Los 90 millones de registros que terminan siendo un SMS en tu teléfono

Exfilsquad reclamó 874 GB de un banco africano. Cl0p reapareció con 42 víctimas de nombres tachados. Ninguno de los dos casos es chileno, y los dos explican por qué en julio hubo cinco campañas de fraude contra marcas bancarias en Chile.

Qué pasó

23 de julio — Exfilsquad contra Zenith Bank. El grupo publicó el reclamo alegando la vulneración de Zenith Bank PLC, entidad financiera con presencia en múltiples países africanos y considerada uno de los mayores bancos comerciales de la región. Según la publicación, el paquete alcanzaría los ~874 GB distribuidos en cerca de 90 millones de registros. Ni el banco ni fuentes independientes han confirmado la autenticidad completa del lote, por lo que el estado es pendiente de verificación. De confirmarse, ubicaría al incidente entre los más grandes reportados contra el sector financiero en el año a nivel global.

5 de agosto — Cl0p reaparece. El grupo publicó 42 nuevas víctimas en su sitio de filtraciones en la dark web, con los nombres aún tachados. Ese patrón de ocultamiento inicial es idéntico al usado en campañas previas del grupo, donde la identidad de las víctimas se revela progresivamente semanas después del primer anuncio. El hecho permanece en estado de verificación, y la comunidad de inteligencia de amenazas lo interpreta como posible señal de una nueva campaña de explotación masiva en curso.

En el caso de Zenith, lo que hace crítico el paquete reclamado no es el volumen sino la combinación: PII, datos de cuentas y movimientos, identificadores emitidos por el gobierno y registros de contacto y soporte al cliente. Esa mezcla permite construir perfiles completos de víctimas, habilitando desde suplantación de identidad hasta fraude de originación de crédito.

Y hay un detalle de mercado que importa: en mercados clandestinos, los paquetes con PII financiera verificada se cotizan considerablemente más alto que credenciales simples, precisamente por su utilidad directa en fraude monetizable.

Por qué importa acá

Acá está el puente, y no es teórico.

Durante julio de 2026, la ANCI publicó cinco alertas de campaña fraudulenta contra marcas bancarias chilenas: tres contra Banco Santander y dos contra BancoEstado. Sumadas a los peajes y la paquetería, la banca fue uno de los tres sectores más suplantados del mes.

Esas campañas no nacen de la nada. Se alimentan de datos, y los datos no respetan fronteras. Un paquete con PII financiera verificada permite personalizar un mensaje: el nombre correcto, los últimos dígitos correctos, una referencia a un movimiento real. Eso convierte un SMS genérico en uno creíble, y la tasa de éxito cambia por completo.

El sector financiero latinoamericano comparte con Zenith una característica estructural: alta concentración de datos sensibles en sistemas core interconectados con múltiples canales digitales y proveedores externos. Y hay un efecto cruzado que se subestima: los mismos datos pueden usarse para ataques de ingeniería social contra clientes de bancos completamente distintos, aprovechando patrones de comportamiento comunes entre usuarios de banca digital en la región.

En términos regulatorios el paralelo es directo. La Ley 21.719 impone obligaciones de notificación de brechas y medidas de seguridad proporcionales al riesgo, con fiscalización creciente sobre entidades que manejan datos financieros masivos. Y bajo la Ley 21.663, las entidades de infraestructura crítica y servicios financieros esenciales enfrentan deberes reforzados de gestión de incidentes que no existían hace pocos años. La escala de un incidente así, de ocurrir en Chile, activaría múltiples obligaciones legales simultáneas.

Anatomía del ataque

Mapeo a marcos públicos, para que puedas cruzarlo con tu propia matriz de cobertura.

• T1190 — Vector estadisticamente mas frecuente en incidentes bancarios de magnitud comparable.
• T1078 — Credenciales robadas o filtradas previamente, incluidas las de terceros proveedores.
• T1530 — El volumen sugiere acceso a un repositorio de respaldo, no a un endpoint.
• T1567 — 874 GB no salen sin dejar rastro de volumen, aunque no dejen rastro de firma.
• T1199 — Terceros con privilegios elevados sobre sistemas core: vector creciente en banca.

// Exfiltracion masiva desde repositorios de datos: volumen, no firma
let ventana = 90d;
let umbral_gb = 5.0;
DeviceNetworkEvents
| where Timestamp > ago(ventana)
| where isnotempty(RemoteIP)
| summarize BytesSalida = sum(todouble(coalesce(column_ifexists("BytesSent", 0), 0)))
        by DeviceName, RemoteIP, RemoteUrl, bin(Timestamp, 1h)
| where BytesSalida > umbral_gb * 1024 * 1024 * 1024
| join kind=leftouter (
    DeviceInfo | distinct DeviceName, OSPlatform
  ) on DeviceName
| project Timestamp, DeviceName, OSPlatform, RemoteIP, RemoteUrl,
          GB = round(BytesSalida / 1024 / 1024 / 1024, 2)
| order by GB desc

index=db OR index=oracle OR index=mssql earliest=-90d
| eval consulta = lower(coalesce(sql_text, query, statement))
| eval lectura_masiva = if(match(consulta, "select\\s+\\*\\s+from") AND rows_returned > 100000, 1, 0)
| eval sin_where = if(match(consulta, "select") AND NOT match(consulta, "where"), 1, 0)
| eval hora = strftime(_time, "%H")
| eval fuera_horario = if(hora < 6 OR hora > 22, 1, 0)
| where lectura_masiva=1 OR (sin_where=1 AND fuera_horario=1)
| stats count AS consultas, sum(rows_returned) AS filas_totales,
        values(src_ip) AS origenes, min(_time) AS primera, max(_time) AS ultima
        by user, database
| convert ctime(primera) ctime(ultima)
| where filas_totales > 500000
| sort - filas_totales

MONITOREO DE EXPOSICION DE CREDENCIALES Y DATOS
Un dato robado en Lagos termina en un SMS en Santiago. El puente es el mercado
secundario, y se puede vigilar sin comprar nada.

QUE VIGILAR
  1. Dominios corporativos propios en volcados de credenciales.
     Fuente gratuita: Have I Been Pwned, API de dominio (requiere verificar propiedad).
  2. Menciones del nombre de la organizacion en portales de filtracion.
     Los grupos publican primero ahi, dias antes de cualquier confirmacion.
  3. Dominios recien registrados parecidos al propio.
     Fuente gratuita: registros de Certificate Transparency (crt.sh). Avisa el mismo
     dia en que se emite el certificado.
  4. Aumento subito de intentos de autenticacion fallidos contra el portal de clientes.
     Es la senal de que alguien esta probando un volcado ajeno contra tus usuarios.

QUE HACER CON CADA HALLAZGO
  · Credencial corporativa en un volcado  -> rotacion forzada y revision de sesiones.
  · Mencion en portal de filtracion       -> activar protocolo de respuesta ANTES de
                                             que el proveedor o la matriz confirmen.
  · Dominio parecido con certificado      -> solicitud de derribo y bloqueo preventivo.
  · Pico de fallos de autenticacion       -> el volcado no es tuyo, pero tus clientes
                                             reutilizan claves. Forzar MFA, no esperar.

CADENCIA
  Los tres primeros, semanal. El cuarto, alerta automatica en el SIEM.

Fuentes

• ANCI / CSIRT NacionalAlertas de campañas fraudulentas contra banca chilena, julio de 2026 · 2026-07-31
• MITRE ATT&CKT1530 — Data from Cloud Storage
• MITRE ATT&CKT1199 — Trusted Relationship
• BCNLey 21.719 sobre protección de datos personales
• BCNLey 21.663, Ley Marco de Ciberseguridad

Relacionado