El silencio que nadie nos explicó y siguen sin explicarnos

Partamos por una prevención necesaria. Lo que sabemos proviene de la prensa, en particular, de El Mercurio, a partir de una denuncia de la PDI ante la Fiscalía Centro Norte.

La denuncia fue calificada como secreta, la investigación sigue en curso y los hechos informados podrían ser precisados, matizados o incluso desmentidos.

Esta columna no pretende dar por acreditado lo ocurrido. La reflexión es otra: ¿Qué significaría si la información publicada es correcta?

Hecha esa salvedad, cuesta pasar por alto lo esencial. Durante meses, desde 2024, al menos en algunos casos, habría existido un acceso no autorizado a redes de telecomunicaciones de Entel, Movistar y Telmex. El malware detectado habría sido capaz de extraer información y transferirla a infraestructura ubicada fuera del país.

Y los usuarios nos habríamos enterado por el diario, no por las empresas a las que confiamos nuestras comunicaciones. Ese silencio merece una explicación.

Cuando pagamos una cuenta de celular no compramos solamente minutos y datos móviles. También entregamos nuestra ubicación, comunicaciones y contactos. Incluso confiamos a esas redes las claves temporales para entrar a bancos, correos y otros servicios.

Si esa confianza fue vulnerada durante meses sin que lo supiéramos, el problema deja de ser exclusivamente técnico o geopolítico. Ya no se trata solo de “Lilac Typhoon”, del llamado cable chino o de las acusaciones cruzadas entre potencias. Se trata también de un problema de consumidores.

La Ley del Consumidor exige información veraz y oportuna sobre aquello que resulta relevante para quienes contratan un servicio. Cuesta imaginar algo más relevante que saber si nuestros datos circularon por servidores controlados desde el extranjero.

Por eso, la pregunta no puede limitarse a quién realizó el ataque. También necesitamos saber cuándo se enteraron las empresas y por qué sus clientes nos enteramos después que la prensa.

Hay otra pregunta importante: ¿El incidente fue reportado a tiempo?

Desde marzo de 2025 Chile cuenta con una Ley Marco de Ciberseguridad, la Ley 21.663. Como las telecomunicaciones son un servicio esencial, sus operadores deben informar los incidentes significativos a la Agencia Nacional de Ciberseguridad dentro de plazos que se cuentan en horas, no en meses.

Que el Estado conociera estos antecedentes por canales policiales, diplomáticos o de inteligencia no significa que el regulador técnico fuera informado a tiempo. Son cosas distintas. Si la actividad maliciosa comenzó en 2024, necesitamos saber cuándo fue detectada, reportada y a qué autoridades se informó.

Si no se cumplió oportunamente con esas obligaciones, ya no estaríamos hablando únicamente de una filtración. También podría existir un incumplimiento normativo, con sanciones que pueden alcanzar las 40.000 UTM.

A esto se suma una paradoja. Hoy seguimos dependiendo de una ley de protección de datos personales dictada en 1999, sin una autoridad especializada con facultades de fiscalización y sin una obligación clara de avisar a las personas afectadas por una brecha de seguridad.

La nueva Ley 21.719 cambiará ese escenario, pero recién entrará en vigencia en diciembre de 2026. A partir de entonces, incidentes de esta naturaleza deberán informarse tanto a la autoridad como, en determinadas circunstancias, a los titulares de los datos. Resulta extraño que el nivel de protección de millones de personas dependa, literalmente, de una fecha en el calendario.

El secreto de la investigación tampoco resuelve el problema. Es legítimo que una causa penal se mantenga reservada mientras se recopilan antecedentes, especialmente por razones de seguridad nacional. Pero no debemos confundir el secreto de la carpeta investigativa con el deber de informar a quienes pudieron resultar afectados.

Una cosa es mantener en reserva quién atacó, qué herramientas utilizó o qué objetivos perseguía. Otra es informar a un cliente que sus datos pudieron verse comprometidos y qué medidas debería adoptar para protegerse. La primera puede exigir silencio. La segunda, en principio, exige información.

Nada de esto permite anticipar responsabilidades. Es posible que las empresas hayan actuado diligentemente y que la falta de comunicación pública obedezca a razones legítimas. Pero, si la reconstrucción periodística es correcta, el caso deja una lección: la ciberseguridad de un país no se mide solo por su capacidad de detectar amenazas extranjeras. También se mide por la información oportuna que reciben quienes terminan soportando el riesgo.

Al final, la pregunta no es cuánto sabía Washington ni cuánto sabía La Moneda. Es cuánto sabían las empresas y cuánto sabíamos, seguimos sabiendo o tenemos derecho a saber, quienes les confiamos nuestros datos.