A través de una clave válida, simularon pagar apuestas que jamás se realizaron
El ataque fue a la empresa tecnológica que es intermediaria entre los apostadores y las casas de apuestas. En total fueron 225 reembolsos fraudulentos.
La empresa Cleo Chile SpA, una fintech dedicada a los pagos digitales, presentó una querella criminal por fraude informático tras detectar un ataque que habría permitido desviar más de $440 millones desde su plataforma hacia cuentas personales. El caso fue ingresado al 4° Juzgado de Garantía de Santiago y apunta contra seis personas identificadas, además de otros posibles involucrados.
Según la querella, el ataque ocurrió los días 5 y 6 de octubre de 2025 y afectó a las operaciones de los comercios Megawin y Rojabet, que usan la plataforma de Cleo para procesar pagos. En otras palabras, Cleo es una especie de intermediario entre los apostadores y estas casas de apuestas online. Los acusados habrían ingresado al sistema interno de la empresa, conocido como Back Office, usando un usuario y una contraseña válidos de alguien con autorización. Con esas credenciales, obtuvieron un token de sesión, una especie de clave temporal que permite validar la identidad de un usuario.
Con el token en su ,poder los atacantes saltaron los canales oficiales del sistema y accedieron a una dirección interna no visible para los usuarios comunes, desde la cual pudieron generar reembolsos falsos. Esa dirección, que según Cleo ya fue corregida, no tenía las verificaciones de seguridad que existen en las rutas normales del sistema, lo que permitió autorizar devoluciones sobre transacciones fallidas e incluso repetir varias veces el reembolso de una misma operación. Fue como pagar por apuestas que jamás se realizaron en realidad, decenas de veces.
En total, se realizaron 225 reembolsos fraudulentos por un monto de $440.940.000. De ellos, 131 correspondieron a transacciones del sitio de apuestas online Megawin, por $256 millones, y 94 al comercio Rojabet, por $184 millones.
Los fondos fueron depositados en cuentas bancarias del Banco Santander y Banco Falabella, a nombre de los que figuran como imputados.
La investigación interna de Cleo detectó además otros 73 intentos de reembolso por más de $120 millones que fueron bloqueados luego de desactivar el sistema como medida de seguridad. El documento detalla que el ataque se realizó desde dos direcciones IP específicas, lo que facilitará rastrear su origen.
La empresa solicitó al tribunal ordenar la retención de los fondos en las cuentas involucradas y pidió que el caso sea investigado por la Brigada del Cibercrimen de la Policía de Investigaciones (PDI). También solicitó que se cite a declarar a sus ejecutivos y a 15 personas vinculadas a las operaciones sospechosas.
Descuido
El académico Rafael Leonardo Ochoa, experto en sistemas del Departamento de Tecnologías de Gestión de la Universidad de Santiago, explicó que este tipo de hechos no responden a un ataque sofisticado, sino a un uso indebido de accesos reales.
«Los atacantes usaron un usuario y una contraseña válidos para entrar al sistema. Lo más probable es que fueran las credenciales de un funcionario o alguien con permisos internos», dijo el especialista.
Ochoa señaló que las claves pudieron ser obtenidas «voluntariamente, por error o mediante técnicas de ingeniería social, donde se recopila información pública para intentar adivinar contraseñas».
«Aquí no se vulneró la infraestructura tecnológica, sino que se aprovechó un acceso legítimo. El usuario tenía permisos para autorizar reembolsos, y eso fue lo que usaron para transferirse dinero», explicó.
El experto añadió que este caso muestra una debilidad común en muchas empresas tecnológicas: la gestión de contraseñas y la falta de políticas fuertes de autenticación.
«No es un hackeo en el sentido clásico, sino un problema humano. Cuando los tokens o contraseñas no son bien resguardados, se convierten en la puerta de entrada», sostuvo.
Cleo Chile calificó el episodio como una manipulación dolosa de su sistema que provocó un daño económico directo. La compañía entregó al tribunal un informe técnico forense interno, una planilla con el detalle de las transferencias y documentos que acreditan la representación legal del querellante. El abogado Juan Enrique Urrutia Rivas, patrocinante de la acción, explicó que el objetivo es asegurar la devolución de los fondos y establecer las responsabilidades penales de quienes participaron en el fraude.
El caso fue admitido a trámite y quedó bajo la investigación del Ministerio Público. Mientras tanto, Cleo implementó medidas adicionales para reforzar sus protocolos de seguridad y evitar que un episodio similar vuelva a repetirse.
«Estos casos demuestran que, más que los grandes hackers, muchas veces el problema está en los descuidos internos.
La educación digital y el manejo responsable de las contraseñas son claves», concluyó el académico Ochoa.
«Cuando los tokens o contraseñas no son bien resguardados, se convierten en la puerta de entrada», Rafael Ochoa, profesor de Informática de la Usach
