Descubra lo que un atacante vería en su empresa en Lima, antes de que lo explote.
El pentesting o test de penetración real para empresas de Lima: simulamos ataques con las mismas técnicas que usaría un adversario, con hallazgos priorizados por riesgo real y retest de las correcciones.
El 30 de octubre de 2024, Interbank —uno de los bancos más grandes del país— reconoció en un comunicado que datos de un grupo de sus clientes habían sido expuestos por un tercero sin su autorización. Sus servicios digitales, incluida la billetera Plin, venían de sufrir interrupciones, y un atacante afirmó en foros de cibercrimen que poseía terabytes de información de la entidad. La SBS, Indecopi y la Fiscalía abrieron diligencias (comunicado oficial de Interbank; cronología del caso).
Ese episodio cambió la conversación en las salas de directorio de la capital: el pentesting o test de penetración en Lima dejó de discutirse como un gasto de TI para tratarse como lo que es —la forma de saber, antes que un atacante, qué tan explotables son sus sistemas. Esta página explica por qué las empresas limeñas son objetivo, qué errores vemos repetirse en la región, qué tipos de prueba convienen según su operación, qué le exige la regulación peruana y cómo pedir una propuesta seria.
En resumen: DragonJAR SAS, empresa colombiana de seguridad informática ofensiva con sede en Manizales (comunidad desde 2001, empresa desde 2012), realiza el pentesting o test de penetración real para empresas de Lima, con informes ejecutivo y técnico en español, priorizados por riesgo de negocio, y retest de las correcciones.
Tabla de Contenido
Por qué Lima está en el radar de los atacantes
Lima concentra lo que un atacante busca: dinero, datos y decisiones. Aquí están las casas matrices de los principales bancos, aseguradoras y administradoras de fondos del Perú, junto con las sedes administrativas y de finanzas de mineras y energéticas que operan en el interior. Cuando la sede central cae, cae todo lo que cuelga de ella: operaciones regionales, filiales y la confianza de miles de clientes.
La digitalización peruana pasa por Lima: banca en línea, billeteras digitales, comercio electrónico y sistemas de gestión integrados mueven a diario un volumen enorme de transacciones y datos personales. Y hay un factor menos obvio: la jerarquía corporativa. En nuestra experiencia, las organizaciones grandes y verticales son especialmente vulnerables a la suplantación de ejecutivos: un atacante con acceso a un correo corporativo imita la identidad de un directivo para instruir transferencias, y la presión por resultados hace el resto.
El contexto regional de Lima: capital financiera, puerto del Callao y sedes corporativas
Lima es la capital del Perú y el principal centro económico del país. Como sede del sistema financiero nacional, concentra los bancos, aseguradoras y administradoras de fondos más importantes, además de las casas matrices de empresas que operan en todo el territorio nacional y de filiales regionales de compañías que hacen negocios desde el Perú hacia el resto de Sudamérica.
El puerto del Callao, adyacente a la ciudad, es la principal puerta del comercio exterior peruano. A su alrededor se mueve una red densa de operadores logísticos, agentes de aduana, exportadores e importadores y empresas de transporte, cuyos sistemas coordinan embarques, documentación y pagos internacionales. Junto a ello, Lima alberga sedes de empresas mineras y de energía que, aunque operan en el interior del país, concentran en la capital sus áreas de administración, finanzas y tecnologías de información.
Los servicios y el comercio completan el perfil económico de la ciudad, con una adopción digital amplia: plataformas de pago, banca en línea, comercio electrónico y sistemas de gestión integrados forman parte de la operación diaria. En este entorno, los sistemas informáticos no son un apoyo accesorio, sino el canal por el que circulan las decisiones financieras y las operaciones comerciales más relevantes del país.
Por todo esto, la seguridad informática en Lima tiene una dimensión nacional: un incidente en una sede limeña puede afectar la operación de una empresa en múltiples regiones y mercados. El pentesting permite a las empresas de la capital conocer qué tan explotables son sus sistemas antes de que un atacante lo descubra por su cuenta.
Riesgos de ciberseguridad para las empresas en Lima
Las empresas limeñas del sector financiero y corporativo enfrentan el riesgo del fraude en transacciones y la suplantación de ejecutivos y autorizadores. Los atacantes que logran acceso a un correo corporativo pueden imitar la identidad de un directivo para instruir transferencias o solicitar información sensible, aprovechando la jerarquía y la presión por resultados de las organizaciones grandes.
En el entorno del puerto del Callao y el comercio exterior, el fraude en operaciones logísticas es una amenaza cualitativa relevante: sistemas que gestionan documentos de embarque, despachos aduaneros o pagos internacionales pueden ser manipulados si presentan debilidades, con impacto directo en la carga y en las finanzas de las empresas involucradas.
La exposición de datos personales y financieros es otra categoría de riesgo para las empresas de servicios y comercio con alta adopción digital. Plataformas de comercio electrónico, portales de clientes y aplicaciones de banca almacenan información sensible; una vulnerabilidad explotada en estos sistemas compromete la confianza de los usuarios y puede acarrear consecuencias regulatorias.
Finalmente, el ransomware representa un riesgo de continuidad transversal: empresas de minería, banca, servicios y logística en Lima dependen de sus sistemas para operar, y el cifrado de la información crítica puede detener la actividad durante días. Identificar qué debilidades son realmente explotables permite priorizar las correcciones con criterio de negocio, no solo técnico.
La regulación peruana que toca a su empresa
En el Perú hay dos leyes con nombre y número que cambian el cálculo: contratar un pentest ya no es solo prevención, es evidencia de que sus controles funcionan.
La Ley N.º 29733, Ley de Protección de Datos Personales (promulgada el 3 de julio de 2011) obliga a toda organización que trate datos personales a adoptar medidas de seguridad técnicas, organizativas y legales. La Autoridad Nacional de Protección de Datos Personales fiscaliza y sanciona: el reglamento vigente (Decreto Supremo N.º 016-2024-JUS) elevó las multas por infracciones graves hasta 100 UIT y exigió a las grandes empresas designar un Oficial de Datos Personales (texto de la Ley 29733 en el SPIJ). Si maneja bases de clientes, empleados o usuarios en Lima, esta ley le aplica, y un pentest es la evidencia técnica de que sus medidas no existen solo en un documento.
La Ley N.º 30096, Ley de Delitos Informáticos (publicada el 22 de octubre de 2013, modificada por la Ley N.º 30171) castiga el acceso ilícito a sistemas: de uno a cuatro años de prisión, y de tres a seis cuando se vulneran las medidas de seguridad (texto de la Ley 30096 en el SPIJ). Ese «sin autorización» es la línea que separa un delito de un pentest: una prueba contratada con la autorización escrita del dueño de los sistemas es una actividad legítima. Por eso un proveedor serio le hará firmar autorización y confidencialidad antes de tocar nada.
Y si opera en el sistema financiero, está bajo supervisión de la SBS: tras el caso Interbank, el estándar regulatorio se mueve hacia la notificación rápida de incidentes de ciberseguridad. Un pentest periódico con re-tests documentados es la forma de demostrarle al supervisor —y a su directorio— que el riesgo se gestiona en serio.
Errores caros que vemos en empresas limeñas
Llevamos años ejecutando pruebas de penetración en la región, y los mismos errores se repiten con regularidad predecible:
- Contratar un alcance de fachada. Se evalúa la página corporativa y se deja fuera la aplicación que mueve el dinero. El atacante no ataca su página de inicio; ataca donde están los datos.
- Confundir un escáner con un pentest. El análisis de vulnerabilidades lista debilidades de forma automatizada; el pentesting las explota como un atacante real y mide el daño. Pagar un reporte de escáner cobrado como pentest es el error de compra más común que vemos.
- Archivar el informe. Se contrata el pentest una vez y se guarda el PDF. Sin re-tests, el ejercicio fue decorativo: tres años después, las mismas vulnerabilidades siguen ahí, solo que ahora ya explotadas.
- Dejar fuera a los terceros. Proveedores de software, pasarelas de pago y servicios en la nube tocan sus sistemas todos los días. Un proveedor comprometido es la vía de entrada más discreta que existe.
- Ignorar la capa humana. El phishing dirigido sigue siendo el vector de entrada más común. Si su pentest no prueba cómo responde su gente ante un correo que suplanta a un directivo, evalúa solo la mitad del problema.
- Empezar por el pentest cuando lo que falta es orden. Sin inventario de activos ni parches al día, un pentest le dirá lo que ya sospechas a un precio alto. Primero ordena la casa; después mídalo con una prueba real.
Qué tipos de prueba recomendamos para una empresa en Lima
No todas las empresas necesitan lo mismo. Esto es lo que en nuestra experiencia conviene según la operación:
- Superficie externa: todo lo publicado en internet —web, correo, VPN, accesos remotos—. Es el punto de partida mínimo para cualquier empresa con presencia digital.
- Aplicaciones críticas web y móviles: las que mueven dinero o datos sensibles —banca electrónica, billeteras, portales de clientes, e-commerce—. Se prueban como un atacante real las atacaría, incluida la lógica de negocio.
- APIs: si sus apps o integraciones con terceros hablan por APIs, esos endpoints deben probarse: los mal autorizados u olvidados son una fuente frecuente de filtraciones.
- Red interna: qué puede lograr un atacante que ya consiguió un acceso inicial, por ejemplo vía phishing. El movimiento lateral suele ser donde aparecen los accesos más dañinos.
- Ingeniería social controlada: phishing simulado contra sus propios empleados, para medir y corregir, no para señalar culpables.
- Caja gris con credenciales: para medir qué puede hacer un atacante con acceso legítimo limitado —un empleado descontento, un proveedor con credenciales.
Como frecuencia de referencia: evaluación anual de la superficie externa y de las aplicaciones críticas, más una prueba después de cada cambio mayor (migración a la nube, lanzamiento de una app, fusión). Siempre con re-tests que verifiquen el cierre de cada corrección.
Cómo trabaja DragonJAR en un pentesting
DragonJAR nació como comunidad de seguridad informática en 2001 y opera como empresa desde 2012, con experiencia en banca, hidrocarburos, automoción, salud, gobierno y telecomunicaciones. Así estructuramos cada ejercicio:
- Reglas de compromiso por escrito. Antes de tocar un solo sistema, firmamos qué está en alcance, qué está permitido y qué está prohibido, horarios y canales de comunicación. Es su protección legal —recuerde la Ley 30096— y la nuestra.
- Metodología explicada antes de firmar. Le decimos qué vamos a probar, en qué fases y con qué técnicas, en lenguaje que su equipo entiende.
- Hallazgos validados manualmente. Cada hallazgo se verifica manualmente: lo que llega a su informe es explotable de verdad, no ruido de un escáner.
- Informes con enfoque de negocio. Evidencia de explotación, riesgo traducido a impacto para su empresa y pasos de remediación accionables. Un informe que su directorio entiende y su equipo puede ejecutar.
- Re-tests ilimitados. Verificamos que cada corrección cerró efectivamente la vulnerabilidad, hasta que el ciclo queda cerrado con evidencia.
- Ética, transparencia y responsabilidad. Equipo identificable, acuerdo de confidencialidad y comunicación directa durante todo el ejercicio.
Conozca los servicios de seguridad informática de DragonJAR y pide una propuesta con alcance, metodología y tiempos definidos para su realidad en Lima.
Preguntas frecuentes sobre el pentesting o test de penetración en Lima
¿La Ley 29733 me obliga a hacer un pentest?
La ley no usa la palabra «pentest», pero obliga a adoptar medidas de seguridad para los datos personales y faculta a la Autoridad Nacional de Protección de Datos Personales a fiscalizar y sancionar. Un test de penetración es la evidencia técnica de que esas medidas funcionan ante un ataque real.
¿Cuánto tarda un pentest típico?
Depende del alcance. En nuestra experiencia: una superficie externa acotada, una semana; una aplicación web o móvil crítica, una a dos semanas; el programa completo de una entidad financiera, de tres a seis semanas. Desconfíe de quien prometa auditar «toda la empresa» en dos días.
¿El pentest va a tumbar mis sistemas en producción?
No, si está bien diseñado. Las pruebas se ejecutan bajo reglas de compromiso firmadas: ventanas horarias, sistemas incluidos y excluidos, y un canal directo con su equipo durante el ejercicio. Las pruebas más agresivas se programan en horarios de bajo tráfico y con monitoreo permanente.
¿Por qué no basta con el análisis de vulnerabilidades que ya corre mi equipo?
Porque son cosas distintas y complementarias. El análisis de vulnerabilidades identifica posibles debilidades de forma automatizada; el pentesting las explota como un atacante, encadena varias de bajo impacto hasta lograr acceso real y mide el daño. Si quiere formar a su equipo en la diferencia, revise la formación en pentesting de DragonJAR.
¿Cómo sé que el informe que me entregan es bueno?
Tres marcas: cada hallazgo crítico incluye evidencia de explotación, cada hallazgo está traducido a riesgo de negocio, y cada recomendación es accionable por su equipo técnico. Si el informe es un listado de un escáner sin pruebas de concepto, no es un pentest.
¿Cuánto cuesta un pentest en Lima?
Depende del alcance: cuántos activos, cuántas aplicaciones, cuántos días de prueba. Ningún proveedor serio cotiza sin conocer eso primero —el que da precio por teléfono sin preguntar el alcance probablemente le va a vender un escáner. Pida una propuesta técnica: alcance, metodología y tiempos por escrito antes de hablar de precio.
¿Su empresa en Lima necesita un pentest? Diagnóstico de 60 segundos
Respóndase esto con honestidad: ¿cuándo fue su última prueba de penetración —no un escáner, una prueba real con explotación—? ¿Sabe qué sistemas de su empresa están publicados a internet en este momento? ¿Qué aplicación, si se filtrara mañana, le costaría más a su negocio: en dinero, en multas de la Ley 29733, en reputación? Si alguna respuesta le incomoda, ya tiene el diagnóstico.
Y seamos directos sobre cuándo un pentesting no es lo que necesita: si no tiene inventario de activos ni parches al día, primero ordena eso; si solo busca tachar un checklist, un análisis de vulnerabilidades con remediación le sale más barato; y si su equipo no va a corregir lo que el informe encuentre, el pentest es un gasto, no una inversión. Un cliente que corrige es un cliente que vuelve.
Si el diagnóstico le dice que sí, el siguiente paso es simple: al llenar el formulario recibe, sin compromiso, el contacto de un consultor que entiende el contexto peruano, una propuesta técnica con alcance, metodología, tiempos y re-tests incluidos, y una conversación honesta sobre qué necesita probar y qué no.
Conclusión
El pentesting o test de penetración en Lima es una decisión de anticipación: descubrir sus vulnerabilidades con un equipo autorizado antes de que las descubra alguien sin autorización —como le pasó a una de las entidades financieras más grandes del país en octubre de 2024. Entre la concentración financiera de la capital, el comercio exterior del Callao y la presión de la Ley 29733 y la Ley 30096, las empresas limeñas tienen razones de negocio, regulatorias y de reputación para medirse. La pregunta ya no es si es un objetivo; es si va a conocer su exposición antes que el atacante.