es Business Email Compromise, el compromiso del correo corporativo para desviar pagos, y MFA es autenticación multifactor.
| Modalidad y canal | Cómo se ve en una empresa chilena | Qué busca el atacante | Señal de alerta | Control que más lo frena |
|---|---|---|---|---|
| Phishing (correo) | "Documento compartido" en SharePoint, firma pendiente en DocuSign, invitación a Zoom | Credenciales y sesión de Microsoft 365 | El dominio del enlace no es el del servicio | MFA resistente a phishing y filtrado de URL |
| Smishing (SMS y mensajería) | Paquete retenido, cobro de TAG o aviso bancario en el celular del colaborador | Claves, tarjetas y credenciales corporativas | Enlace acortado y urgencia de pago | Gestión de dispositivos móviles y simulaciones por SMS |
| Vishing (llamada) | "Soporte TI" que pide aprobar un aviso de MFA; "el gerente" con voz clonada | Reseteo de contraseña, acceso remoto o un pago | Presión por resolver en la misma llamada | Verificación por segundo canal |
| Quishing (código QR) | QR para "reactivar el MFA" o rastrear un paquete | Llevar a la víctima al celular, con menos filtros | Un QR donde bastaba un enlace | Filtrado que lea imágenes y PDF |
| BEC (correo, a veces con llamada) | Proveedor que informa "cambio de cuenta bancaria" | Una transferencia a la cuenta del atacante | Cambio de datos de pago con urgencia y reserva | Verificación por segundo canal; DMARC (autenticación del dominio remitente) |
Suplantación de identidad: El hilo común
Cada fila depende de lo mismo: alguien se hace pasar por otro. La suplantación de identidad corre en dos direcciones: el delincuente puede suplantar a un tercero frente a tu equipo, o a tu marca frente a clientes y proveedores. Los controles que verifican identidad (de quien llama, del dominio que envía, del dispositivo que se conecta) frenan varias modalidades a la vez.
Cómo entra el phishing a una empresa chilena en 2026
IBM ordenó en 2026 el costo de las brechas según el vector de entrada. El phishing por voz o SMS aparece en el 17% de los ataques y lidera con USD 5,29 millones. Le sigue la suplantación de mesa de ayuda (13% de los casos), con USD 5,23 millones. El promedio global llegó a USD 4,99 millones y el de Latinoamérica a USD 4,65 millones, frente a 3,81 en 2025.
Costo medio de una brecha según el vector de entrada
Millones de USD por brecha, según cómo entró el atacante.
Fuente: IBM, Cost of a Data Breach Report 2026 (602 organizaciones). Cifras en millones de USD, eje desde 0. La línea punteada marca el costo medio de una brecha en LATAM (México, Argentina, Chile y Colombia): USD 4,65 millones.
Correo corporativo: Credenciales de Microsoft 365, DocuSign y Zoom
El 21 de septiembre de 2026, el CSIRT Nacional (Equipo de Respuesta ante Incidentes de Seguridad Informática) publicó la alerta ACF26-01198: una campaña por correo que suplanta a Microsoft SharePoint y termina, tras varias redirecciones, en un sitio falso. Kaspersky advirtió el 17 de septiembre sobre falsos correos de DocuSign y Zoom que buscan credenciales corporativas en Latinoamérica. Los delincuentes usan el nombre de estas marcas como disfraz: las alertas no describen ataques contra ellas.
Con el buzón de Microsoft 365 en sus manos, el atacante lee hilos de pago, crea reglas de reenvío y escribe a tus clientes como un remitente legítimo.
Smishing: El SMS personal que termina en una credencial corporativa
Los ganchos de SMS se repiten en las alertas del CSIRT Nacional: el paquete retenido (alerta ACF26-01194, que suplanta a CorreosChile) y el cobro de autopista (campaña "Pasaste sin TAG"). También aquí se trata de marcas suplantadas.
El teléfono personal de un colaborador suele tener el correo corporativo y la app de autenticación. Verizon reporta en el DBIR 2026 que la ingeniería social por móvil (SMS y voz) tiene 40% más éxito que el correo, en una muestra acotada de simulaciones. La pantalla chica oculta la URL completa y los filtros de correo no revisan los SMS. En semanas como la del Cyber, el mensaje falso calza con lo que la persona espera.
Vishing con voz clonada: La llamada de "soporte TI" o del "gerente"
CrowdStrike reporta en su Threat Hunting Report 2026 que las intrusiones por vishing se duplicaron entre el segundo semestre de 2025 y el primero de 2026, y documenta a un actor que pasó de la toma de una cuenta al robo de datos en menos de 5 minutos. Como contexto del canal en Chile, TransUnion encuestó a consumidores (junio de 2026) y el vishing fue el fraude más citado por quienes perdieron dinero, con 29%.
En empresas, el vishing sigue dos guiones. Alguien llama a un colaborador como "soporte TI" y le pide aprobar un aviso de MFA. O llama a la mesa de ayuda como un colaborador que necesita resetear su contraseña. La voz clonada con IA suma una variante, "el gerente" que pide una transferencia urgente, que tratamos en deepfakes y fraude al CEO.
Quishing: El código QR que lleva el ataque al celular
Kaspersky contó 46.969 correos con QR malicioso en agosto de 2025 y 249.723 en noviembre. El QR va en el cuerpo del correo o dentro de un PDF, y lleva a la víctima del computador corporativo al celular, donde hay menos filtros.
BEC: El fraude de la factura y del cambio de cuenta bancaria
El BEC llega sin enlaces ni adjuntos. Un "proveedor" informa que cambió su cuenta bancaria, o una "gerencia" pide un pago urgente y reservado. El FBI registró en su informe IC3 2025 pérdidas por USD 3.046 millones en 24.768 denuncias de BEC, cerca de USD 123.000 por caso. El control que lo frena es de proceso: llamar a un número ya registrado antes de cambiar datos de pago.
Teams, WhatsApp y otros canales fuera del correo
El 41% de las brechas de ingeniería social usa canales distintos al correo, según el DBIR 2026. Microsoft describe una secuencia frecuente: el atacante inunda el buzón de la víctima (email bombing) y la contacta por Teams o por teléfono como "soporte TI". CrowdStrike midió que el device code phishing creció 15 veces en seis meses. En esa técnica la víctima ingresa un código en la página legítima de inicio de sesión y autoriza, sin saberlo, el dispositivo del atacante. En WhatsApp, el guion habitual es el "nuevo número" de una jefatura.
Los primeros 30 minutos después del clic: Protocolo paso a paso
Los 29 minutos que midió CrowdStrike marcan la ventana para contener la cuenta y el dispositivo. El protocolo sigue la lógica de la respuesta a incidentes según NIST y conviene tenerlo escrito, con responsables y reemplazos.
Línea de tiempo: Del clic al informe final
El ataque avanza en segundos y minutos. Los plazos de la Ley 21.663 se cuentan en horas y días.
Tramo 1: Los primeros 30 minutos
Tramo 2: De las 3 horas a los 15 días
Escala no lineal: La distancia entre hitos no es proporcional al tiempo transcurrido. Las 3 horas corren desde que la institución toma conocimiento del incidente y los 15 días, desde la alerta temprana.
Fuentes: Verizon DBIR 2024 (mediana de 21 s hasta el clic y 28 s más hasta entregar los datos); CrowdStrike 2026 Threat Hunting Report y 2026 Global Threat Report; Reglamento de Reporte de la Ley 21.663 (DS 295/2024, arts. 9 a 12).
Minuto 0 a 5: Reportar sin miedo y aislar el equipo
La persona que hizo clic es tu mejor sensor, y avisa antes si sabe que reportar no trae sanción.
- Avisar por el canal definido e indicar qué pasó: abrió, hizo clic, ingresó credenciales o ejecutó un archivo.
- Desconectar el equipo de la red sin apagarlo, porque la memoria guarda evidencia.
- No reenviar el correo a colegas.
Minuto 5 a 15: Contener la identidad
Si la persona ingresó credenciales, trata la cuenta como comprometida.
- Revocar sesiones activas y tokens. Cambiar la contraseña no cierra una sesión ya robada.
- Resetear la contraseña y revisar los métodos de MFA y los dispositivos registrados: los atacantes agregan los suyos.
- Revisar reglas de reenvío en el buzón y consentimientos OAuth a aplicaciones de terceros.
Minuto 15 a 30: Dimensionar y buscar otros afectados
Un correo de phishing rara vez llega a una sola persona.
- Buscar quién más recibió el mensaje y purgarlo de todos los buzones.
- Bloquear la URL, el dominio y el remitente en correo, proxy y DNS.
- Revisar en el EDR (Endpoint Detection and Response) si alguien más hizo clic, y buscar inicios de sesión anómalos.
De los 30 minutos a las 3 horas: La alerta temprana a la ANCI
Con el alcance claro, toca decidir si el evento es un incidente reportable. Define antes quién decide y quién envía. En un Operador de Importancia Vital (OIV), el rol natural es el delegado de ciberseguridad.
Para los OIV, la Instrucción General N°4 de la ANCI agrega medidas dentro de esas 3 horas: aislar los sistemas o cuentas comprometidos, cambiar las contraseñas de las cuentas de administración en los sistemas afectados y bloquear los accesos remotos expuestos a Internet, con ingreso solo por VPN.
Qué guardar como evidencia: el correo original con sus cabeceras, los registros de inicio de sesión del período, una captura del sitio falso y una cronología con la hora de cada acción y su responsable.
Cómo se entrena a las personas: Simulaciones de phishing que funcionan
Qué dicen los datos: De 33,2% a 4,2% en 12 meses
KnowBe4, proveedor de capacitación en seguridad, publicó en 2026 su benchmark anual con 42 millones de simulaciones en 64.000 organizaciones. Sin entrenamiento previo, el 33,2% de las personas cae ante un phishing simulado. A los 90 días de entrenamiento la cifra baja a 20,1%, y a los 12 meses a 4,2%. Sudamérica parte en 31,5% y llega a 3,3%. Las cifras vienen de un proveedor que vende este servicio: conviene leerlas como tendencia y contrastarlas con la medición propia.
De 33,2% a 4,2%: El efecto de 12 meses de simulaciones y entrenamiento
Porcentaje de personas que cae en un phishing simulado, según el tiempo de entrenamiento.
Promedio global
Sudamérica
Punto de partida por industria
Porcentaje sin entrenamiento, antes de la primera simulación.
Fuente: KnowBe4, Phishing by Industry Benchmarking Report 2026 (42 millones de simulaciones en 64.000 organizaciones). KnowBe4 es un proveedor de capacitación en seguridad. Escala de las barras: 0 a 100%.
La métrica que más importa: La tasa de reporte
Un porcentaje de clics persiste tras un año de entrenamiento. Por eso pesa más cuántas personas avisan. El DBIR 2025 de Verizon encontró que quienes tuvieron entrenamiento reciente reportan el phishing simulado cuatro veces más (21% contra 5% de base). Un reporte a los dos minutos activa el protocolo para todos los que recibieron el mismo correo.
Buenas prácticas: Frecuencia, escenarios por área y cero castigo
- Frecuencia y canales: simulaciones al menos trimestrales, con SMS y llamadas además del correo.
- Escenarios por área: cambio de cuenta bancaria para finanzas, llamada de un falso colaborador para la mesa de ayuda, QR y voz clonada para ejecutivos.
- Cero castigo: quien cae recibe una cápsula breve en el momento. Las listas públicas de "caídos" reducen los reportes.
Los controles técnicos que más frenan el phishing
MFA resistente a phishing: FIDO2 y passkeys frente a SMS y OTP
Microsoft afirma en su Digital Defense Report 2025 que el MFA bloquea más del 99% de los intentos de acceso no autorizado, y llama "gold standard" al MFA resistente a phishing. En Latinoamérica el 57% de las organizaciones usa MFA (ESET Security Report 2026), así que el primer paso es la cobertura y el segundo, el tipo de factor. Un ataque adversary-in-the-middle (AiTM) pone un proxy entre la víctima y el sitio real, y captura la clave, el código de un solo uso (OTP) y la cookie de sesión. Las llaves FIDO2 y las passkeys atan la credencial al dominio legítimo, de modo que en un dominio falso la llave no responde.
SPF, DKIM y DMARC en modo reject: Que nadie envíe correos en tu nombre
SPF declara qué servidores pueden enviar correo por tu dominio, DKIM firma cada mensaje y DMARC (Domain-based Message Authentication, Reporting and Conformance) le indica al receptor qué hacer con los mensajes que fallan esas pruebas. El camino habitual parte en monitoreo (p=none), pasa por quarantine y termina en reject. Así proteges a clientes y proveedores de correos que usan tu dominio.
Filtrado de correo, protección de URL y aislamiento de navegación
El filtrado actual analiza los enlaces al momento del clic y lee códigos QR dentro de imágenes y PDF. El aislamiento de navegación abre los sitios desconocidos en un contenedor remoto. Estos filtros no cubren los SMS ni las llamadas: ahí el peso recae en el entrenamiento y en el MFA.
EDR/XDR y SOC 24x7: Cuando el clic ocurre a las 3 de la mañana
El artículo 5° de la Instrucción General N°4 pide a los OIV herramientas para identificar, bloquear o aislar de forma remota dispositivos y cuentas comprometidos. Un EDR o un XDR (detección y respuesta extendida) entrega esa capacidad, y un SOC (centro de operaciones de seguridad) 24x7 pone a las personas que la ejecutan de madrugada. Bajo un modelo Zero Trust, además, una credencial robada abre menos puertas.
Monitoreo de credenciales expuestas
Parte de las credenciales robadas termina a la venta. El monitoreo de la dark web da tiempo para forzar el cambio de clave antes de que alguien las use. Un acceso robado también sirve de entrada a otros ataques, entre ellos el ransomware en Chile.
Qué exige la regulación chilena cuando un phishing tiene éxito
Ley 21.663: Alerta temprana en 3 horas, segundo reporte e informe final
El Reglamento de Reporte de la Ley 21.663 (DS 295/2024) fija cuatro hitos. La alerta temprana de 3 horas rige para todas las instituciones obligadas: prestadores de servicios esenciales y OIV.
| Hito | Plazo máximo | A quién aplica |
|---|---|---|
| Alerta temprana (art. 9) | 3 horas desde que se toma conocimiento | Todas las instituciones obligadas |
| Segundo reporte (art. 10) | 72 horas; 24 horas si es OIV y el servicio esencial queda afectado | Todas, con plazo reducido para OIV |
| Plan de acción (art. 11) | 7 días corridos | Solo OIV |
| Informe final (art. 12) | 15 días corridos desde la alerta temprana | Todas |
Un phishing es reportable si produce un "efecto significativo". El artículo 3° del Reglamento incluye, entre otros, el uso o ingreso sin autorización a redes o sistemas informáticos, aunque el servicio no se vea afectado de inmediato (letra d). Un clic sin entrega de credenciales ni ejecución de código no es por sí solo un incidente reportable. Una credencial robada y usada para entrar al correo o a la VPN sí cae en la letra d). Para los casos grises vale el criterio que dio en septiembre de 2026 la directora (s) de la ANCI, Michelle Bordachar: "Ante la duda, reporten". El canal es portal.anci.gob.cl.
El phishing en la taxonomía oficial de incidentes de la ANCI
La Resolución Exenta N°7 de 2025 de la ANCI nombra el phishing en tres lugares:
- "Actividades de phishing o fraude en infraestructura propia": phishing enviado o alojado en servidores de la institución.
- "Actividades de phishing o fraude relacionadas con la institución": phishing de terceros sobre la organización o con sus remitentes, es decir, suplantación de tu marca.
- "Apropiación de credenciales mediante phishing": dentro de la categoría de exfiltración y exposición de datos.
Capacitación y ciberhigiene: El deber del artículo 8°
El artículo 8° de la Ley 21.663 obliga a los OIV a "contar con programas de capacitación, formación y educación continua de sus trabajadores y colaboradores, que incluyan campañas de ciberhigiene". La ley no exige simulaciones de phishing por nombre, y las instrucciones generales de la ANCI tampoco. Las simulaciones son una forma razonable de evidenciar ese programa, porque dejan registro de fechas, participantes y resultados, algo útil si tu organización está en la nómina de OIV.
Ley 21.719: Reporte de vulneraciones "sin dilaciones indebidas"
Un buzón comprometido con datos de clientes es un acceso no autorizado a datos personales. El artículo 14 sexies de la Ley 21.719 obliga al responsable a reportar a la Agencia de Protección de Datos Personales "por los medios más expeditos posibles y sin dilaciones indebidas" las vulneraciones que generen un riesgo razonable para los titulares. El texto chileno no fija un plazo de 72 horas: esa cifra viene del reglamento europeo (GDPR). Un mismo phishing puede activar dos reportes: a la ANCI y a esta agencia.
La vigencia legal es el 1 de diciembre de 2026. El proyecto que la posterga al 1 de diciembre de 2027 ingresó al Senado el 1 de septiembre y sigue en trámite. El detalle está en nuestro plan de 90 días para la Ley 21.719.
NCG 538 de la CMF: La señal del regulador financiero sobre autenticación
Desde el 1 de agosto de 2026, la Norma de Carácter General 538 de la Comisión para el Mercado Financiero (CMF) exige autenticación reforzada, con al menos dos de tres factores, en transferencias electrónicas y enrolamiento digital, y retira la tarjeta de coordenadas, con excepciones acotadas. Un matiz técnico: la autenticación reforzada no equivale a MFA resistente a phishing. Un OTP generado por app cumple la norma y sigue siendo interceptable con un proxy AiTM.
Chile, Perú y Colombia: El phishing en la región
| País | Dato | Fuente |
|---|---|---|
| Chile | 37,7 millones de intentos de phishing bloqueados en 12 meses (+71%) | Kaspersky, septiembre de 2025 |
| Perú | 353.530 detecciones de amenazas entre enero y mayo de 2026; más del 45% es ingeniería social, phishing, scripts maliciosos y downloaders | ESET, vía Forbes Perú |
| Colombia | 19.182 denuncias por ciberdelitos en el primer trimestre de 2026 (+11,6%); suplantación de sitios web: 891 casos | Policía Nacional, vía El Tiempo |
| Colombia | El phishing creció 16% en el primer semestre de 2026 | Gen Threat Report, vía Portafolio |
Nota metodológica: las cifras no son comparables entre sí. Unas son bloqueos de un fabricante, otras son detecciones de otro fabricante o denuncias policiales. La tabla muestra la presión en cada país y no permite ordenarlos de mayor a menor.
Los marcos de reporte difieren entre los tres países, y los comparamos en la guía de reporte de incidentes en Chile, Perú y Colombia.
Checklist de 10 puntos: Mide la preparación de tu organización frente al phishing
Esta lista ayuda a identificar el siguiente paso. Asigna 2 puntos si el control está implementado y medido, 1 si está en curso o parcial, y 0 si aún no fue priorizado.
- MFA en todas las cuentas, y resistente a phishing en cuentas privilegiadas y ejecutivas.
- DMARC con política reject o quarantine en todos los dominios.
- Botón de reporte de phishing en el cliente de correo, con tasa de reporte medida.
- Simulaciones al menos trimestrales, incluidos SMS y llamadas.
- Procedimiento escrito para los primeros 30 minutos, con responsables y reemplazos.
- Capacidad de revocar sesiones y aislar equipos de forma remota, 24x7.
- Verificación por un segundo canal para cambios de cuenta bancaria y pagos urgentes.
- Criterio documentado sobre cuándo un phishing es reportable a la ANCI, y usuario activo en portal.anci.gob.cl.
- Monitoreo de credenciales corporativas expuestas y de dominios parecidos al propio.
- Programa de capacitación continua con evidencia (artículo 8° de la Ley 21.663).
16 a 20 puntos: Base sólida. El foco pasa a la mejora continua, con simulaciones más exigentes.
10 a 15 puntos: Buen avance. Quedan 2 o 3 brechas que priorizar el próximo trimestre.
0 a 9 puntos: Oportunidad de ordenar un plan por etapas. Los puntos 1, 5 y 7 son un buen primer tramo.
Preguntas frecuentes sobre phishing, smishing y vishing
¿Cuál es la diferencia entre phishing, smishing y vishing?
El canal. El phishing llega por correo, el smishing por SMS o mensajería y el vishing por llamada. Las tres son suplantación de identidad con el mismo fin.
¿Qué hago si un colaborador hizo clic en un enlace de phishing?
Pídele que avise y que desconecte el equipo de la red sin apagarlo. Si ingresó credenciales, revoca sesiones, resetea la contraseña y revisa MFA y reglas de reenvío.
¿Cómo reconocer un correo de phishing en 2026?
La ortografía ya no sirve de señal. Mira el dominio real del remitente y del enlace, y si el mensaje pide credenciales, códigos o cambios de datos de pago.
¿Un ataque de phishing se debe reportar a la ANCI?
Sí, cuando produce un efecto significativo, por ejemplo el uso de una credencial robada para entrar al correo o a la VPN. La alerta temprana tiene un plazo de 3 horas.
¿El MFA protege contra el phishing?
El MFA tradicional bloquea la mayoría de los accesos con claves robadas, pero un proxy AiTM puede interceptar un código SMS u OTP. El MFA resistente a phishing (FIDO2, passkeys) cierra esa vía.
Cómo puede ayudarte Netprovider
Netprovider obtuvo el mejor desempeño técnico del estudio CETIUC 2026 (Centro de Estudios de Tecnologías de Información de la UC) y opera desde Santiago, Lima y Bogotá. Para el phishing ofrecemos dos servicios:
- Phishing simulado: forma parte de nuestra oferta ofensiva, junto a Ethical Hacking y Red Team. Diseñamos campañas por correo, SMS y voz, medimos tasa de clic y de reporte, y entregamos evidencia para tu programa de capacitación. Conoce nuestros servicios de ciberseguridad.
- CyberSOC 24x7: detecta y contiene cuentas y equipos comprometidos dentro de la ventana de 3 horas, como parte de nuestros servicios gestionados.
¿Quieres medir cómo responde tu organización ante una campaña de phishing simulada? Conversemos.
Fuentes
- Kaspersky, Panorama de Amenazas (vía trendTIC): phishing en Chile.
- IBM, Cost of a Data Breach 2026: costo por vector y ataques con IA.
- Verizon, DBIR 2026: factor humano, canales fuera del correo y móvil.
- Verizon, DBIR 2025: tasa de reporte.
- Verizon, DBIR 2024: 21 y 28 segundos.
- ESET Security Report 2026: phishing y MFA en LATAM.
- Microsoft Digital Defense Report 2025: phishing con IA y MFA.
- CrowdStrike, 2026 Global Threat Report: breakout de 29 minutos.
- CrowdStrike, 2026 Threat Hunting Report: vishing, device code phishing.
- FBI, IC3 Annual Report 2025: pérdidas y denuncias por BEC.
- Kaspersky, quishing: correos con QR malicioso.
- Kaspersky, campaña DocuSign y Zoom: campaña en Latinoamérica.
- TransUnion, vía trendTIC: vishing entre consumidores chilenos.
- KnowBe4, Phishing by Industry Benchmarking Report 2026: resultados de simulaciones.
- CSIRT Nacional, alertas: campañas de suplantación citadas.
- Reglamento de Reporte, DS 295/2024: plazos y artículo 3°.
- ANCI, Resolución Exenta N°7/2025: taxonomía de incidentes.
- ANCI, Instrucción General N°4: medidas para OIV.
- Ley 21.663 (BCN): artículo 8°.
- Ley 21.719 (BCN): artículo 14 sexies.
- Carey: proyecto que posterga la Ley 21.719.
- CMF, NCG 538: autenticación reforzada.
- Revista Seguridad: declaraciones de la ANCI.
- Forbes Perú: detecciones en Perú.
- El Tiempo: denuncias en Colombia.
- Portafolio: phishing en Colombia.
Contáctanos para asegurar tu continuidad operacional
No esperes más, protege tu negocio y asegura su continuidad operativa con nuestros servicios especializados.
