Este no es un ataque de ransomware que cifra servidores y exige pago. Es algo más silencioso y, en muchos sentidos, más peligroso: exfiltrar información sin que la víctima se dé cuenta, para luego venderla, usarla en fraudes o como puerta de entrada a ataques más sofisticados.
¿Qué sabemos de los grupos GRAM-5?
El informe del CSIRT Nacional identifica a estos cuatro grupos como actores especializados en exfiltración de información con actividad confirmada en Chile durante el T2-2026. Aunque el documento completo no está disponible públicamente en detalle, el boletín oficial revela patrones clave sobre su modus operandi:
Patrón de ataque común
- Acceso inicial con cuentas válidas: La mayoría de estos grupos no necesita “hackear” en el sentido tradicional. Obtienen credenciales legítimas de filtraciones previas (bases de datos expuestas, infostealers, phishing) y las usan para entrar como si fueran usuarios autorizados.
- Explotación de IDOR o fallas de control de acceso: Una vez dentro, aprovechan vulnerabilidades de Insecure Direct Object Reference (IDOR) o controles de acceso mal implementados para acceder a datos que no deberían ver.
- Exfiltración silenciosa: Extraen la información sin alterar el funcionamiento del sistema, sin cifrar archivos, sin dejar ransomware. La víctima sigue operando normalmente mientras sus datos ya están en manos de los atacantes.
El efecto observable más reportado
El boletín destaca que la “exfiltración y/o exposición de datos” fue el efecto observable más reportado en los incidentes analizados, representando el 41,8% de los casos en el segundo trimestre, manteniendo la tendencia del primer trimestre.
Esto significa que casi la mitad de los incidentes de ciberseguridad reportados en Chile durante este periodo no fueron ataques destructivos, sino robos de información.
El boletín destaca que la “exfiltración y/o exposición de datos” fue el efecto observable más reportado en los incidentes analizados durante el segundo trimestre de 2026, manteniendo la tendencia crítica observada en el primer trimestre. Casi la mitad de los incidentes en el país corresponden a robos silenciosos de información.
IDOR: la vulnerabilidad que nadie ve venir
Las vulnerabilidades de tipo IDOR (Insecure Direct Object Reference) son el arma preferida de estos grupos. Técnicamente, ocurren cuando una aplicación web o API permite a un usuario acceder a recursos (archivos, registros, bases de datos) simplemente cambiando un identificador en la URL o en una petición, sin verificar que ese usuario tenga permiso para ver ese recurso específico.
En la práctica, funciona como algo así: imagina que un empleado de una institución accede a su perfil con una URL como:
https://institucion.gob.cl/perfil?id=12345
Si el sistema no valida correctamente, un atacante que ya tiene una cuenta válida puede cambiar el id=12345 por id=12346 y acceder al perfil de otro usuario, o incluso a datos administrativos, sin necesidad de credenciales privilegiadas. En el 2026, vulnerabilidades IDOR han sido documentadas en plataformas críticas como SolarWinds Serv-U, CyberPanel, Shelf, OpenRemote y Langflow, algunas con explotación activa confirmada.
Hay tres razones por las cuales son tan peligrosas. Primero, no requieren malware porque el atacante usa la interfaz legítima del sistema. Además, Son difíciles de detectar ya que no hay archivos sospechosos, solo peticiones HTTP que parecen normales. Y por último pero no menos importante, permiten acceso transversal: Un usuario de bajo nivel puede acceder a datos de otros departamentos o incluso de otras organizaciones en sistemas multi-tenant*.
*Multi-tenant: arquitectura de software donde una sola instancia de una aplicación y su servidor sirven a múltiples clientes u organizaciones, llamados tenants o inquilinos. Aunque comparten la misma base de código y recursos, los datos de cada cliente están separados y seguros. Es el modelo estándar para aplicaciones en la nube y plataformas.
Infostealers: la puerta de entrada silenciosa
Muchas de las credenciales que usan estos grupos provienen de malware infostealer, un tipo de software malicioso que roba contraseñas, cookies de sesión, datos bancarios y otra información sensible sin que el usuario lo note.
El problema es de tal magnitud, que según Flashpoint, en la primera mitad de 2026 se registraron 7,4 millones de dispositivos infectados con infostealers a nivel global, un aumento del 27% respecto al periodo anterior. Estos malware harvestearon 1,7 mil millones de credenciales entre enero y junio de 2026. Las familias más prolíficas incluyen Vidar, StealC y Lumma, que operan como un motor de cosecha industrial, extrayendo datos de navegadores, gestores de contraseñas, billeteras de criptomonedas y cookies de autenticación.
¿Cómo llegan a los equipos?
Los infostealers suelen entrar a través de:
- Descargas inseguras y software pirateado
- Falsas actualizaciones de software
- Anuncios peligrosos (malvertising)
- Enlaces de phishing en correos o mensajes
- Aplicaciones crackeadas o trucos para videojuegos
Una vez instalados, operan en silencio, enviando los datos robados a servidores controlados por los atacantes. Esas credenciales luego alimentan mercados clandestinos en la Dark Web o se usan directamente para ataques como los que documenta el CSIRT Nacional.
El impacto los usuarios
Aunque estos ataques suelen dirigirse a instituciones públicas y privadas, el impacto llega directamente a las personas. Cuando se filtran datos personales (nombres, RUT, correos, direcciones o credenciales), los usuarios quedan expuestos a riesgos como:
- Intentos de phishing y estafas más precisas: Los atacantes ya tienen tus datos, lo que hace que los correos fraudulentos parezcan legítimos.
- Uso indebido de datos para abrir cuentas o realizar fraudes: Con tu RUT y información personal, pueden solicitar créditos o servicios en tu nombre.
- Posible robo de identidad: La combinación de datos personales y credenciales robadas permite a los criminales hacerse pasar por ti en múltiples plataformas.
La cadena de ataque típica
Usuario común → Infostealer en equipo personal → Credenciales robadas → Venta en Dark Web → GRAM-5 compra credenciales → Acceso inicial a institución → Explotación IDOR → Exfiltración masiva → Datos personales expuestos
Esta cadena muestra cómo la seguridad individual es eslabón crítico: un solo equipo personal comprometido puede ser el origen de una filtración institucional masiva.
El contexto chileno: entre la ley y la realidad operativa
Chile está en un momento de transición en ciberseguridad. La Ley 21.663 (Ley Marco de Ciberseguridad) ya está vigente desde marzo de 2025, estableciendo obligaciones concretas para Operadores de Importancia Vital (OIV) y Prestadores de Servicios Esenciales (PSE).
Obligaciones críticas
Las instituciones afectadas deben:
- Reportar incidentes al CSIRT Nacional en 3 horas desde la identificación (alerta temprana)
- Enviar un segundo reporte en 72 horas
- Presentar un informe final en 15 días
Las multas por incumplimiento son severas: hasta 40.000 UTM (aproximadamente US$3 millones) para OIV en casos gravísimos.
La brecha de ejecución
A pesar del marco legal, la realidad operativa muestra desafíos. Según CronUp, entre diciembre de 2025 y marzo de 2026 se registraron 13 organizaciones chilenas afectadas y 15 publicaciones en sitios de filtración de datos en solo cuatro meses, con varios grupos de ransomware operando en paralelo.
Además, Chile ha enfrentado alertas de ciberespionaje de origen estatal. En agosto de 2026, agencias de inteligencia de Estados Unidos alertaron sobre operaciones atribuidas al grupo “Lilac Typhoon” (vinculado al Ejército Popular de Liberación chino) en redes de Entel, Movistar y Telmex, lo que derivó en una investigación judicial por sabotaje informático.
Cómo protegerse: recomendaciones prácticas
Para instituciones y empresas
- Implementar autenticación multifactor (MFA) en todos los servicios críticos: Esto neutraliza gran parte del riesgo de credenciales robadas por infostealers.
- Auditar controles de acceso y validar IDOR: Revisar que todas las APIs y endpoints verifiquen permisos por recurso, no solo por sesión de usuario.
- Monitorear accesos anómalos: Usar reglas de correlación y geolocalización para detectar comportamientos inusuales, como accesos desde ubicaciones o horarios atípicos.
- Restringir almacenamiento de contraseñas en navegadores: Promover el uso de gestores de contraseñas especializados en lugar de guardar credenciales en Chrome, Edge o Firefox.
- Cumplir plazos de reporte al CSIRT: La alerta temprana en 3 horas no es opcional para OIV y PSE, y puede marcar la diferencia en la contención de incidentes.
Para usuarios individuales
- Usar autenticación de dos factores (2FA) en todas las cuentas críticas: Correo, banca, redes sociales, servicios gubernamentales.
- Evitar software pirata y descargas de origen desconocido: La mayoría de los infostealers entran por esta vía.
- No guardar contraseñas en el navegador: Usar gestores como Bitwarden, 1Password o KeePass.
- Mantener el sistema operativo y aplicaciones actualizados: Los parches de seguridad cierran vulnerabilidades explotadas por malware.
- Revocar sesiones activas si hay sospecha de compromiso: Si descubres que robaron tus cookies o credenciales, cierra sesión en todos los dispositivos y cambia contraseñas inmediatamente.
- Monitorear actividad de cuentas: Revisar regularmente los accesos recientes, dispositivos conectados y métodos de pago guardados.
Lo que viene: tendencias para el resto de 2026
El boletín del CSIRT Nacional sugiere que la exfiltración de datos seguirá siendo la amenaza dominante durante el segundo semestre. Con casi la mitad de los incidentes reportados centrados en robo de información, las organizaciones deben asumir que la prevención tradicional (firewalls, antivirus) ya no es suficiente contra atacantes que operan con credenciales legítimas.
Señales de alerta
Las instituciones deben estar atentas a:
- Aumento de reportes de accesos no autorizados con credenciales válidas: El uso de cuentas comprometidas seguirá siendo la vía de entrada preferida.
- Vulnerabilidades IDOR en sistemas críticos: Especialmente en APIs, plataformas multi-tenant y sistemas de gestión de datos.
- Campañas de infostealers dirigidas a sectores específicos: Banca, salud y gobierno son objetivos recurrentes por el valor de los datos que manejan.
- Convergencia con ransomware: Los datos exfiltrados pueden usarse como palanca para extorsión posterior, incluso sin cifrado inicial.
El factor humano
La combinación de infostealers + IDOR + credenciales robadas seguirá siendo efectiva porque explota fallas humanas y de implementación, no solo vulnerabilidades técnicas. Esto significa que:
- La capacitación en ciberseguridad debe ser continua, no puntual
- Las políticas de contraseñas y autenticación deben reforzarse
- El monitoreo proactivo de accesos es tan crítico como la prevención perimetral.
Fuentes oficiales:
- Boletín de Investigación de Amenazas T2-2026 – CSIRT Nacional
- Alertas de vulnerabilidades – CSIRT Nacional
- Ley 21.663 – Ley Marco de Ciberseguridad
Para reportar incidentes: Las instituciones obligadas deben contactar al CSIRT Nacional dentro de las 3 horas hábiles desde la identificación del incidente.
