El primer trimestre de 2025 registró un alza de 434% en el delito de uso malicioso de tarjeta, clave o dispositivo financiero respecto al mismo período de 2024. El 80% del incremento total de delitos ingresados al Ministerio Público se concentró en una sola categoría fraudes financieros y estafas. No hay armas, no hay violencia, no hay testigos, solo una pantalla, una contraseña robada y una transferencia que nadie autorizó.


Detrás de cada cifra hay una familia que vio desaparecer sus ahorros tras un enlace malicioso, una empresa cuya cuenta corriente fue vaciada de madrugada, una persona que entregó sus claves a un “ejecutivo de seguridad” que nunca existió.


El phishing, el vishing y el pharming dejaron de ser tecnicismos de informáticos son hoy los métodos de asalto más eficaces del siglo XXI, y durante años, Chile los enfrentó con un Código Penal que exigía engañar a una persona para configurar estafa —la estructura clásica de autolesión mediada por el engaño—, pero en el fraude informático no hay víctima que “decida” nada, hay un sistema manipulado que ejecuta una operación que nadie consintió. La víctima ni siquiera sabe que está siendo atacada mientras ocurre el ataque. Como documentan Bascur Retamal y Letonja Cepeda en Delitos Informáticos (DER Ediciones, 2025), el descarte mayoritario de la doctrina respecto a encajar estos hechos en la estafa clásica se debe a que “el método ejecutivo no consiste en engañar a otro mediante inducción para que disponga por error de su patrimonio, sino más bien en ejecutar una transferencia u operación patrimonial electrónica no consentida”.


La Ley N°21.459 y la Ley N°21.595 de Delitos Económicos cerraron esa brecha tipificando el fraude informático y el uso no autorizado de credenciales. En paralelo, la Ley N°20.009 —reformada en 2024 por la Ley N°21.673— obliga a los bancos a restituir fondos salvo que prueben dolo o culpa grave del usuario, invirtiendo la carga de la prueba. La Corte Suprema ha sido consistente el banco no puede decidir unilateralmente que un fraude no califica para restitución si alega culpa grave, debe probarlo ante el juez.


La arquitectura legal, en teoría, está completa. En la práctica, un atacante que vacía 15 cuentas en una noche puede terminar con remisión condicional. Mientras las sanciones no sean disuasivas, la norma cumplirá una función más simbólica que preventiva.


Y el desafío mayor está por venir. La inteligencia artificial está industrializando el fraude modelos de lenguaje que generan correos de phishing indistinguibles de comunicaciones bancarias reales —personalizados con el nombre del destinatario y referencias a sus últimas transacciones—, sistemas de clonación de voz que replican a un gerente conocido para autorizar transferencias por teléfono, deepfakes de video en llamadas corporativas para suplantar identidades en operaciones de alto valor.


Frente a eso, la Ley N°21.663 de Ciberseguridad y la Ley N°21.719 de Protección de Datos configuran un nuevo estándar de diligencia exigible.


Chile construyó en tiempo récord una arquitectura legal moderna, el desafío ahora es que se habite de verdad con equipos capacitados, protocolos funcionando y la convicción de que esto ya no es un problema del área de tecnología, sino de gobierno corporativo y responsabilidad legal.


La prevención ha dejado de ser una inversión opcional, es la primera línea de defensa jurídica. El fraude invisible ya llegó, la pregunta es si estamos listos para verlo.


Luca Martino Acevedo es asociado en el área de Derecho y Tecnologías y Litigios de Colombara Estrategia Legal