Veintisiete campañas de fraude en un mes: quién puso la cara

En julio de 2026 la ANCI publicó veintisiete alertas de campaña fraudulenta contra marcas chilenas. No se reparten al azar: peajes, banca y paquetería concentran más de la mitad, y dos técnicas de alojamiento se repiten en casi todas.

Qué pasó

Durante julio de 2026 la ANCI publicó 27 alertas de campaña fraudulenta dirigidas a público chileno, todas TLP:CLEAR. Repartidas por marca suplantada:

• Peajes: TAG Total (4) y Pasaste sin TAG (1).
• Banca: Banco Santander (3) y BancoEstado (2).
• Paquetería: Chilexpress (2), CorreosChile, Blue Express y Starken.
• Microsoft (2), como puerta a credenciales corporativas.
• Estado y servicios: ChileAtiende, SII, Tesorería General de la República.
• Otras: Wom, Full Copec, La Tercera, Columbia, hosting, y una falsa factura universitaria.

Las cinco alertas de la última semana —ACF26-01127 a ACF26-01131— son las que traen los indicadores más completos, y por eso son las que se analizan en detalle más abajo.

Ninguna de estas alertas implica que las organizaciones suplantadas hayan sido vulneradas. Es suplantación de marca, no brecha de datos, y la distinción importa: lo comprometido es la confianza del usuario final y sus credenciales, no los sistemas internos de la institución. Aun así el daño es real, y lo paga tanto quien cae como la marca usada de señuelo.

Por qué importa acá

ChileAtiende es la puerta de entrada del ciudadano a los trámites del Estado. Quien entrega sus credenciales ahí no pierde el acceso a un servicio: entrega la llave de su identidad frente al sector público completo.

Para una organización chilena hay dos lecturas. La primera es de exposición propia: si tu marca puede ser suplantada, te vas a enterar por la ANCI o por un cliente enojado, salvo que estés monitoreando el registro de dominios parecidos al tuyo. La segunda es más incómoda: si tu sitio corre WordPress y no está al día, puedes terminar alojando el phishing de otro sin enterarte, exactamente como pasó en la alerta ACF26-01130.

Bajo la Ley 21.663, las instituciones financieras y los prestadores de servicios esenciales tienen deberes de reporte y coordinación con la Agencia. Y si el fraude deriva en robo efectivo de datos personales —RUT, claves, datos de tarjeta— entra además el ámbito de la Ley 21.719. Verifica el procedimiento y los plazos vigentes en el portal de la ANCI: no operes de memoria.

Anatomía del ataque

Mapeo a marcos públicos, para que puedas cruzarlo con tu propia matriz de cobertura.

• T1566.002 — Vector común a las cinco alertas: un enlace a un portal que clona la marca.
• T1583.001 — Seis dominios registrados con la misma fórmula sobre TLD de bajo costo.
• T1584.004 — La ruta wp-content en ACF26-01130 indica un WordPress ajeno usado como alojamiento.
• T1656 — Uso no autorizado de la identidad visual de instituciones públicas y empresas chilenas.
• T1204.001 — Toda la cadena depende de que la víctima haga clic y escriba sus datos.

https://chileatiende.gob-cl.cfd/home.html
https://chileatiende.gob-cl.icu/home.html
https://chileatiende.gob-cl.sbs/home.html
https://chileatiende.org-cop.lat/home.html
http://chileatiende.org-cop.xin/
http://chileatiende.org-cop.mom/home.html
columbiacl.com
https://my.auth-pageskeyt212.sbs/
https://bioredox.cl/wp-content/in/app/index.php
https://tr.ee/AXoUmC
cuenta@ucm-cl.space
cuenta@smi-ae.com
585f66b8ddc2369a7ac5cd2201a8b4010612aa44976d6f72786be5b445a13ba4
8e53693bc439a42ad3133041762bd7b54ae97fc88b7d4f9a590138d586d28d73
b7f143b8b3080349725e444f8dcbd9dd61a5bbcaf63d8d172e14e614cf2aeecf

title: Resolucion de dominios que imitan a instituciones chilenas
id: 5c1e77a4-9b2f-4d63-8e10-2a4f7c9d0e31
status: experimental
description: >
  Detecta consultas DNS y navegacion hacia dominios que imitan servicios del Estado
  de Chile usando el prefijo "gob-cl." u "org-cop." sobre TLD de bajo costo, patron
  observado en la alerta ACF26-01127 de la ANCI (julio 2026).
references:
  - https://www.anci.gob.cl/alertas/
author: Vantis Chile SpA
date: 2026/07/30
logsource:
  category: dns
detection:
  imitacion_estado:
    query|contains:
      - 'gob-cl.'
      - 'org-cop.'
  tld_de_bajo_costo:
    query|endswith:
      - '.cfd'
      - '.icu'
      - '.sbs'
      - '.lat'
      - '.xin'
      - '.mom'
  dominio_real:
    query|endswith:
      - '.gob.cl'
  condition: (imitacion_estado or tld_de_bajo_costo) and not dominio_real
falsepositives:
  - Algunos TLD nuevos tienen uso legitimo. Conviene alertar antes que bloquear hasta
    calibrar. El prefijo "gob-cl." en cambio casi no tiene uso legitimo posible.
level: high
tags:
  - attack.initial_access
  - attack.t1566.002

// Correos y navegacion hacia los dominios de la ola de julio de 2026
let dominios = dynamic(["gob-cl.cfd","gob-cl.icu","gob-cl.sbs","org-cop.lat","org-cop.xin",
                        "org-cop.mom","columbiacl.com","auth-pageskeyt212.sbs",
                        "ucm-cl.space","smi-ae.com"]);
union isfuzzy=true
 (EmailUrlInfo
    | where Timestamp > ago(90d)
    | where Url has_any (dominios)
    | project Timestamp, Origen="correo", Detalle=Url),
 (DeviceNetworkEvents
    | where Timestamp > ago(90d)
    | where RemoteUrl has_any (dominios)
    | project Timestamp, Origen="navegacion", Detalle=RemoteUrl)
| order by Timestamp desc

index=proxy OR index=dns earliest=-90d
| eval destino = lower(coalesce(query, url))
| eval imita_estado = if(match(destino, "(gob-cl|org-cop)\\."), 1, 0)
| eval sitio_cl_comprometido = if(match(destino, "bioredox\\.cl/wp-content/"), 1, 0)
| eval acortador = if(match(destino, "tr\\.ee/"), 1, 0)
| where imita_estado=1 OR sitio_cl_comprometido=1 OR acortador=1
| stats count AS eventos, values(destino) AS destinos,
        min(_time) AS primer_evento, max(_time) AS ultimo_evento by src_ip, user
| convert ctime(primer_evento) ctime(ultimo_evento)
| sort - eventos

Fuentes

• ANCI / CSIRT NacionalConsulta de las 27 campañas fraudulentas de julio de 2026 (API de la ANCI) · 2026-07-31
• ANCI / CSIRT NacionalAlertas ACF26-01127 a ACF26-01131, con indicadores detallados · 2026-07-30
• ANCIAPI pública de ciberseguridad
• MITRE ATT&CKT1566.002 — Spearphishing Link
• MITRE ATT&CKT1584.004 — Compromise Infrastructure: Server
• BCNLey 21.663, Ley Marco de Ciberseguridad

Relacionado