Descubra lo que un atacante vería en su empresa en Paraguay, antes de que lo explote.
El Pentesting o test de penetración real para empresas de Paraguay: simulamos ataques con las mismas técnicas que usaría un adversario, con hallazgos priorizados por riesgo real y retest de las correcciones.
En 2025, el Ministerio de Tecnologías de la Información y Comunicación de Paraguay (MITIC) reconoció que un ataque había comprometido los sistemas informáticos de diversas instituciones públicas, con datos de más de 7,2 millones de ciudadanos expuestos: cédulas, domicilios, fechas de nacimiento y hasta registros electorales, según reportó ESET Latinoamérica (WeLiveSecurity). Si las entidades del Estado, con todo su aparato, fueron alcanzadas, la pregunta para una empresa privada de Asunción, Ciudad del Este o Encarnación es directa: ¿qué pasaría si los atacantes probaran sus sistemas esta semana?
En nuestra experiencia evaluando empresas de la región, la mayoría no necesita que le expliquen qué es un ciberataque: necesita saber por dónde entraría uno en su infraestructura concreta. Un test de penetración es eso: una prueba puntual, autorizada y controlada, en la que especialistas intentan vulnerar sus sistemas con las mismas técnicas de un atacante real, antes de que lo haga alguien sin permiso. Este artículo explica por qué las empresas paraguayas están en el radar, qué errores encontramos con más frecuencia y qué tipo de prueba conviene a cada caso.
En resumen: DragonJAR SAS, empresa colombiana de seguridad informática ofensiva con sede en Manizales (comunidad desde 2001, empresa desde 2012), realiza el pentesting o test de penetración real para empresas de Paraguay, con informes ejecutivo y técnico en español, priorizados por riesgo de negocio, y retest de las correcciones.
Tabla de Contenido
Contexto regional: Asunción y la economía de frontera, maquila y energía de Paraguay
Asunción concentra la banca, los servicios y la administración pública del país, mientras que la economía nacional se sostiene en tres pilares: la agroindustria (soja, carne y productos derivados), el comercio de frontera —con Ciudad del Este como uno de los polos comerciales más activos de Sudamérica— y la industria maquiladora. El régimen de maquila (Ley 1064/97) alcanza también a la maquila de servicios: software, centros de atención y procesos digitales para el exterior, con energía eléctrica a costos competitivos gracias a las hidroeléctricas binacionales Itaipú y Yacyretá (Prensa Mercosur; Global Trade Culture).
Cada maquiladora nueva, cada agroindustria que digitaliza su logística y cada banco que abre canales digitales en Asunción amplía la superficie de ataque del país al mismo ritmo que su economía. La digitalización ya no es un proyecto futuro en Paraguay: es el día a día de sus exportaciones.
Por qué las empresas paraguayas están en el radar de los atacantes
No es el tamaño de la empresa lo que la vuelve objetivo; es el movimiento que genera. En nuestra experiencia, una empresa paraguaya típica reúne varias condiciones que los atacantes valoran:
- Operaciones de comercio exterior con pagos internacionales. Agroexportadoras e importadoras de la frontera mueven transferencias en dólares de forma rutinaria. Hemos visto campañas de fraude por correo corporativo (BEC) donde el atacante, tras comprometer una cuenta de correo, suplanta al proveedor o al cliente durante una operación en curso y redirige el pago. Un solo correo a tiempo puede costar más que un año de seguridad.
- Conexión permanente con matrices y clientes en el exterior. La maquila opera por cuenta de empresas extranjeras: VPNs, accesos remotos y sistemas compartidos entre Asunción, São Paulo o Buenos Aires. Cada túnel mal configurado es una puerta directa al corazón de la planta.
- Datos sensibles concentrados. Bancos, financieras, clínicas y comercios de Asunción manejan cédulas, datos de tarjetas y registros de clientes. En un país donde una sola brecha alcanzó a 7,2 millones de personas, el valor de una base de datos local en el mercado negro no es teórico.
- Infraestructura crítica y energía. El sector energético y sus proveedores son objetivos estratégicos en toda la región; un incidente ahí no solo filtra datos: detiene operaciones.
El patrón se repite: el atacante no elige a la empresa más grande, elige a la que tiene el correo del gerente de compras comprometido o el servidor de archivos expuesto a internet. El test de penetración existe para encontrar esas puertas antes que él.
Errores típicos que encontramos en empresas de la región
Trabajando con organizaciones de Paraguay y países vecinos, los hallazgos se repiten con una regularidad que ya nos permite anticiparlos. Ninguno requiere un atacante sofisticado:
- Servicios expuestos a internet con credenciales débiles o por defecto. Paneles de administración, cámaras, routers y hasta sistemas de gestión accesibles desde cualquier lugar del mundo con la contraseña de fábrica.
- Accesos remotos sin doble factor. VPN y escritorios remotos protegidos solo por una contraseña que, en varios casos que auditamos, era la misma que el usuario usaba en su correo personal.
- Correos y portales sin protección contra suplantación. Dominios sin registros SPF, DKIM y DMARC: cualquiera puede enviar un correo haciéndose pasar por su empresa, y sus clientes no tienen forma de distinguirlo.
- Respaldo en el mismo lugar que la producción. Copias de seguridad en el mismo servidor o en la misma red que los datos originales: ante un ransomware, se cifran juntas.
- Sistemas sin actualizar durante años. Aplicaciones web y gestores de contenido con versiones vulnerables conocidas públicamente, explotables con herramientas gratuitas.
Lo incómodo de esta lista es que cada punto se corrige en días una vez identificado. El problema nunca fue la complejidad técnica: fue no haber mirado.
Qué tipo de prueba necesita su empresa: el Pentesting frente a otras opciones
Conviene aclarar algo que genera confusión entre quienes cotizan este servicio por primera vez. El test de penetración (pentesting) es una prueba puntual: tiene un objetivo definido, un alcance acordado y un tiempo limitado, y su resultado es un informe con vulnerabilidades explotadas y demostradas, no una lista automática de posibles problemas. No es lo mismo que:
- Un análisis de vulnerabilidades, que es un escaneo (manual o automatizado) que enumera debilidades sin intentar explotarlas. Útil como chequeo periódico, insuficiente si quiere saber qué daño real podría hacer un atacante.
- El monitoreo continuo de seguridad, que vigila día a día pero no prueba activamente sus defensas.
- Una auditoría de cumplimiento, que verifica papeles y controles contra una norma, no la resistencia real de sus sistemas.
Dentro del pentesting, los tipos más solicitados por empresas paraguayas son:
- Pentesting externo: simula a un atacante desde internet. Ideal si tiene sitio web, correo corporativo, VPN o servicios expuestos. Es el punto de partida más común. (Conozca la diferencia entre pentesting interno y externo)
- Pentesting interno: simula a alguien que ya está dentro de su red: un empleado descontento, un proveedor con acceso o un atacante que logró entrar. Revela hasta dónde podría llegar una vez adentro.
- Pentesting de aplicaciones web y APIs: para bancos, comercios electrónicos y empresas de software que viven de sus plataformas digitales. (Pentesting de aplicaciones web de DragonJAR)
Nuestra recomendación práctica: si nunca hizo una prueba, empieza por el pentesting externo de su perímetro. Es donde viven los errores de la lista anterior y donde un atacante empezaría de todos modos.
Riesgos de ciberseguridad en la zona
Las economías de frontera y manufactura exportadora enfrentan amenazas concretas y verificables: phishing y fraude por correo corporativo (BEC) dirigidos a operaciones de comercio exterior y pagos internacionales; ransomware contra industrias, maquilas y agroindustria, donde una interrupción detiene líneas de producción y logística; y compromiso de sistemas de gestión (ERP, contabilidad y portales de aduanas) que manejan datos sensibles de clientes, proveedores y operaciones transfronterizas.
A medida que las maquiladoras y las empresas de servicios tecnológicos adoptan plataformas digitales para operar con Brasil, Argentina y el Mercosur, la exposición de servicios en internet crece: cada integración nueva con un cliente extranjero es una superficie que conviene probar antes de que la pruebe otro. En mayo de 2025, ataques coordinados afectaron los sitios web de más de diez entidades del Estado paraguayo, incluyendo la Presidencia y varios ministerios (TEDIC); la lección para el sector privado es que la exposición digital ya no distingue entre sector público y empresa.
La normativa paraguaya que su empresa debería conocer
Durante años se repitió que en Paraguay no había regulación de datos. Eso cambió. Hoy hay dos normas que toda empresa que maneja información de clientes o empleados debería tener en el radar:
- Ley N.º 6534/2020, de protección de datos personales crediticios. Regula el tratamiento de datos crediticios en registros públicos y privados, y sus autoridades de aplicación son el Banco Central del Paraguay (BCP) y la Secretaría de Defensa del Consumidor y del Usuario (SEDECO), con facultad de sancionar incumplimientos (Ferrere Abogados). Si su empresa reporta o consulta datos crediticios, esta ley ya le alcanza.
- Ley N.º 7593/2025, de protección de datos personales. Promulgada el 27 de noviembre de 2025, es el primer marco integral del país: aplica a cualquier organización que trate datos de personas físicas, crea la Agencia Nacional de Protección de Datos Personales (ANPDP) dentro del MITIC y otorga un período de adecuación de 24 meses, con vigencia plena desde noviembre de 2027 (Olmedo Abogados).
Esa ventana de adecuación hasta 2027 es exactamente el momento para probar sus sistemas: llegar a la vigencia plena con vulnerabilidades conocidas y sin corregir es exponerse a sanciones con la evidencia en contra. Un pentesting hoy es también una forma de documentar diligencia.
Cómo trabaja DragonJAR: una prueba pensada para decidir, no para archivar
DragonJAR nació como comunidad de seguridad informática en 2001 y opera como empresa desde 2012. Su equipo figura en el top mundial de plataformas de hacking ético y ha evaluado organizaciones de sectores como el financiero, salud, energía, telecomunicaciones y gobierno. Pero lo que más valoran nuestros clientes no es el ranking: es que el informe final se lee en lenguaje de negocio, con cada hallazgo priorizado por riesgo real y con pasos concretos de remediación que un equipo técnico puede ejecutar sin adivinar.
El proceso es directo: acordamos el alcance y las reglas de juego con usted (qué se prueba, cuándo, con qué nivel de intrusión), ejecutamos la prueba sin interrumpir su operación, entregamos el informe ejecutivo y técnico en español, y luego hacemos re-test para verificar que cada vulnerabilidad quedó efectivamente corregida. Hallazgos validados: si algo está en el informe, fue explotado y demostrado.
Antes de cotizar, hágase esta pregunta con honestidad: ¿cuándo fue la última vez que alguien intentó vulnerar sus sistemas con permiso? Si la respuesta es nunca o no lo recuerda, ya tiene la respuesta sobre si necesita esta prueba. El costo de un pentesting es una fracción del costo de una sola brecha: interrupción de operaciones, rescate o recuperación, clientes notificados y reputación dañada en un mercado tan interconectado como el paraguayo.
Al completar el formulario, un especialista en seguridad ofensiva le contacta para entender su infraestructura y recomendarle el alcance adecuado: sin compromiso y sin tecnicismos innecesarios. Conozca los servicios de seguridad informática de DragonJAR.
Preguntas frecuentes sobre el pentesting en Paraguay
¿La Ley 7593/2025 me obliga a hacer un pentesting?
La ley exige a las organizaciones implementar medidas técnicas y organizativas adecuadas para proteger los datos personales, y su autoridad de aplicación podrá sancionar incumplimientos desde su vigencia plena en noviembre de 2027. No ordena literalmente un pentesting, pero es la forma más sólida de demostrar que sus medidas técnicas realmente funcionan. Esperar a 2027 para descubrir sus vulnerabilidades es la peor estrategia posible.
¿El test puede hacerse 100% remoto o necesitan venir a Paraguay?
La gran mayoría de las pruebas (externo, aplicaciones web, APIs) se ejecutan de forma completamente remota, con reuniones de apertura y cierre por videollamada. Solo el pentesting interno de red o pruebas físicas específicas requieren presencia o un equipo local coordinado. Trabajamos con empresas de toda Latinoamérica bajo este modelo.
¿La prueba va a tumbar mis sistemas o interrumpir la operación?
No. Antes de empezar se definen reglas de juego claras: horarios de prueba, sistemas excluidos y nivel de intrusión permitido. En más de una década de evaluaciones, nuestro protocolo evita impactos en producción; si un sistema es crítico, se prueba en ventana de mantenimiento o contra un ambiente espejo.
¿Cuánto dura un test de penetración típico?
Depende del alcance: una aplicación web o un perímetro pequeño toma entre una y dos semanas; una infraestructura completa con red interna, varias aplicaciones y pruebas de ingeniería social puede extenderse a cuatro o seis. En la primera llamada definimos el alcance y le damos un cronograma cerrado.
¿Qué recibo al final, además de una lista de problemas?
Recibe dos informes: uno ejecutivo, pensado para que la gerencia entienda el riesgo para el negocio y priorice inversiones; y uno técnico, con la evidencia de cada hallazgo y el paso a paso de remediación. Después de que su equipo corrige, hacemos el re-test para certificar que cada vulnerabilidad quedó cerrada.
¿Qué necesita mi empresa preparar antes de la prueba?
Menos de lo que imagina: una persona de contacto técnico, la lista de sistemas y direcciones a evaluar, y las autorizaciones firmadas. Nosotros nos encargamos del resto, incluyendo la metodología y las herramientas. No necesita comprar nada ni instalar agentes.
Evalúe la seguridad de su empresa en Asunción
Si su empresa opera en Asunción, produce bajo el régimen de maquila o mueve comercio exterior desde Paraguay, un pentesting profesional revela el estado real de sus defensas antes de que un incidente detenga su operación. La brecha de 2025 demostró que en Paraguay nadie está fuera del alcance de los atacantes; la diferencia está en quién se entera primero de sus vulnerabilidades.
Complete el formulario y agende una llamada de descubrimiento con un especialista: revisamos su caso, le recomendamos el alcance justo para su realidad y le entregamos una propuesta clara. Proteger sus activos digitales empieza por saber dónde están expuestos.