Phishing en Chile: cómo reconocerlo y qué hacer si caíste

Un correo del SII diciendo que tienes una deuda pendiente. Un mensaje de texto de tu banco con un enlace para “verificar tu cuenta”. Un correo de tu “gerente” pidiendo que transfieras dinero con urgencia.

En Chile, estos mensajes llegan a cientos de miles de personas cada semana. Muchos los reconocen y los eliminan. Pero basta que uno llegue en el momento equivocado —cuando estás apurado, preocupado, o simplemente distraído— para que el engaño funcione.

El phishing no es un problema tecnológico: es un problema de manipulación psicológica que usa la tecnología como canal. Por eso la defensa más efectiva no es un software, sino saber exactamente cómo se ve un intento de phishing.

Las señales de un correo de phishing

1. La URL no coincide con el dominio oficial

Es la señal más confiable. Antes de hacer clic en cualquier enlace, pasa el cursor sobre él (sin hacer clic) y mira a dónde apunta realmente.

Ejemplos de dominios falsos usados en Chile:

Institución legítima	Dominio oficial	Ejemplos de dominios falsos
SII	sii.cl	sii-chile.cl, sii.com.cl, servicioimpuestos.cl
BancoEstado	bancoestado.cl	bancoestado-cl.com, banco-estado.cl
Correos Chile	correos.cl	correos-chile.com, seguimiento-correos.cl
Banco Santander	santander.cl	santander-cl.com, santanderbanco.cl

La regla de oro: un organismo del Estado chileno siempre usa dominios .gob.cl o .cl. Un banco siempre usa su dominio conocido. Cualquier variación es sospechosa.

2. Urgencia artificial o amenazas

Los atacantes saben que cuando estamos bajo presión, tomamos decisiones peores. Por eso construyen urgencia:

“Tu cuenta será bloqueada en 24 horas”
“Tienes una deuda tributaria que debe ser pagada hoy”
“Tu paquete será devuelto si no confirmas tu dirección”
“Acción requerida inmediatamente para evitar sanciones”

Ninguna institución legítima te presiona para actuar en horas. Si hay urgencia real, puedes verificarla llamando directamente a la institución.

3. El remitente no es lo que parece

Revisa siempre la dirección completa del remitente, no solo el nombre que aparece. Un correo puede mostrar “Servicio de Impuestos Internos” como nombre, pero la dirección real ser notificaciones@sii-alertas.ru.

Señales específicas:

Dominios de países extraños (.ru, .cn, .xyz, .top)
Dominios con errores tipográficos (santanderr.cl, bancoestados.cl)
Correos desde servicios de correo gratuito cuando deberían ser corporativos (sii_notificaciones@gmail.com)

4. Solicitan información que ya deberían tener

El SII ya tiene tu RUT. Tu banco ya tiene tu número de cuenta. Correos Chile no necesita que “confirmes tu dirección” para entregar un paquete que supuestamente ya está en camino.

Si un correo te pide ingresar información que el remitente legítimo ya debería tener, es una señal de alerta.

5. Errores de ortografía y formato inconsistente

Los correos de phishing, especialmente los masivos, suelen tener:

Errores ortográficos o gramaticales inusuales
Mezcla de idiomas en el mismo correo
Logos de baja resolución o ligeramente desproporcionados
Formato inconsistente (diferentes fuentes, espaciado raro)

Los ataques más sofisticados (spear phishing) suelen estar mejor redactados, así que este punto por sí solo no es suficiente.

Las técnicas actuales más usadas en Chile

Spear Phishing: ataques personalizados

A diferencia del phishing masivo, el spear phishing está dirigido a una persona específica. El atacante investiga previamente en LinkedIn, redes sociales o el sitio web de la empresa para personalizar el mensaje.

Un ejemplo: el encargado de contabilidad de una empresa recibe un correo que menciona el nombre de su gerente, el nombre de la empresa, y hace referencia a un proveedor real. El correo parece legítimo porque contiene información real. Pero es falso.

El spear phishing es mucho más efectivo que el phishing genérico y es el que más daño produce a empresas.

BEC (Business Email Compromise)

Ya lo cubrimos en nuestro artículo sobre los ataques más comunes, pero vale mencionarlo aquí: el BEC es un tipo de spear phishing donde el atacante se hace pasar por un ejecutivo de la propia empresa para solicitar transferencias o información confidencial.

Los pretextos más usados en Chile:

“Estoy en una reunión y necesito que hagas una transferencia urgente”
“Cambiamos los datos bancarios de [Proveedor X], actualiza por favor”
“Necesito que me envíes la lista de RUTs y sueldos del equipo”

SMS Phishing (Smishing)

El phishing por mensaje de texto ha explotado en Chile. Los pretextos más comunes:

Bancos: “Detectamos un cargo no reconocido en tu cuenta. Para cancelarlo ingresa aquí: [link]”

Correos Chile: “Tu paquete [código] está retenido en aduana. Paga CLP 2.990 aquí para liberarlo: [link]”

Casas comerciales: “Tienes puntos acumulados que vencen hoy. Canjéalos aquí: [link]”

Ganadores de premios falsos: “Felicitaciones, fuiste seleccionado. Reclama tu premio aquí: [link]”

Smishing bancario en Chile

El CSIRT de Gobierno ha emitido múltiples alertas sobre smishing que suplanta a bancos chilenos. Ningún banco envía enlaces para que ingreses tus claves por SMS. Si recibes un SMS así, no hagas clic y llama directamente a tu banco.

Los pretextos más usados en Chile

Conocer los pretextos frecuentes permite reconocerlos más rápidamente:

SII (Servicio de Impuestos Internos)

Devolución de impuestos pendiente de reclamar
Deuda tributaria que genera recargo si no se paga
Documentos tributarios electrónicos falsos (facturas, boletas)
Citación a fiscalización

Bancos

Bloqueo de tarjeta o cuenta por actividad sospechosa
Actualización de datos para cumplir con nueva normativa
Confirmación de transacción no reconocida

Correos Chile

Paquete retenido en aduana o con costo de entrega adicional
Dirección de entrega incorrecta que debe confirmarse

Servicios de streaming y suscripciones

Netflix, Spotify, Prime Video “requieren actualizar método de pago”
Suscripción que vence si no se confirma la tarjeta

Microsoft y servicios de tecnología

“Tu cuenta de Microsoft 365 será suspendida”
Soporte técnico que detectó un problema en tu computador

Qué hacer si hiciste clic o entregaste credenciales

Esta parte es crucial porque el instinto natural es esconder el error o esperar a ver qué pasa. Eso empeora las consecuencias. Si sospechas que caíste en un phishing:

Paso 1: No entres en pánico, actúa rápido

Los primeros 30-60 minutos después de entregar credenciales son críticos. Los atacantes actúan rápido.

Paso 2: Cambia la contraseña inmediatamente

Accede al servicio real (no desde el enlace del correo sospechoso, sino yendo directamente a la URL oficial) y cambia la contraseña de inmediato. Si usabas la misma contraseña en otros servicios, cámbiala en todos.

Paso 3: Activa o revisa el MFA

Si el servicio tiene autenticación de dos factores y no la tenías activada, actívala ahora. Si ya la tenías, revisa que no se hayan agregado dispositivos no autorizados.

Paso 4: Revisa las sesiones activas y los accesos recientes

La mayoría de los servicios (correo, banco, redes sociales) muestran desde dónde y cuándo se accedió. Revisa si hay accesos desde ubicaciones o dispositivos desconocidos. Si los hay, cierra todas las sesiones.

Paso 5: Notifica a quien corresponda

Si es la cuenta de correo corporativa: informa a tu departamento de TI o al responsable de seguridad inmediatamente
Si es una cuenta bancaria: llama al banco en el número oficial del reverso de tu tarjeta
Si entregaste datos de tarjeta de crédito: solicita el bloqueo de la tarjeta

Paso 6: Escanea tu dispositivo

Si hiciste clic en un enlace o descargaste un archivo adjunto, ejecuta un escaneo completo con tu antivirus. Si no tienes uno, es el momento de instalar uno.

Si entregaste datos bancarios

Llama a tu banco inmediatamente en el número oficial. No uses el número que aparece en el correo o mensaje sospechoso — puede ser parte del engaño. El número correcto está en el reverso de tu tarjeta o en el sitio web oficial del banco.

Cómo reportar un phishing en Chile

Reportar no solo protege a otros — en algunos casos puede ayudar a bajar el sitio fraudulento más rápido.

CSIRT de Gobierno: csirt@interior.gov.cl — para phishing que suplante organismos del Estado o que afecte a empresas chilenas

SII específicamente: El sitio del SII tiene un formulario para reportar correos falsos que usurpan su nombre en sii.cl

PDI (Policía de Investigaciones): Si sufriste una pérdida económica, debes hacer una denuncia. La Brigada del Cibercrimen atiende en cibercrimen.pdichile.cl

Tu banco: Repórtalo directamente a tu banco si suplanta a esa institución

Google Safe Browsing: Puedes reportar sitios fraudulentos en safebrowsing.google.com/safebrowsing/report_phish — esto puede hacer que Chrome y otros navegadores bloqueen el sitio rápidamente

Herramientas gratuitas para verificar links

Antes de hacer clic en un enlace sospechoso, puedes verificarlo con estas herramientas:

VirusTotal (virustotal.com): Pega la URL y más de 80 motores antivirus la analizan en segundos. También sirve para archivos adjuntos sospechosos.

Google Safe Browsing (transparencyreport.google.com/safe-browsing/search): Verifica si Google ya marcó un sitio como peligroso.

URLScan.io (urlscan.io): Abre el sitio en un entorno seguro y muestra capturas de pantalla sin que tú tengas que visitarlo.

HaveIBeenPwned (haveibeenpwned.com): No verifica links, pero te dice si tu correo aparece en filtraciones de datos conocidas.

La regla de los 3 segundos

Cuando llegue un correo o mensaje que te genera duda, aplica esta regla antes de hacer cualquier cosa:

¿Lo esperaba? ¿Estoy esperando un paquete, una notificación de impuestos, un aviso de mi banco en este momento?
¿Tiene urgencia artificial? ¿Me están presionando para actuar en horas o días?
¿Puedo verificarlo por otro canal? ¿Puedo llamar directamente, entrar al sitio oficial por mi cuenta, o preguntarle al supuesto remitente por teléfono?

Si la respuesta a la primera es no, y a la segunda es sí, detente y verifica antes de hacer cualquier clic. Esos 3 segundos pueden ahorrarte semanas de problemas.