El 10 de mayo de 2025, el CERT-PY empezó a recibir reportes. Cuando el MITIC publicó el balance, hablaba de 18 casos verificados y contenidos en instituciones públicas: trece defacements, tres accesos no autorizados y dos con captura de datos de identificación personal. El análisis posterior ubicó la brecha entre las más grandes de la historia del país: datos de más de 7,2 millones de ciudadanos —cédulas, domicilios, fechas de nacimiento, registros electorales— en manos de actores maliciosos. Si eso le pasó al Estado, la pregunta para una empresa de Asunción no es si está expuesta, sino si ya sabe por dónde. El Pentesting o test de penetración en Asunción responde exactamente eso: qué vería un atacante de tus sistemas, con evidencia, antes de que lo descubra él.
Tabla de Contenido
Por qué las empresas de Asunción son un objetivo rentable
Asunción es la capital de Paraguay y el principal centro comercial y financiero del país. Como sede de las principales instituciones bancarias, financieras y de servicios, concentra una parte importante de las operaciones económicas que sostienen el intercambio comercial paraguayo con la región.
La ciudad es un eje del comercio fronterizo y de las actividades de importación y exportación: empresas importadoras, distribuidoras y operadores logísticos gestionan desde Asunción mercancías, pagos y documentación que cruzan las fronteras con Argentina y Brasil. El comercio por medios electrónicos tiene además marco legal propio desde la Ley N.º 4868/2013 de Comercio Electrónico (Pasmor Abogados), lo que confirma que la contratación digital ya es parte estructural de la economía local. A ello se suma la presencia de industrias de maquila e industria liviana, que vinculan la producción local con cadenas de suministro regionales.
La banca y los servicios en Asunción atraviesan un proceso de digitalización creciente. Plataformas de banca electrónica, sistemas de gestión empresarial y canales digitales de atención al cliente se han convertido en herramientas de operación diaria para empresas de todos los tamaños, incluidas las pymes importadoras y exportadoras que dependen de sistemas informáticos para facturar, despachar y coordinar operaciones.
Para un atacante, ese perfil es atractivo por tres razones: hay dinero en movimiento constante, hay documentación que vale (órdenes de compra, datos de clientes, información aduanera) y hay muchas pymes operando con equipos de TI mínimos. En este contexto, la seguridad informática deja de ser un tema técnico secundario: es una condición para que el comercio, la banca y la industria de Asunción operen con continuidad y confianza.
Errores típicos que vemos en empresas de la región
En nuestra experiencia auditando empresas de este perfil, los mismos patrones se repiten. Revísalos con honestidad:
- Operaciones coordinadas por correo sin verificación. Pagos a proveedores, cambios de cuentas bancarias e instrucciones de despacho que se confirman por email, sin un segundo canal. Es el terreno perfecto para la suplantación de proveedores.
- Credenciales compartidas y accesos que nunca se revocan. Usuarios genéricos en los sistemas de gestión, exempleados con acceso activo meses después de irse, contraseñas que circulan por chat.
- Backups que existen pero nadie probó restaurar. El respaldo está, en teoría. El día que el ransomware cifra todo, descubren que la copia también estaba al alcance del atacante o que la restauración nunca se ensayó.
- Sistemas de gestión expuestos a internet sin parches al día. ERPs, paneles administrativos y accesos remotos publicados directamente, con versiones que acumulan vulnerabilidades conocidas.
- Confiar la detección solo al antivirus. Sin monitoreo, sin registro centralizado, sin nadie mirando los logs. El MITIC reportó en 2025 accesos no autorizados y alteraciones de sitios en organismos del Estado (MITIC): si eso pasa con equipos dedicados, imagina sin nadie vigilando.
Cada uno de estos puntos es barato de corregir después de un pentest y carísimo de descubrir después de un incidente.
Qué tipo de prueba conviene según tu operación
No todas las empresas necesitan lo mismo. Esta es la guía que usamos para definir el alcance con clientes de perfil comercial, financiero o industrial:
- Pentest a aplicaciones web y APIs: banca electrónica, tiendas en línea, portales de clientes y sistemas de facturación o despacho accesibles desde internet. Es donde vive el dinero y los datos.
- Pentest de red interna: qué puede hacer alguien una vez dentro —movimiento lateral, escalamiento de privilegios, acceso a los sistemas críticos—. Mide tu segmentación real, no la del diagrama.
- Phishing controlado: campañas simuladas contra el personal que autoriza pagos y maneja documentación sensible. El eslabón humano sigue siendo la vía de entrada más barata, y conviene medirlo antes que un atacante.
- Redes inalámbricas corporativas y de invitados, sobre todo en oficinas con alta rotación de visitas y proveedores.
- Revisión de configuraciones en la nube: permisos excesivos, almacenamiento expuesto y credenciales duras en código o repositorios.
- Ejercicio de respuesta ante ransomware: técnico y de mesa —¿qué se hace en las primeras 4 horas si cifran la gestión?— porque la diferencia entre un susto y un cierre está en el plan.
La normativa paraguaya ya cambió el tablero
Si tu empresa trata datos de personas en Paraguay, esto te toca directamente:
Ley N.º 7593/2025 de Protección de Datos Personales. Promulgada el 27 de noviembre de 2025, es la primera ley integral de protección de datos del país. Alcanza a cualquier organización, pública o privada, que trate datos personales; crea la Agencia Nacional de Protección de Datos Personales (ANPDP) dentro del MITIC con facultades de fiscalización y sanción; exige notificar brechas de seguridad en 72 horas; y prevé multas de 20 a 2.500 jornales mínimos por infracción común, hasta 5.000 en datos sensibles y hasta 10.000 en datos sensibles de niños, niñas y adolescentes. La vigencia plena llega en noviembre de 2027, tras 24 meses de adecuación (alerta legal de EY Paraguay; CiberLATAM).
Ley N.º 6534/2020 de Protección de Datos Personales Crediticios. Sigue plenamente vigente para la información de solvencia patrimonial: burós de crédito, bancos, financieras y comercios que manejen datos crediticios, bajo fiscalización del Banco Central del Paraguay (Pasmor Abogados).
Ley N.º 4868/2013 de Comercio Electrónico. Regula la contratación por medios electrónicos y convive con la nueva ley de datos (Pasmor Abogados).
La lectura práctica: la ventana de adecuación de dos años es el momento de ordenar la casa. Un pentest hoy no solo encuentra vulnerabilidades; genera la evidencia de diligencia que la ANPDP, un cliente corporativo o un socio extranjero van a pedir mañana.
Cómo trabaja DragonJAR
DragonJAR realiza pruebas de penetración autorizadas con reglas de compromiso definidas por escrito junto a tu equipo: alcance, ventanas de prueba, canales de comunicación y criterios de parada. Nada se prueba sin autorización explícita y nada se interrumpe sin aviso.
Cada ejercicio entrega un informe accionable, priorizado por impacto real en el negocio, con pasos de reproducción y recomendaciones concretas que tu equipo técnico puede aplicar de inmediato —y que tu abogado o tu contador pueden entender cuando toque demostrar diligencia—. Los servicios de seguridad informática de DragonJAR incluyen re-tests ilimitados para verificar que cada hallazgo quedó efectivamente cerrado, y los reportes se entregan sin falsos positivos: lo que está en el informe fue explotado y verificado. Detrás hay una comunidad de seguridad informática fundada en 2001 y una empresa operando desde 2012, con un equipo que trabaja con ética, transparencia y responsabilidad.
Si tu empresa en Asunción mueve mercancías, dinero o datos por sistemas digitales, el primer paso es saber qué vería un atacante. Completa el formulario: te contacta un especialista, conversan sobre tu operación y recibes una propuesta de alcance ajustada a tu realidad, sin compromiso.
Preguntas frecuentes sobre el pentesting o test de penetración en Asunción
La Ley 7593 entra en vigencia plena en 2027, ¿por qué hacer un pentest ahora?
Porque la adecuación lleva tiempo y la evidencia de diligencia se construye antes, no después. Un pentest hoy te deja el inventario de brechas, el plan de corrección y los re-tests verificados; cuando la ANPDP empiece a fiscalizar —o cuando un cliente te pida demostrar tus controles— ya tendrás el trabajo hecho en lugar de una carrera contra el reloj.
¿Qué sistemas de una importadora o distribuidora entran en el alcance?
Los que sostienen la operación: el sistema de gestión y facturación, el correo corporativo, los accesos remotos, la web y cualquier portal donde clientes o proveedores consulten pedidos, precios o documentación. Se define contigo en la propuesta; nada entra al alcance sin tu aprobación escrita.
¿Cuánto dura un pentest y qué tengo que preparar?
Depende del alcance, pero para una pyme comercial típica hablamos de días a pocas semanas de pruebas, más el informe y el re-test. De tu lado se necesita una contraparte técnica disponible, las ventanas de prueba acordadas y la lista de sistemas autorizados. Nosotros nos encargamos del resto.
¿Pueden romper algo en producción?
Un ejercicio profesional está diseñado para no hacerlo: reglas de compromiso por escrito, ventanas acordadas, exclusión de ataques de denegación de servicio salvo pacto expreso y un canal directo con tu equipo durante toda la prueba. Si algo se comporta de forma inesperada, se detiene y se avisa.
¿El informe me sirve frente a mi abogado, mi contador o un cliente corporativo?
Sí, y esa es una de sus funciones. El informe documenta qué se probó, qué se encontró, qué se corrigió y cómo se verificó el cierre: es evidencia de gestión de riesgos que sirve para cumplimiento normativo, para responder cuestionarios de seguridad de clientes y para sustentar decisiones de inversión ante la dirección.
Evalúa la seguridad de tu empresa en Asunción con DragonJAR
Asunción concentra el comercio, la banca y la industria que mueven la economía paraguaya, y 2025 dejó dos mensajes claros: los ataques a gran escala ya llegaron al país y la regulación de datos personales ya es ley. Probar tus sistemas antes de que lo haga un atacante —o un auditor— es la forma más directa de llegar preparado a 2027.
Completa el formulario y recibe una propuesta de alcance para tu empresa en Asunción: qué se probaría, cómo, en cuánto tiempo y qué recibirías al final. Sin compromiso y sin letra pequeña.
Conclusión
El pentesting o test de penetración en Asunción es la diferencia entre suponer que tus sistemas aguantan y saberlo con evidencia. Entre la ola de incidentes que el propio MITIC tuvo que contener y una ley de protección de datos que ya corre su cuenta regresiva, las empresas que se prueban hoy son las que operan tranquilas mañana.