Por Bayron Leyton, especialista en ciberseguridad de NIVEL4
Tu RUT ya está a la venta. También tu correo, tu teléfono y probablemente tu dirección. No hizo falta hackear ninguno de tus dispositivos: bastó con que tus datos estuvieran en cualquier base de datos filtrada en la última década para que circulen, empaquetados y a la venta, en algún foro de la dark web. Hasta ahora, para quien perdió esa información, el costo era cero. El 1 de diciembre eso deja de ser gratis.
Ese es el punto que casi nadie toma en cuenta: el dato robado no tiene fecha de vencimiento. Una contraseña se cambia, pero un RUT, una fecha de nacimiento o un domicilio son permanentes. Por eso los datos robados no desaparecen. Se acumulan en un mercado secundario donde las brechas antiguas se correlacionan, se enriquecen con nuevas fugas de información y se vuelven a ofrecer como mercancía fresca, semana tras semana.
El dato robado no tiene fecha de vencimiento. Una contraseña se cambia, pero un RUT, una fecha de nacimiento o un domicilio son permanentes.
Muchas de esas “filtraciones nuevas” que aparecen en los titulares no son ataques recientes, sino material viejo reordenado y mezclado con pequeñas filtraciones nuevas. La consecuencia es incómoda: que “mis datos ya se filtraron antes” no es ningún consuelo, porque se siguen vendiendo en la red.
Las cifras, año tras año, muestran el aumento del problema sin necesidad de señalar a nadie. El informe Cost of a Data Breach 2025 de IBM situó el costo promedio global de una brecha en 4,44 millones de dólares, y su edición 2026 lo elevó a un máximo histórico, con un alza de 12% en un solo año. En ese mismo estudio, la información personal de clientes fue el dato más robado, presente en el 53% de las brechas analizadas. Además, el vector dominante ya no es la fuerza bruta técnica: los atacantes simplemente inician sesión con credenciales obtenidas en filtraciones previas. El círculo se cierra solo, pues el dato que se filtró ayer es la llave de los ataques de mañana.
Ahí está el error de lectura más caro y menos entendido. Un perfil parcial (nombre, correo, teléfono, algún número de tarjeta) no necesita incluir una contraseña para hacer daño. Con eso ya basta para construir ingeniería social a medida, y cada nueva filtración la vuelve más precisa y convincente. El valor de una base de datos no está en un registro aislado, sino en la capacidad de cruzarlo con otros diez. Eso es exactamente lo que hace el mercado que opera en la dark web: no vende datos, vende un contexto completo y enriquecido.
El valor de una base de datos no está en un registro aislado, sino en la capacidad de cruzarlo con otros diez.
Con esas operaciones ejecutándose semana tras semana, llega el cambio normativo más profundo en la historia de la regulación de datos en Chile. La Ley 21.719, publicada en diciembre de 2024, entra en vigencia el 1 de diciembre de 2026 y modifica sustancialmente la Ley 19.628, de 1999, que llevaba más de dos décadas sin capacidad real de sanción para las empresas que perdían datos.
Los cambios son concretos. Se crea la Agencia de Protección de Datos Personales, con facultades de fiscalización y sanción; se fijan multas de hasta 20.000 UTM para infracciones gravísimas y, para los reincidentes, de hasta 4% de los ingresos anuales, cifras similares a las del GDPR europeo; y se obliga a reportar a la Agencia toda vulneración de las medidas de seguridad por los medios más expeditos posibles y sin dilaciones indebidas. Tener un protocolo de respuesta ante brechas, documentado y probado, deja de ser una buena práctica de ciberseguridad y pasa a ser la única forma de cumplir.
Conviene no confundirla con la otra pieza del tablero. La Ley Marco de Ciberseguridad, vigente desde 2025, regula el reporte de incidentes de quienes operan servicios esenciales. La Ley 21.719, en cambio, apunta a un bien distinto y transversal: los datos personales de cualquier persona, en cualquier organización que los trate. Juntas, ambas leyes cierran un vacío que estuvo abierto durante años en Chile.
Un punto a seguir de cerca es que se evalúa una eventual postergación de la entrada en vigencia por dificultades de implementación. Aun así, mientras no exista una modificación legal, el plazo sigue en pie, y el problema de las filtraciones de datos no espera calendarios.
La pregunta para cualquiera que trate datos personales en Chile ya no es si será fiscalizado, sino si tendrá algo que mostrar cuando lo sea.
La conclusión es simple y no deja espacio para el optimismo. Los datos están afuera, se están revendiendo ahora mismo y se enriquecen con cada nueva fuga. Lo único que cambia el 1 de diciembre es quién paga la cuenta. Hasta hoy, las consecuencias las pagaban las personas, sin costo alguno para las empresas que no se hacían responsables de estas filtraciones; desde entonces, la pagará la organización que no supo proteger esos datos.
La pregunta para cualquiera que trate datos personales en Chile ya no es si será fiscalizado, sino si tendrá algo que mostrar cuando lo sea. Y ese trabajo (inventario de datos, contratos, controles técnicos, protocolos de notificación) se mide en meses, no en semanas. El plazo ya comenzó a correr.
