Rutify y la ciberseguridad chilena que no mira a las personas

A fines de abril y comienzos de mayo de 2026, las redes sociales[1] y medios de comunicación[2] describían la exposición de datos personales y sensibles de personas con RUN chileno a través del sitio web “rutify.live”, incluyendo nombres, el mismo RUN, domicilios, teléfonos, correos electrónicos y antecedentes médicos asociados a prestaciones, diagnósticos o sospechas diagnósticas, especialmente vinculadas al sistema de Garantías Explícitas en Salud (GES)[3].

Según los antecedentes conocidos públicamente, la información habría estado disponible entre el 30 de abril y el 1 o 2 de mayo de 2026, en el contexto de una plataforma que se presentaba como “rutificador”[4].

La reacción pública de la Agencia Nacional de Ciberseguridad (ANCI) se concretó en comunicaciones generales[5], que no aludían a Rutify, y una alerta técnica[6] sobre uso de credenciales filtradas para exfiltración de datos.

Hasta la fecha, no hay certeza pública sobre la existencia de otras plataformas, bases de datos, canales cerrados o repositorios que contengan la misma información personal o sensible. Por ello, tampoco es posible afirmar con seguridad que los datos expuestos hayan desaparecido del ecosistema digital. Una vez que la información ha sido publicada, copiada o descargada, puede circular por espacios difíciles de rastrear, ser reutilizada en nuevas plataformas o combinarse con otras bases de datos. En ese escenario, el daño producido por la exposición puede llegar a ser irreparable o irreversible.

Esta última observación, nos obliga a mirar el caso Rutify y la ciberseguridad chilena desde preguntas incómodas. ¿Qué ocurre cuando el incidente ya no afecta solamente a una red, a un sistema informático o a una institución, sino también a la vida concreta de las personas cuyos datos quedan expuestos?. Si asumimos, además, que el daño derivado de un incidente de ciberseguridad puede llegar a ser irreparable o irreversible, cabe preguntarse si la organización institucional del Estado de Chile está realmente en condiciones de frenar ese daño respecto de las personas, informarlas oportunamente, orientar su protección y activar responsabilidades, o si se limita a gestionar la resiliencia de las redes y la continuidad del servicio.

Durante los últimos años Chile ha avanzado en la construcción de una institucionalidad de ciberseguridad, siendo el último hito la entrada en vigencia de la Ley Marco de Ciberseguridad y la operatividad de la Agencia Nacional de Ciberseguridad (ANCI). El nuevo marco regulatorio de ciberseguridad fijó obligaciones para servicios esenciales y operadores de importancia vital[7], reguló deberes de reporte[8], definió funciones del CSIRT Nacional[9] y consagró principios como el control de daños, la coordinación y la respuesta[10], entre otros aspectos. Desde esa perspectiva, ya tenemos un marco jurídico-técnico específico para la ciberseguridad.

El problema parece ser otro. La pregunta relevante es si esa institucionalidad está diseñada para hacerse cargo de la totalidad de los efectos dañinos que puede producir un incidente de ciberseguridad. El caso Rutify sugiere que no.

Frente a un incidente de ciberseguridad, en este caso la exposición de datos médicos sensibles, la expectativa ciudadana no se agota en que la autoridad determine si una red sigue comprometida, si una credencial fue utilizada indebidamente o si el servicio esencial continúa operando. También espera saber si sus datos fueron expuestos, qué riesgos enfrenta, qué medidas debe adoptar, quién debe responder y qué hará el Estado para evitar que esa información siga siendo utilizada en su contra, sobre todo cuando es el propio Estado quien define los estándares mínimos de ciberseguridad, identifica los servicios esenciales y califica a los operadores de importancia vital que deben cumplir obligaciones reforzadas para prevenir, contener y mitigar ese tipo de daño.

Cabe destacar que la exposición no consensuada (o doxeo) deja de ser un problema meramente técnico. No se reduce al uso indebido de credenciales, a la exfiltración de información o a una vulnerabilidad que debe ser contenida. Cuando se divulgan antecedentes asociados a datos sensibles, el daño se desplaza desde la infraestructura hacia las personas. La afectación ahora consiste también en que alguien perdió el control sobre información íntima de su vida.

Este último punto parece insuficientemente recogido por la respuesta institucional. Una alerta técnica es necesaria. Sin embargo, si esa alerta se formula de manera genérica, sin una vinculación inteligible con el incidente que preocupa a la ciudadanía, su utilidad pública se reduce. Sirve para los equipos técnicos, aunque no necesariamente para quienes necesitan saber si sus datos fueron expuestos, qué riesgos enfrentan y qué medidas concretas deben adoptar.

Aquí aparece una tensión de fondo en el sistema chileno de ciberseguridad. La Ley Marco mira correctamente la prevención, contención, resolución y respuesta ante incidente[11]. También incorpora nociones relevantes como impacto, mitigación, continuidad operacional, resiliencia y restablecimiento de servicios[12]. Sin embargo, su centro de gravedad parece estar en la protección del ecosistema digital, de las redes, de los sistemas, de la continuidad de servicios esenciales y de la coordinación institucional. Las personas aparecen protegidas de manera indirecta, como destinatarias finales de un sistema y no necesariamente como sujetos centrales de tutela cuando el daño ya se produjo.

Esto no significa que los daños queden jurídicamente sin respuesta. Podrían intervenir otros regímenes, como la protección de datos personales, la responsabilidad civil, la persecución penal, la normativa financiera, el derecho del consumidor o las competencias sectoriales que correspondan. El problema es que esa respuesta queda fragmentada. Para la persona afectada, la ruta institucional no es clara. Debe averiguar si fue impactada, identificar a quién reclamar, probar el daño, enfrentar la opacidad propia de la investigación y navegar entre instituciones que no siempre operan con una lógica común de protección ciudadana.

A ello se suma una zona adicional de incertidumbre institucional. Según lo informado públicamente, la ANCI habría señalado que la identificación de eventuales responsables no forma parte de sus atribuciones legales, pues la investigación penal y la determinación de autorías corresponden a la PDI y al Ministerio Público, organismos con los que mantendría coordinación permanente en este tipo de incidentes. Esa precisión es jurídicamente relevante, porque delimita correctamente las competencias de la Agencia. Sin embargo, no equivale necesariamente a una confirmación pública de que exista una investigación penal formal sobre el caso, ni permite conocer su alcance, la autoridad a cargo o las diligencias eventualmente ordenadas. Además, aun cuando esa investigación exista, la PDI y el Ministerio Público no están llamados a asumir la defensa individual de cada persona afectada, sino a investigar hechos eventualmente constitutivos de delito y perseguir la responsabilidad penal en resguardo del interés público[13]. Para la ciudadanía afectada, la consecuencia práctica es una nueva fragmentación en la que la Agencia contiene y coordina, mientras otros órganos investigan, sin que exista siempre una instancia clara encargada de informar, orientar y proteger a quienes sufrieron la exposición de sus datos.

Esa carga resulta especialmente problemática por la asimetría de información y de poder existente entre la ciudadanía y quienes administran, procesan, investigan o explotan los datos comprometidos. La persona afectada normalmente no sabe qué información fue expuesta, quién la tenía, quién accedió a ella, cuántas veces fue copiada, en qué otros repositorios circula ni qué riesgos concretos enfrentará en el futuro.

Esa asimetría se profundiza cuando, además, la información sobre el incidente queda sometida a reserva o secreto por razones de ciberseguridad[14]. La reserva puede ser necesaria para no agravar el riesgo, proteger investigaciones o evitar la difusión de vulnerabilidades, aunque también puede impedir que la ciudadanía conozca oportunamente el alcance del daño sufrido. En esas condiciones, exigirle que active por sí sola los mecanismos de protección equivale a trasladarle una carga que difícilmente está en condiciones reales de asumir.

La amplitud de la reserva que cubre las actuaciones de la ANCI también dificulta verificar su accountability. Si los antecedentes relevantes del incidente permanecen secretos o bajo circulación restringida, la ciudadanía no puede saber con claridad si la Agencia actuó oportunamente, si adoptó decisiones técnicamente adecuadas, si coordinó eficazmente a los organismos involucrados o si cuenta con capacidad real para contener y resolver incidentes que ocurren fuera del horario administrativo ordinario, como sucedió en el caso Rutify que se desplegó durante un “fin de semana largo”.

Si bien es evidente que no todo puede ser público en materia de ciberseguridad, porque divulgar vulnerabilidades, vectores de ataque, matrices de riesgo o planes de mitigación podría aumentar el peligro, lo cierto es que la reserva no debiera impedir una rendición de cuentas mínima sobre la actuación institucional. La ciudadanía no necesita conocer datos técnicos sensibles, aunque sí tiene derecho a saber si la autoridad actuó oportunamente, si coordinó a los organismos involucrados, si exigió informar a los afectados, si hubo seguimiento posterior y si existen medidas para reducir los riesgos de fraude, suplantación o discriminación derivados de la exposición de datos. La reserva puede proteger la seguridad del sistema, pero no debiera vaciar de contenido el derecho de las personas a comprender el daño que las afecta.

El seguimiento posterior del incidente no es una exigencia externa a la ciberseguridad, sino una parte esencial de ella[15]. La contención técnica puede detener la propagación del evento, pero no necesariamente agota sus efectos. Cuando la información ya fue expuesta, la gestión del incidente exige evaluar el daño, monitorear riesgos posteriores, orientar a las personas afectadas y verificar si las medidas adoptadas redujeron efectivamente la posibilidad de nuevos abusos. Esa mirada coincide con la historia de la Ley N°21.663, que buscó ampliar el concepto de ciberseguridad para no reducirlo a activos informáticos y servicios[16]. Esa decisión se reflejó en el artículo 2 N°6, que define la ciberseguridad como la preservación de la confidencialidad e integridad de la información, y de la disponibilidad y resiliencia de las redes y sistemas informáticos, con el objetivo de proteger a las personas, la sociedad, las organizaciones o las naciones frente a incidentes de ciberseguridad. También se expresa en el principio de seguridad en el ciberespacio, conforme al cual el Estado debe velar por que todas las personas puedan participar de un ciberespacio seguro, otorgando especial protección a las redes y sistemas que contengan información de grupos particularmente expuestos.

Esa amplitud conceptual, sin embargo, no parece reflejarse con la misma intensidad en la orgánica de la Agencia Nacional de Ciberseguridad. La estructura interna de la ANCI[17] identifica funciones vinculadas a respuesta a incidentes, investigación de amenazas, conectividad segura, fiscalización, asesoría jurídica y vinculación institucional. Todas son necesarias para la gestión de la ciberseguridad. Sin embargo, no se advierte con igual nitidez una función destinada a abordar los efectos ex post del incidente sobre las personas afectadas, tales como la evaluación del daño, el seguimiento de riesgos posteriores, la orientación ciudadana, la comunicación a las personas afectadas y la verificación de medidas que reduzcan la posibilidad de nuevos abusos derivados de la información expuesta.

El debate constitucional reciente parece confirmar la misma orientación. El proyecto de reforma constitucional[18] que busca consagrar el deber estatal de resguardar la soberanía digital pone el acento en infraestructuras críticas, datos estratégicos, seguridad nacional, continuidad institucional y servicios esenciales. Aunque invoca el respeto de los derechos fundamentales, lo hace principalmente como límite al ejercicio de potestades públicas, no como un mandato específico de tutela frente a personas afectadas por filtraciones, fraudes, suplantaciones o exposición de datos sensibles. En ese sentido, la propuesta no resuelve la brecha ciudadana que casos como Rutify hicieron visible, más bien la profundiza.

Por otro lado, y a nivel de diseño normativo, el caso Rutify también revela otra brecha. La calificación de operadores de importancia vital parece construida principalmente desde la lógica de continuidad de servicios esenciales[19]. Esa mirada es comprensible. Un hospital, una clínica, un banco, una empresa eléctrica o una infraestructura digital pueden ser críticos porque su interrupción afecta gravemente a la sociedad. Sin embargo, los incidentes de ciberseguridad no siempre dañan por interrupción. A veces dañan por exposición. Un sistema puede seguir funcionando y, al mismo tiempo, haber permitido la filtración de datos médicos sensibles de miles de personas.

Esa diferencia es crucial. Si la institucionalidad evalúa la criticidad principalmente desde la continuidad operacional, puede subestimar la criticidad de quienes administran, concentran, interoperan o consultan información sensible de la población. En el ámbito sanitario, no solo importa quién presta atención clínica de alta complejidad. También importa quién custodia bases de datos de salud, quién administra plataformas transversales, quién consulta sistemas GES, quién provee servicios tecnológicos y quién tiene accesos capaces de comprometer la privacidad de los pacientes.

Tal como se esbozó en la tramitación de la Ley Marco de Ciberseguridad, la ciberseguridad debe proteger confianza[20]; y la confianza digital no se reconstruye solamente cerrando una brecha técnica[21]. Se reconstruye informando adecuadamente, asumiendo responsabilidad institucional, acompañando a los afectados, aprendiendo del incidente y estableciendo mecanismos verificables de mejora.

Lo lamentable del caso Rutify es que incluso la próxima institucionalidad de protección de datos personales podría enfrentar serias dificultades prácticas frente a plataformas alojadas en el extranjero, administradas por responsables anónimos o sin domicilio, representante efectivo ni patrimonio conocido en Chile. Aunque la reforma amplía el ámbito de aplicación territorial de la ley y permite someter a ciertos responsables extranjeros a sus disposiciones, esa competencia normativa no asegura por sí sola una capacidad real de control. En ese sentido, si el responsable no puede ser identificado, notificado o vinculado a bienes dentro del territorio nacional, el Estado chileno puede declarar infracciones, ordenar medidas o imponer sanciones, pero tendrá severas limitaciones para ejercer coerción directa, embargar bienes o cobrar materialmente una multa.

En esos casos, la protección de las personas afectadas dependerá, más bien, de su capacidad de gobernanza, en el sentido de coordinar, persuadir, escalar, cooperar internacionalmente y movilizar a otros actores capaces de producir efectos prácticos, como intermediarios tecnológicos, autoridades extranjeras, policías o el Ministerio Público.

Por todo lo anterior, el caso Rutify debiera ser leído como una advertencia. Chile dio un paso importante al crear una institucionalidad nacional de ciberseguridad. Ahora debe dar el siguiente, dirigido a construir una ciberseguridad que no mire solo al sistema vulnerado, sino también a las personas. (Santiago 31 de mayo de 2026)

[1] Alertas de Ciberseguridad emanadas desde la cuenta Twitter de la empresa VERCERT de 25 de abril de 2026 (https://x.com/VECERTRadar/status/2048235528516944027?s=20) y de 30 de abril del mismo año (https://x.com/VECERTRadar/status/2050013074686648353?s=20)

[2] Felipe Díaz Montero, “Desentrañando ‘Rutify’: la plataforma hacker que expuso datos médicos y hoy es investigada por la PDI”, BioBioChile – La Red de Prensa Más Grande de Chile, 7 de mayo de 2026, https://www.biobiochile.cl/especial/bbcl-investiga/noticias/articulos/2026/05/07/desentranando-rutify-la-plataforma-hacker-que-expuso-datos-medicos-y-hoy-es-investigada-por-la-pdi.shtml.

[3] Canal 9 BiobioTV, BBCL Investiga: Desentrañando “Rutify” la plataforma hacker que expuso datos médicos, 2026, 11:37, https://www.youtube.com/watch?v=ZXLYLDR1jWk.

[4] Montero, “Desentrañando ‘Rutify’”.

[5] “Actualización ANCI: filtraciones por robo de credenciales – Agencia Nacional de Ciberseguridad”, accedido 29 de mayo de 2026, http://anci.gob.cl/noticias/actualizacion-anci-filtraciones-por-robo-de-credenciales/.

[6] “Uso de credenciales filtradas para exfiltración de datos – Investigación de Amenazas – CSIRT Nacional”, accedido 29 de mayo de 2026, http://csirt.gob.cl/alertas/aia26-00242/.

[7] Título II, párrafo 1, de la Ley 21.663.

[8] Título II, párrafo 2, de la Ley 21.663.

[9] Título III, párrafo 5, de la Ley 21.663.

[10] Art. 3, de la Ley 21.663.

[11] Art. 1 de la Ley 21.663.

[12] A modo de ejemplo, puede verse el Título II, párrafo 2, de la Ley 21.663.

[13] Véase el Decreto Ley 2460 (Ley Orgánica de la Policía de Investigaciones de Chile) y Ley 19.640 (Ley Orgánica Constitucional del Ministerio Público)

[14] Título VI de la Ley 21.663.

[15] Véase el Marco de Ciberseguridad del NIST (SP 800-61); también la certificación CompTIA Security+.

[16] Discusión en Sala de 26 de abril de 2023, intervención del Sr. Insulza, En BCN, Historia de la Ley 21.663, accedido 29 de mayo de 2026, https://www.bcn.cl/historiadelaley/nc/historia-de-la-ley/8286/

[17] Decreto 483 de 2025, de MININTERIOR (Reglamento que determina la estructura interna de la Agencia Nacional de Ciberseguridad).

[18] Honorable Cámara de Diputadas y Diputados, “Modifica la Carta Fundamental, con el objeto de consagrar el deber del Estado de resguardar la soberanía digital”, accedido 29 de mayo de 2026, https://www.camara.cl/legislacion/proyectosdeley/tramitacion.aspx?prmID=18938&prmBOLETIN=18274-07.

[19] Véase Art. 5 de la Ley 21.663.

[20] Mensaje Presidencial de 2 de marzo de 2022, En BCN, Historia de la Ley 21.663, accedido 29 de mayo de 2026, https://www.bcn.cl/historiadelaley/nc/historia-de-la-ley/8286/

[21] “Cybersecurity as Trust Infrastructure | LinkedIn”, accedido 29 de mayo de 2026, https://www.linkedin.com/pulse/cybersecurity-trust-infrastructure-kim-elman-p7rqf/.