# El ataque fue un día; volver al sistema ya lleva 62 días > El parque fotovoltaico Huatacondo, de 103 MW, sigue fuera del sistema 62 días después del ciberataque del 27 de agosto, y su BESS de 98 MW / 312 MWh, que estaba en puesta en servicio, sigue sin reconexión. En octubre, tres empresas coordinadas actualizaron sus cortafuegos. - Publicado por: EnergySage, firma de inteligencia energética (Santiago, Chile) - Fecha: 2026-10-30 - URL: https://energysage.cl/analisis/ciberataque-camino-de-vuelta/ - English version: https://energysage.cl/en/analisis/ciberataque-camino-de-vuelta/ ## En breve - El 27 de agosto, los informes diarios del Coordinador registraron eventos con causa informada «ciberataque». Desde fines de junio no registraban otros con esa causa. - El parque fotovoltaico Huatacondo (103 MW), en Pozo Almonte, figura con 0 % de disponibilidad por ese ciberataque en todos los informes diarios desde entonces: 62 días al 28 de octubre. - Su BESS de 98 MW / 312 MWh estaba en período de puesta en servicio. El ataque lo desconectó y, al 28 de octubre, sigue en puesta en servicio, sin reconexión registrada. - Entre el 23 y el 27 de octubre, tres empresas coordinadas actualizaron cortafuegos en sus subestaciones. Desde fines de junio, los informes diarios no registraban ninguna actualización de este tipo. - La norma técnica de ciberseguridad de la CNE cerró su consulta el 2 de octubre y aún no tiene versión definitiva. Todo lo que sigue consta en los informes diarios oficiales del Centro de Despacho y Control del Coordinador Eléctrico Nacional, un registro público que cualquiera puede verificar. El 27 de agosto, esos informes registraron eventos cuya causa informada era un ciberataque. Desde fines de junio no registraban otros con esa causa. Lo que aparece después no es otro ataque. Es el mismo activo, cada mañana. El parque fotovoltaico Huatacondo, de 103 MW, en la comuna de Pozo Almonte, región de Tarapacá, figura indisponible por el ciberataque en todos los informes diarios del 27 de agosto al 28 de octubre, con 0 % de disponibilidad. Al 28 de octubre no hay vuelta al sistema registrada. Son 62 días. Junto a la planta está el BESS Huatacondo, un sistema de almacenamiento de 98 MW / 312 MWh. No estaba en operación: estaba en período de puesta en servicio, energizado para sus pruebas. El ataque también lo desconectó, y al 28 de octubre sigue en puesta en servicio, sin reconexión registrada. El 29 de octubre, Recargados publicó el caso con el título [«Un ciberataque apagó 312 MWh de baterías en Chile y llevan dos meses sin volver»](https://recargados.net/un-ciberataque-apago-312-mwh-de-baterias-en-chile-y-llevan-dos-meses-sin-volver/) y citó [nuestro análisis del 31 de agosto](/analisis/ciberseguridad-electrica-norma-consulta-publica/). La causa es la que la empresa informó al Coordinador. No hay una investigación pública sobre su origen ni su alcance, y este análisis no propone una. ## Un día para entrar, más de dos meses para volver El ataque quedó registrado a una hora de un día. El regreso se mide en semanas y todavía no tiene fecha. Volver no significa lo mismo para las dos unidades. Para el parque fotovoltaico, es reconectar una planta que operaba. Para el BESS, es retomar una puesta en servicio que quedó interrumpida. Como apunta Recargados, en esa etapa varios actores tienen acceso a los sistemas al mismo tiempo, y eso hace más largo verificar que nada fue alterado. Recargados explica qué exige ese regreso. Reenergizar un sistema de almacenamiento después de un incidente informático obliga a verificar que el firmware, las configuraciones de protección y la lógica de control no fueron alterados, y puede ser necesario repetir parte de las pruebas. Esa lectura calza con cómo se arma una instalación así. Un sistema de almacenamiento son varias capas que se hablan entre sí: las celdas y su gestión, el inversor, las protecciones, el control de planta y el enlace con el centro de control. Si una de esas capas pudo ser tocada, la pregunta ya no es si el equipo funciona, sino si hace lo que dice su configuración. Responderla exige un orden, y ese orden lo fija la capa de menor confianza. Esto último es nuestra lectura de cómo opera la verificación: los informes diarios no dicen qué se está revisando ni en qué etapa va. ## Tres cortafuegos en cinco días Entre el 23 y el 27 de octubre, los informes diarios registran tres actualizaciones de cortafuegos en subestaciones de tres empresas coordinadas distintas. Cada una pidió una intervención de curso forzoso y la cerró el mismo día o al siguiente. - **23 de octubre:** actualización de un equipo Fortinet por «posible vulnerabilidad por ciberataques». Duró 46 minutos. - **26 de octubre:** actualización de un equipo Fortinet por «vulnerabilidad crítica de seguridad». Duró 45 minutos. - **27 de octubre:** actualización del firmware de un cortafuegos corporativo, a raíz de una caída de comunicaciones. Duró 3 horas y 41 minutos. No identificamos a las empresas ni a sus subestaciones: publicar qué equipo protege cada instalación es información útil para un atacante. Los registros constan en los informes diarios del Coordinador de esas fechas. Ninguna informó un identificador de vulnerabilidad, así que desde el informe diario no se puede saber qué se corrigió. Desde fines de junio, los informes diarios no registraban ninguna actualización de este tipo. Que el informe no la registre no prueba que no haya ocurrido, porque no todo trabajo de este tipo exige una intervención de curso forzoso. Lo que sí muestra es que en octubre estos trabajos empezaron a verse en el registro oficial. Aparte, el 23 de octubre el Centro Canadiense de Ciberseguridad publicó el [aviso AV26-1081](https://cyber.gc.ca/en/alerts-advisories/fortinet-security-advisory-av26-1081): FortiOS y otros productos de Fortinet tenían vulnerabilidades al 21 de octubre, y recomendó actualizar. En FortiOS, las versiones corregidas son 8.0.2, 7.6.8, 7.4.13 y 7.2.14. Los informes diarios no dicen si las actualizaciones registradas en Chile responden a ese aviso. ## La norma, todavía en camino La norma técnica de ciberseguridad de la CNE salió a consulta pública el 28 de agosto, un día después de los eventos, y la consulta se amplió hasta el 2 de octubre. A la fecha de este análisis no tiene versión definitiva. Según Recargados, la primera medición de madurez está prevista para 2028. Hasta entonces, lo que decide cuánto tarda un activo en volver no es una exigencia común, sino lo que cada empresa tenga preparado: sus prácticas, sus contratos con proveedores y lo que ya haya ensayado. ## Dos preguntas para cada empresa La primera es cuánto le cuesta cada mes con un activo fuera. Una planta deja de vender su energía; un sistema de almacenamiento deja de cargar en las horas de bajo costo e inyectar en las de alto costo; y uno en puesta en servicio posterga la fecha en que empieza a generar ingresos. La cifra depende de cada contrato y no se deduce de los informes diarios. La segunda es quién, dentro de la organización o entre sus proveedores, conoce el camino de vuelta: qué se revisa primero, qué evidencia se le presenta al Coordinador, qué pruebas se repiten y quién autoriza. **Seguir leyendo** - [Ciberseguridad eléctrica: la norma llega a consulta mientras el sector ya reporta ataques](/analisis/ciberseguridad-electrica-norma-consulta-publica/) (31 de agosto de 2026) - [Ciberseguridad en activos energéticos: más allá de lo regulatorio](/analisis/ciberseguridad-activos-energeticos-regulatorio/) - [Energía con resiliencia: diseñar hoy el Chile eléctrico del mañana](/analisis/energia-con-resiliencia-chile-electrico/) *Fuentes: informes diarios oficiales del Centro de Despacho y Control del Coordinador Eléctrico Nacional, en particular los del 27 de agosto y del 23, 26, 27 y 28 de octubre de 2026; Recargados, «Un ciberataque apagó 312 MWh de baterías en Chile y llevan dos meses sin volver», 29 de octubre de 2026; Centro Canadiense de Ciberseguridad, aviso AV26-1081, 23 de octubre de 2026; Comisión Nacional de Energía, proyecto de Norma Técnica de Ciberseguridad y Seguridad de la Información, consulta pública del 28 de agosto al 2 de octubre de 2026.*