Señor Director:

Hace pocos días, la ANCI (Agencia Nacional de Ciberseguridad) publicaba con orgullo que Chile es el N.° 1 en ciberseguridad de Latinoamérica y el Caribe. Sin embargo, esta afirmación se ve tensionada tras una noticia de alcance nacional: la publicación de datos robados de pacientes pertenecientes a la Clínica Dávila, un hecho de alta gravedad y extrema sensibilidad para la confianza pública.

El 19 de diciembre de 2025 se reportó que el grupo de hackers Devman logró perpetrar el robo de aproximadamente 250 GB de información sensible de pacientes, incluyendo fichas clínicas, diagnósticos médicos y resultados de alta sensibilidad, como exámenes de VIH. Según el medio Interferencia.cl, el acceso se habría producido a través de una VPN que utilizaba un nombre de usuario y contraseña idénticos, facilitando así el ataque.

Para agravar aún más la situación, el grupo de hackers amenazó a la Clínica Dávila indicando que, de no existir una respuesta antes del 31 de diciembre de 2025, la información sería publicada. Finalmente, y ante la nula respuesta de la institución, el grupo Devman filtró parte de los datos. Cabe recordar que los expertos recomiendan “nunca pagar el rescate como primera opción”, tal como señala el mismo medio.

Este no es un hecho aislado. En 2022, el grupo de hackers LockBit liberó archivos de la Comisión Nacional de Acreditación (CNA), incluyendo contratos vigentes, finiquitos, licencias médicas, memorándums, antecedentes de la Operación Renta 2022 y datos de funcionarios, entre otros. Ese mismo año, también fue hackeado el Estado Mayor Conjunto de las Fuerzas Armadas y, posteriormente, el Poder Judicial se vio afectado por un ataque de LockBit que comprometió cerca de 150 computadores con Windows 7.

Todo lo anterior lleva a preguntarse: ¿estamos realmente protegidos? Ya no basta con reportar un ataque una vez ocurrido. Es imprescindible adoptar medidas preventivas que reduzcan la superficie y la probabilidad de ataque, entendiendo que siempre existirá un nivel de exposición. Asimismo, tanto las instituciones públicas como privadas deben ser auditadas periódicamente y someterse a pruebas de penetración (pentesting) que permitan evaluar la seguridad real de sus sistemas. Los cibercriminales no discriminan entre el sector público y el privado.