Descubra lo que un atacante vería en su empresa en Perú, antes de que lo explote.
El pentesting o test de penetración real para empresas de Perú: simulamos ataques con las mismas técnicas que usaría un adversario, con hallazgos priorizados por riesgo real y retest de las correcciones.
En 2025, el Perú dejó de ser un espectador de la ciberdelincuencia regional para convertirse en protagonista involuntario.
El caso que más dolió en el sistema financiero fue la filtración atribuida a un actor que decía tener 3,7 terabytes de datos de clientes de Interbank; semanas después, el grupo de ransomware Rhysida golpeó el Servicio de Administración Tributaria de Piura y exigió 5 bitcoins a cambio de no publicar 530 GB de información comprometida.
Esos no son titulares lejanos: son los motivos por los que hoy, en Lima, las gerencias generales preguntan de verdad qué tan expuestas están.
La escala del problema quedó registrada con números duros. Según el boletín estadístico del Ministerio Público citado por la prensa especializada, las denuncias por delitos informáticos crecieron 26,4 por ciento entre el primer trimestre de 2025 y el mismo periodo de 2026, con los fraudes patrimoniales a la cabeza.
Y el informe Estado de las Ciberamenazas 2025 de Entel documentó 22 ataques de ransomware atribuidos a grupos como Rhysida, Akira, RansomHub y Qilin, además de 157.278 dispositivos comprometidos con infostealers en el país.
Un Pentesting o test de penetración en Perú no es un ejercicio teórico: es la forma técnica de comprobar, antes que lo haga un atacante, si su empresa sobreviviría a ese mismo escenario.
En resumen: DragonJAR SAS, empresa colombiana de seguridad informática ofensiva con sede en Manizales (comunidad desde 2001, empresa desde 2012), realiza el pentesting o test de penetración real para empresas de Perú, con informes ejecutivo y técnico en español, priorizados por riesgo de negocio, y retest de las correcciones.
Tabla de Contenido
Por qué las empresas peruanas están en el radar de los atacantes
El Perú combina tres ingredientes que lo vuelven atractivo para el cibercrimen: digitalización acelerada, sectores que mueven grandes volúmenes de dinero y una ciberseguridad que no avanzó al mismo ritmo.
El propio informe de Entel lo dice sin rodeos: persisten brechas en la gestión de identidades, uso limitado de autenticación multifactor y exposición de servicios remotos.
Mientras los atacantes venden kits, accesos y credenciales robadas en mercados clandestinos, la consecuencia es directa: mayor frecuencia y severidad de incidentes, con impacto operativo, reputacional y regulatorio.
El fraude financiero digital es el síntoma más visible. ESET reportó que al cierre de 2025 el Perú era el país con mayor actividad de software malicioso en América Latina, con troyanos e infostealers como amenazas destacadas y anzuelos locales que usan nombres de bancos o programas gubernamentales para engañar.
Los sectores en la mira prioritaria de esos ataques son gobierno, salud y empresas que manejan datos sensibles. Si su empresa opera en alguno de esos tres frentes, el pentesting no es opcional: es la única prueba que mide su exposición real en lugar de asumirla.
Contexto empresarial en Perú: Lima como centro económico y tecnológico
Lima concentra la mayor parte de la actividad económica, financiera y tecnológica del país, y esa concentración también concentra el riesgo.
La minería es el motor de la economía peruana: el Perú es el segundo productor mundial de cobre, solo por detrás de Chile, y en 2024 el cobre representó más del 30 por ciento de las exportaciones nacionales según el Banco Central de Reserva, un dato que la Presidencia de la República destacó durante la clausura de Expocobre 2024.
Las grandes mineras, sus proveedores y las empresas de ingeniería que les dan servicio operan desde Lima y alrededores, lo que las convierte en objetivos de alto valor.
Al lado de la minería, Lima alberga el distrito financiero de San Isidro y las sedes de los principales bancos, aseguradoras y empresas de servicios, además de un ecosistema fintech masivo.
Yape, la billetera del BCP, cerró 2025 con 15,9 millones de usuarios activos mensuales y un volumen mensual de operaciones de S/ 48.174,4 millones. Cada app de banca móvil, cada pasarela de pagos y cada API expuesta por una fintech peruana es una puerta que un atacante sabe buscar.
Y en sectores como la agroexportación —donde el país es una potencia mundial en arándanos, uvas y palta— las empresas gestionan cadenas de frío, trazabilidad y pagos internacionales con sistemas que rara vez han sido probados por atacantes éticos.
Superficie de ataque por sector: dónde duele en Perú
La banca y las fintech peruanas viven bajo presión doble. Por un lado, el phishing y los troyanos bancarios móviles representan la principal categoría de detecciones de malware en el país, con señuelos que imitan apps oficiales y roban credenciales y códigos de verificación.
Por otro, la Superintendencia de Banca, Seguros y AFP endureció su régimen sancionador en 2026: la Resolución SBS 01029-2026 convirtió en infracción muy grave que una entidad supervisada no proteja adecuadamente sus activos de información frente a incidentes que comprometan datos de clientes.
Un pentesting aquí debe probar apps móviles, canales digitales, APIs y la segregación de ambientes con la misma agresividad que un grupo criminal.
La minería y la industria pesada tienen una superficie distinta: sistemas de control industrial, telemetría de plantas, proveedores conectados por VPN y oficinas corporativas en Lima con miles de empleados.
Los grupos de ransomware ya demostraron que saben pivotar desde la red corporativa hacia procesos productivos, y en minería una hora de parada no es un incidente de TI: es pérdida de producción medida en millones de dólares.
Las pruebas en este sector exigen metodología que respete la operación en vivo, alcance sobre OT segregada y validación de los accesos de terceros.
El retail, la agroexportación y los servicios profesionales completan el mapa. En septiembre de 2026, el grupo Arcus Media publicó a la agroindustrial peruana Agrofruto SAC como víctima de ransomware, con plazo de filtración de datos fijado para fin de mes.
La agricultura y la producción alimentaria rara vez se consideran objetivos, pero manejan datos de clientes internacionales, contratos en dólares y sistemas ERP conectados a la planta.
Y en servicios empresariales, educación y salud —los sectores con más incidentes de data breach según el informe de Entel— el activo en juego son los datos personales de miles de ciudadanos, regulados por la Ley 29733.
Riesgos de ciberseguridad para las empresas en Perú
Las empresas peruanas enfrentan un abanico de amenazas alineado con su perfil económico. El phishing y el compromiso de correo electrónico (BEC) apuntan a empleados de mineras, financieras y servicios para interceptar pagos y credenciales.
El ransomware puede paralizar operaciones críticas y detener procesos productivos; la exposición de superficies en la nube y en proveedores externos amplía el alcance de potenciales ataques; y el fraude financiero dirigido busca explotar los sistemas de pago de empresas con alto volumen de transacciones.
La digitalización acelerada y la dependencia de terceros hacen indispensable validar técnicamente los controles de seguridad antes de que un incidente lo haga por usted.
Qué debe cubrir un pentesting en Perú para que sirva de verdad
Un test de penetración serio en el contexto peruano no es un escaneo automático con logo. Para una empresa que opera desde Lima, el alcance mínimo útil incluye aplicaciones web y móviles expuestas a internet, redes internas y externas con revisión de Active Directory y escalado de privilegios.
También APIs que conectan con pasarelas de pago y servicios de terceros, entornos en la nube con revisión de configuraciones, y en minería e industria, las redes OT con metodología que no detiene la operación.
Si la propuesta que recibe no incluye escalado de privilegios, persistencia y extracción de datos simulada, es un análisis de vulnerabilidades, no un pentest.
Si la propuesta que recibe no incluye escalado de privilegios, persistencia y extracción de datos simulada, es un análisis de vulnerabilidades, no un pentest.
Hay un momento en el que un pentest NO es lo que necesita, y conviene decirlo: si su empresa nunca hizo un análisis básico de vulnerabilidades ni tiene inventario de activos, empezar por un pentest es como pagar un examen de manejo sin haber tomado una clase.
Primero higiene (inventario, parches, MFA), luego el pentest que intente romper lo que construyó. Los informes deben venir con hallazgos validados manualmente —cada hallazgo explotado de verdad—, severidad por impacto de negocio y re-test ilimitado para verificar que cada corrección funcionó.
Normativa aplicable en Perú: lo que la ley ya le exige
La Ley 29733, Ley de Protección de Datos Personales, obliga a toda empresa que trate datos personales a registrar sus bancos de datos, obtener consentimiento válido e implementar medidas de seguridad adecuadas.
Su nuevo reglamento, vigente desde el 31 de marzo de 2025, endureció el marco: exige designar un Oficial de Protección de Datos Personales y las multas pueden llegar hasta 100 UIT, equivalentes a S/ 535.000 según el valor de la UIT 2026.
Un pentest es la evidencia técnica que demuestra que esas medidas de seguridad existen y funcionan, algo que la autoridad fiscaliza cada vez más.
En lo penal, la Ley 30096 de Delitos Informáticos (2013, modificada por la Ley 30171) sanciona el acceso ilícito, el atentado a datos y sistemas, el fraude informático y la interceptación de datos, y recientemente incorporó el delito de tráfico de datos personales obtenidos ilícitamente, con penas de cinco a ocho años de prisión.
El Perú además ratificó el Convenio de Budapest, lo que facilita la cooperación internacional en investigaciones de ciberdelincuencia. Y si su empresa es supervisada por la SBS, la Resolución 01029-2026 deja claro el costo de fallar: no proteger los activos de información frente a incidentes es infracción muy grave.
Puede consultar la resolución oficial publicada por la SBS en su intranet institucional: Resolución SBS Nº 01029-2026. Fuentes oficiales de referencia: la Autoridad de Protección de Datos advirtió que las filtraciones masivas constituyen infracción muy grave con multas de 50 a 100 UIT.
El análisis de EY sobre el reglamento detalla el plazo del Oficial de Datos y el esquema de multas (EY Perú); y el texto actualizado de la Ley de Delitos Informáticos está disponible en LP Derecho.
Escenarios reales: cómo se ve un ataque contra una empresa peruana
Estos son patrones que vemos repetirse en empresas de la región, con detalles cambiados para proteger a los clientes. Escenario uno: una agroexportadora con pagos internacionales por millones de dólares al mes recibe facturas falsificadas por correo.
El BEC apunta a la persona que aprueba las transferencias y el atacante conoce el flujo interno porque alguien subió credenciales a un repositorio público.
Un pentest con ingeniería social controlada habría demostrado que el correo llegaba sin validación SPF/DKIM y que la cuenta de tesorería no tenía MFA.
Escenario dos: una financiera con app propia descubre que un infostealer instaló en el equipo de un desarrollador un recolector de credenciales que terminó vendiendo el acceso a la VPN corporativa. En 2025 el Perú registró más de 157.000 dispositivos comprometidos con infostealers, y los sectores más afectados incluían banca y educación.
Un test de penetración a la red interna habría mostrado que la VPN no requería autenticación multifactor y que las credenciales filtradas daban acceso directo a sistemas críticos.
Escenario tres: una municipalidad o empresa de servicios ve detenido su sistema de atención al público por un ransomware que entró por un servicio de escritorio remoto expuesto a internet. El ataque a SAT Piura mostró que ni la infraestructura del Estado está exenta.
En este caso el costo no es solo técnico: hay suspensión de servicios, daño reputacional y atención mediática. La pregunta de autodiagnóstico es simple: ¿cuándo fue la última vez que alguien intentó entrar a sus sistemas con intención maliciosa controlada, y qué encontró?
Por qué hacerlo con DragonJAR
DragonJAR nació como comunidad de seguridad en 2001 y opera como empresa desde 2012, con más de una década auditando empresas de sectores financiero, minería, energía, telecomunicaciones, salud y gobierno en toda Hispanoamérica.
Cada informe llega con hallazgos validados manualmente, hallazgos explotados de verdad, priorización por impacto de negocio y re-test ilimitado para confirmar que cada corrección funcionó. Si va a llenar el formulario, recibirá una propuesta con alcance definido, metodología explicada y un tiempo de respuesta claro, sin compromiso.
Preguntas frecuentes sobre el pentesting en Perú
¿Mi empresa está obligada por ley a hacer pentesting en Perú?
Ninguna ley peruana dice literalmente haga un pentest cada año. Pero la Ley 29733 exige implementar medidas de seguridad adecuadas para los datos personales y su reglamento multa hasta con 100 UIT, mientras que la SBS califica como infracción muy grave no proteger los activos de información de los clientes.
Un pentest es la forma técnica de demostrar que cumple: sin una prueba independiente, lo que tiene es una promesa escrita en una política.
¿Qué diferencia hay entre un análisis de vulnerabilidades y un pentest?
El análisis de vulnerabilidades identifica y lista posibles debilidades con herramientas automatizadas; el pentest las explota de forma controlada, escala privilegios y demuestra qué puede hacer un atacante de verdad con ellas.
Un informe de escaneo con 200 hallazgos y sin validación genera trabajo inútil; un pentest con 15 hallazgos explotados genera decisiones. Pida siempre el informe de ejemplo antes de contratar.
¿Cómo se protege la información de mi empresa durante la prueba?
Toda prueba profesional se ejecuta bajo contrato de confidencialidad, con alcance escrito, ventana de pruebas acordada y reglas de juego claras: qué está permitido, qué está fuera de límites y quién recibe los avances.
Los datos de prueba se tratan como confidenciales, los canales de comunicación son seguros y el equipo ético nunca accede ni exfiltra información sensible fuera de lo necesario para demostrar el impacto.
¿Cuánto dura y cuánto cuesta un pentest para una empresa en Lima?
Depende del alcance, pero como referencia honesta: una app web o móvil más infraestructura externa suele tomar de dos a cuatro semanas; un alcance amplio (interna, externa, AD, nube y app) puede llegar a seis. El precio se define por la superficie a probar, no por el tamaño de su empresa.
Desconfíe de quien cotiza por número de empleados: el costo está en las IPs, las apps y las APIs, y quien no pregunte eso no está calculando el trabajo real.
¿Cada cuánto debería repetir el test de penetración?
Al menos una vez al año, y siempre que haya un cambio material: lanzamiento de una app, migración a la nube, fusión con otra empresa o un incidente de seguridad.
El panorama de amenazas en el Perú cambia por trimestres —nuevos grupos de ransomware, nuevas campañas de infostealers—, así que el pentest del año pasado mide un mundo que ya no existe.
¿Qué debo pedir en la propuesta antes de firmar?
Pida el informe de ejemplo completo, la metodología de prueba, cómo manejan hallazgos críticos en vivo, si incluyen re-test y en qué plazo, y quién ejecuta la prueba (nombres, experiencia, no solo la marca de la firma). Un proveedor serio le dice qué no puede probar y por qué; uno que promete hackear todo en una semana vende humo.
Evalúe la seguridad de su empresa en Lima
Si su empresa opera en Lima o desde el Perú hacia la región, una evaluación técnica independiente es el primer paso para conocer su exposición real frente a estas amenazas.
DragonJAR ofrece servicios profesionales de pentesting y seguridad informática con expertos reconocidos internacionalmente, re-test ilimitados y hallazgos validados manualmente en los informes. El formulario de contacto le permite describir su escenario y recibir una propuesta con alcance y metodología claros.
Contáctenos y descubra cómo proteger los activos digitales de su negocio antes de que un incidente le obligue a hacerlo.