El pentesting o test de penetración en El Salvador

El contexto regional de El Salvador: banca, servicios y adopción digital en San Salvador

San Salvador, como capital y centro económico del país, concentra las sedes de los bancos, las empresas de telecomunicaciones y los proveedores de servicios financieros que operan en El Salvador. La banca salvadoreña ha avanzado en su adopción digital: banca en línea, canales móviles y plataformas de pago electrónico son ya parte de la relación cotidiana entre las entidades financieras y sus clientes, y cada uno de esos canales amplía la superficie que un atacante puede intentar explorar.

A la banca se suma un sector de servicios en crecimiento: empresas de comercio, logística y tercerización (BPO), así como una red de pymes que se apoyan cada vez más en plataformas digitales para vender, facturar y comunicarse con sus clientes. A este tejido hay que agregar dos particularidades del país: un ecosistema de pagos digitales que incluye al bitcoin —El Salvador fue el primer país del mundo en darle curso legal con la Ley Bitcoin de 2021 (Decreto Legislativo N.º 57), aunque la reforma de enero de 2025 eliminó la obligatoriedad de aceptarlo— y un flujo constante de remesas digitales que sostiene gran parte del consumo de los hogares, lo que convierte a las plataformas de pago y billeteras en un objetivo atractivo para el fraude.

Este avance digital trae consigo una mayor exposición. Cuando los procesos de pago, la atención al cliente y la gestión interna dependen de sistemas conectados, la seguridad de esos sistemas deja de ser un tema exclusivamente técnico y se convierte en una condición para la continuidad del negocio y la confianza de los clientes.

Riesgos de ciberseguridad para las empresas en El Salvador

América Latina se consolidó como la región del mundo más afectada por el ransomware en 2025: el 8,13% de las organizaciones de la región registró este tipo de ataques, por encima de cualquier otra región del planeta, según el reporte anual de Kaspersky. El Salvador, con una economía pequeña y altamente conectada, recibe esa presión de frente.

El cibercrimen financiero es uno de los frentes más activos. Los intentos de fraude financiero, phishing y ataques dirigidos a plataformas de pago se concentran en el sector financiero, que en el país mueve tanto banca tradicional como activos digitales. Para la banca y los servicios de pago salvadoreños, esto implica que los atacantes están dedicando esfuerzo específico a su entorno.

El ransomware representa un riesgo de continuidad para empresas de servicios y comercio: cifrar los sistemas administrativos o las plataformas de operación puede paralizar la atención comercial y restringir el acceso a bases de datos críticas durante días. Ante este panorama, evaluar periódicamente qué tan explotables son las debilidades de la infraestructura permite corregirlas antes de que un atacante las aproveche.

El phishing dirigido sigue siendo uno de los vectores de entrada más comunes: correos que suplantan entidades bancarias, proveedores o plataformas de pago apuntan a colaboradores que trabajan permanentemente conectados, y un solo acceso comprometido puede dar entrada a la red corporativa o a los datos de los clientes. Un pentesting ayuda a las empresas salvadoreñas a medir esa exposición real, combinando la revisión técnica con la evaluación del factor humano.

Cómo elegir un proveedor de pentesting en El Salvador: la lista de compra

Contratar un pentesting es comprar una medición, no un producto. En nuestra experiencia, estas son las preguntas que separan una propuesta seria de un gasto inútil:

1. ¿El alcance está escrito y es específico? Una propuesta seria nombra los objetivos: qué aplicaciones web, qué APIs, qué rangos de IP, qué redes internas, si incluye ingeniería social. «Pentest a toda la empresa» sin detalle no es un alcance, es una promesa.
2. ¿Quién ejecuta la prueba? La calidad del pentesting depende de las personas, no de las herramientas. Pregunte por la experiencia del equipo que tocará sus sistemas, no por la marca de la empresa.
3. ¿Incluye re-test? Encontrar vulnerabilidades es la mitad del trabajo; verificar que quedaron corregidas es la otra mitad. Si una propuesta comercial no incluye re-test, está incompleta.
4. ¿Cómo es el informe? Debería venir en dos niveles: uno ejecutivo, que le sirva a la gerencia para tomar decisiones de inversión, y uno técnico, con la evidencia y el paso a paso para que su equipo corrija. Un informe lleno de hallazgos sin contexto de negocio termina archivado.
5. ¿Hay reglas de compromiso y confidencialidad? Fechas, horarios, qué se puede y qué no se puede tocar en producción, canales de comunicación durante la prueba y un acuerdo de confidencialidad firmado antes de empezar. Sin esto, no firmes.

Qué debe incluir el alcance mínimo

Para una empresa salvadoreña típica —banca, servicios, comercio o BPO— el alcance mínimo que en nuestra experiencia aporta valor real cubre:

• Perímetro externo: lo que un atacante ve desde internet sin credenciales: sitios, portales, servicios expuestos, configuraciones de correo y DNS.
• Aplicaciones y APIs críticas: banca en línea, portales de clientes, pasarelas de pago y las APIs que los conectan. Es donde vive el dinero y donde duele.
• Red interna (si aplica): qué puede hacer un atacante —o un empleado comprometido— una vez dentro de la red corporativa.
• Factor humano: una campaña de phishing controlada mide si sus colaboradores son la puerta de entrada. En nuestra experiencia, casi siempre lo son.

Si su empresa nunca ha hecho un análisis de vulnerabilidades ni tiene un inventario actualizado de sus activos, sé honesto con usted mismo: un pentesting profundo puede esperar; primero necesita saber qué tiene. Un buen proveedor se lo dice en vez de venderle la prueba más cara.

Señales de alerta en una propuesta

• Precio sin alcance: si le cotizan sin preguntarle qué sistemas tiene, están vendiendo horas, no una medición.
• «Garantizamos que no encontrarán vulnerabilidades»: nadie serio promete eso. Lo que se garantiza es metodología, evidencia y re-test.
• Un escaneo automático vendido como pentesting: pasar una herramienta y entregar su salida no es simular un ataque. Pregunte qué parte del trabajo es manual.
• Sin equipo identificado ni re-test: la prueba termina cuando se entrega el informe y nadie verifica las correcciones. Eso es medio servicio.
• Informe con hallazgos sin verificar: los falsos positivos cuestan dinero: su equipo persigue fantasmas mientras las vulnerabilidades reales siguen ahí. Exija que cada hallazgo crítico venga con evidencia de explotación.

La normativa que le aplica en El Salvador (con nombre y número)

El mapa regulatorio salvadoreño cambió recientemente. Esto es lo verificable que toca a su empresa:

• Ley para la Protección de Datos Personales (Decreto Legislativo N.º 144, aprobada el 12 de noviembre de 2024, vigente desde noviembre de 2024): regula el tratamiento de datos personales, reconoce los derechos ARCO-POL de los titulares y exige a los responsables implementar mecanismos y medidas de seguridad. Su autoridad es la Agencia de Ciberseguridad del Estado (ACE) (Romero Pineda & Asociados).
• Ley de Ciberseguridad (aprobada el 12 de noviembre de 2024): crea la ACE, encargada de la política nacional de ciberseguridad, la gestión de amenazas y la supervisión del cumplimiento en protección de datos (Human Rights Watch).
• Ley de Comercio Electrónico (promulgada por la Asamblea Legislativa): establece el marco para las transacciones comerciales por medios electrónicos y los efectos jurídicos de los documentos electrónicos (Red GEALC). Si vende en línea, le toca.
• Ley Bitcoin (Decreto Legislativo N.º 57, 2021; reformada en enero de 2025): si su empresa opera con criptoactivos o billeteras digitales, la reforma eliminó la obligatoriedad de aceptar bitcoin, pero el ecosistema de pagos digitales sigue bajo supervisión de la Superintendencia del Sistema Financiero y el Banco Central de Reserva.

Ninguna de estas normas dice literalmente «contrata un pentesting». Lo que sí hacen —especialmente la Ley de Protección de Datos Personales— es exigir medidas técnicas de seguridad y rendición de cuentas. Un pentesting con informe y re-test es la evidencia más directa de que esas medidas existen.

Precio, proceso y cobertura de un pentesting en El Salvador

Un pentesting típico de DragonJAR parte de USD 2.000; el precio final depende del alcance —número de sistemas, aplicaciones y sedes— y queda fijado por escrito en la propuesta, antes de empezar. El rango de proyectos típicos (USD 2.000 a USD 20.000) y lo que incluye y lo que no incluye cada prueba están detallados en costo de un pentesting. Como El Salvador usa el dólar estadounidense como moneda de curso legal, el precio se cotiza y se paga en dólares, sin conversión.

El proceso, de principio a fin, es el mismo para cualquier empresa salvadoreña:

1. 1. Primer contacto. Nos cuenta su infraestructura, su sector y qué quiere probar: perímetro, aplicaciones, red interna o todo el conjunto.
2. 2. Alcance por escrito. Recibe una propuesta con las superficies a probar, las reglas de la prueba y el cronograma. Nada se prueba fuera de ese alcance.
3. 3. Prueba controlada. Simulamos ataques con las técnicas que usaría un adversario real, sin interrumpir su operación.
4. 4. Informe en español. Informe ejecutivo y técnico con cada hallazgo validado, su evidencia y su prioridad por riesgo de negocio.
5. 5. Corrección con su equipo. Su equipo corrige con el informe en mano; resolvemos las dudas técnicas que surjan en el camino.
6. 6. Retest de las correcciones. Volvemos a probar cada hallazgo corregido para confirmar que quedó cerrado, no solo prometido.

Cobertura en todo el país. Trabajamos en San Salvador y su área metropolitana, en Santa Ana —la ciudad principal del occidente— y en San Miguel —la ciudad principal del oriente—, así como en cualquier otra ciudad del país. La mayor parte de la prueba se hace de forma remota; cuando el alcance incluye la red interna, el acceso físico o sistemas de operación, el equipo se desplaza al sitio.

La propuesta de DragonJAR para empresas en El Salvador

DragonJAR nació como comunidad de seguridad informática en 2001 y opera como empresa desde 2012. Nuestro método para un test de penetración en El Salvador es el mismo que aplicamos en toda la región: alcance escrito y específico antes de empezar, ejecución manual por profesionales con experiencia real, informe en dos niveles —ejecutivo para la dirección, técnico para su equipo— con hallazgos validados manualmente, y re-tests ilimitados para verificar que las correcciones quedaron bien aplicadas.

Antes de llenar el formulario, hágase estas preguntas de autodiagnóstico: ¿cuándo fue la última vez que alguien intentó entrar a sus sistemas de forma autorizada? ¿Qué pasaría si mañana se filtra la base de datos de sus clientes? ¿Podría demostrarle hoy a un regulador que sus controles funcionan? Si alguna respuesta le incomoda, es momento de medir.

Al llenar el formulario, un especialista revisa su caso y le devuelve una propuesta con alcance, cronograma y precio, sin compromiso. Sin llamadas de telemercadeo ni spam: una conversación técnica sobre qué medir y por qué.

Evalúe la seguridad de su empresa en El Salvador con DragonJAR

Si su empresa en El Salvador opera en banca, servicios, comercio o cualquier sector que dependa de plataformas digitales, conocer el estado real de su seguridad es el primer paso para protegerla. Con la Ley de Protección de Datos Personales ya vigente, ese primer paso también es su mejor argumento ante un regulador.

Contacte a DragonJAR hoy y descubra el estado de seguridad de su empresa en El Salvador: una medición honesta, con evidencia y sin compromiso.