Situación Nacional de Ciberseguridad - Junio 2026 - Chile

Vulnerabilidades críticas com impacto no Chile

A tabela resume o conjunto de riscos com maior impacto operacional para o Chile ao longo do mês. Nem todos pertencem à mesma família de ataque, mas convergem nos mesmos pontos de controle, navegação, estações de trabalho, domínios Windows, servidores expostos e plataformas móveis em uso corporativo.

No caso do Chrome, o risco é direto porque o exploit é ativado com a simples visita a uma página maliciosa. Isso transforma a superfície do usuário final em uma frente crítica. No Windows, o problema é mais estrutural, já que Netlogon e BitLocker atingem serviços com privilégios altos ou com valor direto para a proteção de dados. A combinação desses dois frentes obriga a separar prioridades por exposição, não por ordem de chegada do boletim.

Regulação e compliance no Chile

Junho foi, para o Chile, um mês de materialização regulatória. A ANCI abriu uma consulta pública para definir padrões básicos obrigatórios de cibersegurança para as organizações sujeitas à Lei Marco de Ciberseguridad, com base na Resolución Exenta N.º 140 e prazo para comentários até 29 de junho de 2026. Essa janela mostra que o arcabouço regulatório ainda está em ajuste, mas já produz efeitos concretos sobre o que cada organização terá de comprovar perante a autoridade.

Em paralelo, um dos primeiros marcos da Lei 21.663 já entrou em vigor durante junho, ao exigir que os Operadores de Importância Vital comprovem à ANCI o cumprimento de novas exigências de segurança digital. A ADN Radio destacou que o regime de sanções pode chegar a 40.000 UTM, cifra estimada em mais de $2.800 milhões de pesos chilenos. Na prática, isso muda o critério de maturidade, que deixa de depender só dos controles implementados e passa a exigir evidências de conformidade e capacidade de resposta documentada.

A mesma lógica alcança o Consejo para la Transparencia, que publicou em 2026 seu Manual de Transparência, Probidad y Acceso a la Información Pública para Autoridades. Embora o documento não faça parte do núcleo de cibersegurança operacional, ele influencia o tratamento da informação pública e a disciplina documental de órgãos estatais. Para equipes que atuam em governo, prefeituras, empresas públicas ou instituições fiscalizadas, a fronteira entre segurança e transparência está cada vez mais estreita.

Também aparece o SERNAC, que durante o CyberDay 2026 realizou uma fiscalização digital especial, monitorando publicidade, informações aos consumidores, custos e prazos de entrega, além de alertar para fraudes digitais e práticas enganosas. Isso coloca a fraude online em uma zona de convergência entre segurança, consumo e compliance. O impacto já não é apenas técnico, porque o dano reputacional e regulatório pode surgir de uma compra mal estruturada ou de uma campanha de phishing acoplada a datas comerciais de grande volume.

A isso se soma a Lei N.º 21.719 de Protección de Datos Personales, que diversos meios chilenos apontaram em junho como plenamente vigente a partir de 1 de dezembro de 2026, com sanções administrativas de até 20.000 UTM para infrações graves e criação de uma Agencia de Protección de Datos com poderes de fiscalização, investigação e sanção. O mês deixou claro que o segundo semestre não seria lido como espera, mas como a reta final para preparar inventários, contratos, bases de legitimidade, avisos de incidentes e processos de resposta.

Setor financeiro e fraude digital no Chile

O material do mês permite falar do setor financeiro e da fraude digital com base suficiente. Primeiro, porque a ANCI identificou 34 operadores do setor bancário dentro da lista de OIV, o que coloca a banca em um regime com expectativas explícitas de notificação, continuidade e evidência de controle. Segundo, porque a conversa pública do mês veio carregada de referências a fraudes por telefone, WhatsApp, SMS e canais de comércio eletrônico.

A nota da G5 Noticias sobre os 3.123 ataques por semana no Chile não se limitou a uma cifra macro. Ela situa o país em um nível elevado de exposição, o que, para bancos e serviços financeiros, significa mais pressão sobre autenticação, monitoramento transacional, proteção de identidade e resposta antifraude. A linha entre ataque técnico e fraude econômica fica tênue quando o ativo mais valioso não é o servidor, mas a credencial ou a sessão.

Em junho também surgiram várias reportagens sobre vishing e fraudes digitais. Uma nota da Mundo en Línea afirmou que o Chile fechou 2025 com um recorde histórico de 41.703 causas por fraude diante do Poder Judicial, embora esse dado apareça atribuído pela fonte e não possa ser tomado aqui como consolidado. A mesma publicação indicou que o vishing concentraria 71% das fraudes de tipo phishing, segundo um estudo conjunto da Universidad de Chile e do SERNAC. Já a TrendTIC apontou que quase 1 em cada 3 fraudes digitais no Chile estaria associada ao vishing e que o valor médio do golpe alcançaria $1,3 milhões. As duas peças apontam para o mesmo fenômeno, a engenharia social continua sendo o vetor dominante do fraude de usuário final.

A Publimetro acrescentou outra camada ao informar que 60,1% dos chilenos teriam sido vítimas de algum tipo de fraude financeira por meio de plataformas digitais e que são detectados entre 122 mil e 135 mil e-mails de phishing por mês. Esses dados foram publicados como recentes, mas o trecho disponível não apresenta metodologia, então devem ser lidos como referência jornalística e não como estatística oficial.

Em paralelo, a HackingChile descreveu que as falsificações mais frequentes em phishing local miram BancoEstado, Banco de Chile, Falabella, Ripley, Correos de Chile e o SII, além de apontar o uso disseminado de smishing. Essa coincidência entre marcas, logística e administração tributária ajuda a entender por que a fraude digital no Chile tende a ser oportunista e massiva, não necessariamente sofisticada, mas persistente.

A semana do CyberDay também gerou ruído. A Radio Cooperativa divulgou no Facebook um alerta sobre aumento de fraudes com códigos QR em encomendas domiciliares durante o evento. Não é preciso uma cadeia técnica complexa quando o atacante aproveita a urgência do usuário, a expectativa de uma compra e uma interação breve com um QR malicioso. Em bancos e pagamentos, a resposta efetiva depende de controles transacionais, educação antifraude e filtros de verificação, não de uma única camada.

Panorama regional: Chile no contexto da América Latina

Em junho, o Chile aparece como um dos países latino-americanos em que a regulação de cibersegurança começa a se traduzir em obrigações operacionais mensuráveis, e não apenas em discussões de política pública. A lista de OIV, o prazo de três horas para reporte, a consulta pública de padrões e a referência explícita a sanções elevadas colocam o país em uma etapa mais avançada de institucionalização do que a que costuma aparecer em diagnósticos regionais genéricos.

O ruído técnico, além disso, não foi local, mas global. Microsoft, Google, Adobe e Android concentraram o volume de patches, enquanto CISA, NVD e diferentes equipes internacionais de resposta catalogaram várias vulnerabilidades como exploradas ativamente. O Chile entra nesse mesmo ciclo de exposição porque seu parque tecnológico depende em grande medida de software internacional e porque seus setores críticos, de energia a saúde, operam sobre cadeias de suprimento de TI que não reconhecem fronteiras.

Nesse contexto, junho deixou uma leitura bastante clara: o país não enfrenta uma ameaça isolada, e sim a soma de três pressões simultâneas, cumprimento regulatório, remediação urgente e fraude massiva de usuários. A região compartilha as mesmas campanhas e os mesmos produtos afetados, mas o Chile chega a essa conversa com maior densidade regulatória e com um universo de operadores críticos já nomeado pela autoridade.

Indicadores do período

Leitura para equipes de segurança no Chile

A prioridade continua sendo operacional, não teórica: inventário, classificação e tempos de resposta. Se uma organização estiver dentro de OIV, junho deixa claro que o relógio regulatório já está correndo. Três horas para notificar incidentes não admitem improviso, por isso a mesa de crise, o fluxo jurídico e a capacidade de classificação técnica precisam estar ensaiados antes do evento, não depois.

A segunda prioridade é a gestão de patches com critério de exposição. Os casos de Chrome e Netlogon mostram que a simples existência do patch não basta. É preciso verificar o deployment, forçar reinicialização em navegadores Chromium, revisar versões em endpoints gerenciados, proteger controladores de domínio e confirmar que as mitigações realmente ficaram ativas. Em ambientes com muitos ativos remotos, a visibilidade de conformidade é tão importante quanto o download do pacote.

Em terceiro lugar, junho confirma que os atacantes seguem buscando as peças que abrem a rede, não necessariamente o ativo final. Um navegador com uma falha explorável, um domínio Windows sem remediação ou uma sessão roubada por vishing podem ter efeitos equivalentes se habilitarem persistência e acesso lateral. O foco defensivo deveria estar em reduzir a oportunidade de entrada, reforçar identidade e monitoramento, e fechar rápido as rotas de escalada.

Em quarto lugar, a frente de fraude digital precisa ser tratada como parte do programa de segurança, não como um anexo do atendimento ao cliente. Os dados de phishing, QR, vishing e suplantação de marcas mostram que a organização que não coordena antifraude, comunicação e proteção de identidade acaba reagindo tarde demais. Em setores regulados, esse atraso também pode resultar em exposição reputacional e custos de conformidade.

Por fim, o segundo semestre exige preparação documental. A consulta pública de padrões, o avanço da Lei 21.719 e a implementação real dos controles da Lei 21.663 criam um ambiente em que já não basta declarar controles. É preciso evidência, rastreabilidade, políticas atualizadas, contratos com terceiros, exercícios de continuidade e critérios para classificar incidentes, tudo isso antes de dezembro.

Limitações do material

Este relatório foi construído exclusivamente com o material fornecido. Não houve observações verificáveis acumuladas no período, e as estatísticas internas do mês aparecem em zero. Por isso, várias afirmações se apoiam em pesquisa aprofundada confirmada por fonte, enquanto outros dados jornalísticos, embora úteis para contextualizar, constam no material como atribuídos pela fonte e não são usados como fatos consolidados.

Não foram incorporados números não verificados nem extrapoladas tendências além do que permitem as fontes disponíveis. Também não foram atribuídas vítimas, campanhas ou impactos que não estivessem explicitamente documentados no corpus entregue. Em particular, o caso de ransomware associado ao Chile não pôde ser reconstruído como uma campanha única durante junho, embora exista evidência de atividade registrada em plataformas especializadas.

O período apresentou uma assimetria clara entre regulação, vulnerabilidades globais e fraude digital. Isso permite descrever com precisão a pressão sobre organizações chilenas, mas não permite afirmar, com o material disponível, uma correlação direta entre um incidente concreto e um setor específico além dos casos e categorias mencionados.

##{end}