Descubra lo que un atacante vería en su empresa en Cuba, antes de que lo explote.
El pentesting o test de penetración real para empresas de Cuba: simulamos ataques con las mismas técnicas que usaría un adversario, con hallazgos priorizados por riesgo real y retest de las correcciones.
Cuba habilitó el acceso a internet por datos móviles en diciembre de 2018, a través de su único operador estatal, ETECSA. Piense en eso un momento: mientras en el resto de la región las empresas llevaban una década endureciendo sus sistemas contra atacantes en línea, en Cuba la digitalización masiva de banca electrónica, comercio digital y turismo apenas está aprendiendo a caminar. Hoy alrededor del 70 % de la población usa internet, pero lo hace mayoritariamente desde el celular, con conexiones compartidas y calidad variable.
Evaluar la seguridad en ese contexto exige honestidad, no plantillas. El Pentesting o test de penetración en Cuba no es el mismo servicio que en Bogotá o Ciudad de México: aquí conviven equipos antiguos, configuraciones heredadas, ventanas de mantenimiento irregulares y una conectividad que puede caerse en medio de una prueba. Esta guía está escrita para quien compra ese servicio —una empresa estatal, un cuentapropista que creció, una pyme privada, o una compañía extranjera operando en la isla— y quiere saber qué pedir, qué evitar y qué dice realmente la ley cubana.
En resumen: DragonJAR SAS, empresa colombiana de seguridad informática ofensiva con sede en Manizales (comunidad desde 2001, empresa desde 2012), realiza el pentesting o test de penetración real para empresas de Cuba, con informes ejecutivo y técnico en español, priorizados por riesgo de negocio, y retest de las correcciones.
Tabla de Contenido
Antes de comprar: cuándo un pentesting NO es lo que su empresa necesita en Cuba
Empecemos por la honestidad, que es donde se gana la confianza. Un pentest no es la primera compra de seguridad para todos:
- Si su presencia digital es un catálogo estático sin transacciones, sin cuentas de usuario y sin datos sensibles, no necesita un pentest todavía. Necesita lo básico: mantener actualizado lo poco que tiene, copias de seguridad y contraseñas decentes. Contratar un pentest ahora sería pagar por confirmar lo obvio.
- Si no tiene inventario de activos, el primer paso no es un atacante simulado: es saber qué tiene. Un pentest sin inventario termina probando la mitad de su superficie y dejándole con una falsa sensación de seguridad.
- Si acabas de sufrir un incidente y aún no lo contuvo, lo que necesita es respuesta a incidentes, no un pentest. Primero se apaga el fuego; después se revisa dónde empezó.
¿Cuándo SÍ lo necesita? Cuando mueve dinero o datos de terceros en línea: banca electrónica, comercio digital, portales de reserva turística, sistemas con datos de clientes o empleados. Ahí la pregunta ya no es si alguien va a probar sus defensas, sino si será usted quien lo haga primero, de forma controlada.
Cómo elegir un proveedor de pentesting para una operación en Cuba
Comprar un pentest para Cuba tiene particularidades que no aparecen en una cotización estándar. Esto es lo que debe exigir:
- Experiencia probada con entornos heterogéneos y de recursos limitados. Pregunte directamente: ¿han probado sistemas con equipos antiguos, software sin soporte y conexiones inestables? Un proveedor acostumbrado solo a nubes modernas va a malinterpretar su realidad. En nuestra experiencia, los entornos cubanos exigen más criterio manual y menos confianza ciega en escáneres automáticos.
- Capacidad de ejecución remota con protocolos claros. La prueba se ejecuta de forma remota contra sus activos autorizados; pregunta cómo manejan cortes de conectividad a mitad de prueba, cómo coordinan ventanas horarias y qué canal de comunicación mantienen abierto durante la ejecución.
- Reglas de juego por escrito antes de tocar nada. Alcance exacto, sistemas incluidos y excluidos, ventanas de prueba, contactos de emergencia y autorización firmada por el responsable de los sistemas. Un proveedor serio no empieza sin esto; uno que sí empieza sin esto es una señal de alerta.
- Informe en español, con hallazgos validados manualmente. Cada hallazgo debe estar verificado manualmente como explotable. Un volcado de escáner con 400 alertas genéricas no es un informe: es tarea para usted.
- Re-test incluido. La prueba no termina con el informe; termina cuando se verifica que las correcciones quedaron aplicadas de verdad, con evidencia.
- Confidencialidad contractual. Acuerdo de confidencialidad firmado, y claridad sobre dónde se procesan y almacenan los datos del informe. Pregúntelo sin pena: es su información.
Qué debe incluir el alcance mínimo de su pentest en Cuba
Antes de adentrarnos en proveedores, conviene entender la diferencia clave: un análisis de vulnerabilidades identifica y clasifica debilidades de forma automatizada; un pentest va más allá y las explota de forma controlada para demostrar el impacto real —qué podría robar, alterar o interrumpir un atacante de verdad—. Para una empresa en Cuba, el alcance mínimo útil suele cubrir:
- Portales de pago y banca electrónica: flujos de autenticación, sesiones, lógica de transacciones. Donde hay dinero, hay atacantes.
- Apps móviles y APIs: con más del 77 % del acceso a internet ocurriendo desde celulares, la app es el perímetro. Las APIs expuestas sin autenticación adecuada son el hallazgo más común y más barato de corregir.
- Portales de turismo y reservas: el sector turístico mueve datos de tarjetas y pasaportes de visitantes; es el activo más atractivo de la isla para el fraude.
- Correo corporativo y accesos remotos: cuentas sin doble factor de autenticación son la puerta de entrada más frecuente en cualquier país, y Cuba no es la excepción.
- Redes wifi corporativas y puntos de acceso compartidos: evaluar cómo viajan los datos entre la empresa y sus usuarios permite corregir configuraciones débiles antes de un incidente.
- Sistemas heredados: ese servidor «temporal» de 2016 que sigue en producción merece su propia revisión: parches pendientes, credenciales por defecto, servicios innecesarios expuestos.
- Ingeniería social dirigida: mensajes fraudulentos que se hacen pasar por bancos u operadores llegan directo al bolsillo de los usuarios; probar la resistencia del equipo es tan importante como probar los servidores.
Señales de alerta: cuándo NO contratar a ese proveedor
- Promete «100 % seguro» o «garantía total». Nadie serio promete eso. La seguridad se reduce el riesgo, no se elimina.
- Vende un escaneo automatizado como pentest. Si la «metodología» es correr una herramienta y entregarle el PDF, no es un pentest: es un análisis de vulnerabilidades con otro nombre y otro precio.
- Cotice sin preguntar por su alcance. Sin inventario de activos, sin preguntas sobre sus sistemas, el precio es inventado y el servicio también lo será.
- No ofrece re-test. Si no verifica las correcciones, el informe es un documento decorativo.
- Pide acceso a sus sistemas sin contrato ni autorización escrita. En cualquier jurisdicción, probar sistemas sin autorización del dueño es un problema legal, no un servicio.
Panorama de amenazas para las empresas en Cuba
El perfil de riesgo cubano tiene rasgos propios, derivados directamente de su contexto de conectividad:
El ransomware dirigido a sistemas con ciclos de actualización limitados es una amenaza cualitativa relevante: los entornos con equipos antiguos y ventanas de mantenimiento restringidas son terreno favorable para el malware que cifra información y exige rescate. Una prueba de penetración permite identificar qué sistemas son realmente explotables antes de que un atacante lo descubra.
El phishing por correo y mensajería móvil es un vector de entrada de bajo costo y alto impacto: con la gran mayoría del acceso a internet ocurriendo desde teléfonos móviles, los mensajes fraudulentos que se hacen pasar por bancos, operadores o plataformas de pago llegan directamente al bolsillo de los usuarios y pueden comprometer credenciales empresariales.
La exposición de servicios en conexiones compartidas y puntos públicos aumenta el riesgo de intercepción: redes compartidas entre hogares o empresas, y puntos de acceso públicos, facilitan la captura de tráfico no cifrado y el robo de sesiones. Evaluar cómo viajan los datos entre la empresa y sus usuarios permite corregir configuraciones débiles antes de un incidente.
La suplantación de identidad en transacciones digitales preocupa al comercio electrónico y la banca electrónica en crecimiento: cuentas comprometidas por contraseñas débiles o reutilizadas pueden derivar en fraude y pérdida de confianza de los clientes. Validar la robustez de los mecanismos de autenticación es una de las contribuciones directas del pentesting.
Qué dice realmente la normativa cubana
Aquí conviene ser precisos, porque circula mucha imprecisión. Esto es lo que existe, verificado:
- Ley 149/2022 de Protección de Datos Personales: aprobada por la Asamblea Nacional el 14 de mayo de 2022 y publicada en la Gaceta Oficial, establece el marco para la recolección y tratamiento de datos personales de los ciudadanos cubanos, con sanciones para las entidades que incumplan. Si su empresa maneja datos de clientes o empleados, esta ley le aplica. Publicación en la Gaceta Oficial (Red Cubana de la Ciencia).
- Decreto-Ley 35/2021 y Resolución 105/2021: el primero regula las telecomunicaciones y las TIC; la segunda establece el Modelo de Actuación Nacional para la Respuesta a Incidentes de Ciberseguridad, tipificando por primera vez la categoría de «incidentes de ciberseguridad» en la legislación cubana. Cobertura de Cubadebate sobre la Gaceta Oficial No. 92.
Y la honestidad que nos diferencia: ninguna norma cubana exige a las empresas privadas un pentest periódico del modo en que la Circular 052 de 2007 lo exige a la banca colombiana. Si alguien le dice que «la ley cubana obliga a hacer pentesting», pídale el artículo. Lo que sí existe es un marco creciente de protección de datos y de respuesta a incidentes que hace cada vez más costoso no saber en qué estado está su seguridad.
Preguntas frecuentes sobre el pentesting o test de penetración en Cuba
¿Se puede ejecutar un pentesting a una empresa en Cuba de forma remota?
Sí. Las pruebas se ejecutan de forma remota contra los activos que usted autorice por escrito, con ventanas de prueba coordinadas según su horario y su conectividad. Se define de antemano cómo actuar ante cortes de conexión a mitad de prueba para no dejar sesiones colgadas ni resultados a medias.
¿Cuánto dura y cuánto cuesta un pentest para Cuba?
Una prueba típica toma entre una y cuatro semanas según el alcance. El precio depende de los activos a evaluar —aplicaciones, IPs, si incluye ingeniería social— y se cotiza después de un levantamiento, nunca con tarifa de catálogo. Desconfíe de precios fijos sin preguntas previas.
¿La prueba puede tumbar mis sistemas o mi conexión?
Un pentest profesional se planifica para no hacerlo: pruebas agresivas solo en los momentos acordados, exclusión de sistemas críticos si así lo define, y un canal directo con usted durante toda la ejecución. La planificación es parte del servicio.
¿Cómo se maneja la confidencialidad de mis datos?
Con acuerdo de confidencialidad firmado antes de empezar, alcance autorizado por escrito y protocolos estrictos de manejo de la información del informe. Pregunte dónde se almacenan los datos de la prueba: es su derecho saberlo.
¿Necesito alguna autorización del Estado o de ETECSA para contratar un pentest?
Las pruebas se realizan sobre sus propios sistemas, con su autorización escrita como dueño o responsable de esos activos. No evaluamos infraestructura de terceros —ni de operadores— sin su permiso expreso. Si su operación incluye trámites regulatorios específicos de su sector, lo revisamos con usted en el levantamiento.
¿Qué recibo al final?
Un informe ejecutivo para la dirección, un informe técnico con pasos de reproducción para su equipo, priorización por riesgo de negocio y el re-test de verificación de correcciones. Todo en español.
Evalúe la seguridad de su empresa en Cuba con DragonJAR
DragonJAR nació como comunidad de seguridad informática en 2001 y opera como empresa desde 2012, con experiencia auditando empresas de los sectores financiero, salud, combustibles, gubernamental, telecomunicaciones y educación en toda la región. Sabemos que un pentest en Cuba no se ejecuta igual que en una nube de São Paulo: aquí el criterio manual pesa más que el escáner, y la honestidad sobre lo que la prueba puede y no puede cubrir es parte del entregable.
Si su empresa en Cuba mueve dinero o datos de terceros en línea —banca electrónica, comercio digital, turismo, telecomunicaciones—, el paso lógico es este: llena el formulario y recibe un diagnóstico de alcance —qué debería probar y por qué—, una propuesta itemizada en un plazo de 24 horas hábiles y una llamada con un ingeniero, no con un vendedor. Sin compromiso.
Los servicios de seguridad informática de DragonJAR incluyen re-tests para verificar que las correcciones recomendadas fueron aplicadas de manera efectiva, cerrando el ciclo de mejora con evidencia.
Conclusión sobre el pentesting o test de penetración en Cuba
Cuba digitaliza sus operaciones a un ritmo que su infraestructura apenas alcanza a sostener: 70 % de la población en línea, banca y comercio electrónico creciendo, y una Ley de Protección de Datos Personales vigente desde 2022 que ya pone precio a la negligencia. El pentesting o test de penetración en Cuba tiene sentido exactamente ahí: no como un lujo importado, sino como la forma de conocer el estado real de sus sistemas antes de que un atacante lo haga por usted. Elija bien al proveedor, exija alcance por escrito, y empiece por lo que mueve dinero o datos.