Descubra lo que un atacante vería en su empresa en México, antes de que lo explote.
Ethical Hacking real para empresas de México: simulamos ataques con las mismas técnicas que usaría un adversario, con hallazgos priorizados por riesgo real y retest de las correcciones.
En abril de 2018, tres bancos, una casa de bolsa y una caja de ahorro mexicanas detectaron operaciones que no reconocían en el sistema de pagos interbancarios. El Banco de México terminó confirmando el desvío de alrededor de 300 millones de pesos en transferencias fraudulentas.
Lo revelador del caso es que la plataforma del SPEI no fue vulnerada: los atacantes entraron por los sistemas de los propios participantes, por conexiones y proveedores con controles débiles. Ese es exactamente el tipo de ruta que un Ethical Hacking está diseñado para encontrar antes que ellos.
Ese incidente resume por qué el ethical hacking en México no es un lujo ni un trámite de cumplimiento: es la única forma de responder una pregunta incómoda con evidencia. Si a esos atacantes les tomó semanas moverse dentro de instituciones reguladas y auditadas, ¿qué encontraría hoy alguien con las mismas capacidades dentro de su empresa? Un programa de ethical hacking pone a un equipo a pensar y actuar como un adversario real —con su permiso, con reglas claras— para decirle qué rompería primero y cómo cerrarlo antes de que lo haga otro.
En resumen: DragonJAR SAS, empresa colombiana de seguridad informática ofensiva con sede en Manizales (comunidad desde 2001, empresa desde 2012), realiza ethical hacking real para empresas de México, con informes ejecutivo y técnico en español, priorizados por riesgo de negocio, y retest de las correcciones.
Tabla de Contenido
Por qué las empresas en México están en la mira
La Ciudad de México concentra en un solo mapa lo que todo atacante busca: las sedes de los principales bancos, la Bolsa Mexicana de Valores, aseguradoras, corporativos multinacionales y un ecosistema fintech en expansión.
A eso se suma el impulso del nearshoring, que trajo plantas manufactureras, centros de distribución y cadenas de proveeduría interconectadas con Estados Unidos. Banca, manufactura, comercio exterior y retail mueven dinero, datos personales y operación crítica, y comparten proveedores y sistemas de pago.
Los números acompañan la intuición. Durante el primer semestre de 2024, México concentró 31 mil millones de intentos de ciberataques, el 55 por ciento de todos los registrados en América Latina, según la telemetría de FortiGuard Labs en el reporte de Fortinet sobre el panorama de amenazas.
El phishing y el malware distribuido en documentos de ofimática fueron los métodos más usados, mientras el ransomware se volvió más selectivo: dirigido a objetivos concretos, con la manufactura, la salud, el transporte y la logística entre los sectores más golpeados.
Errores que vemos una y otra vez en empresas mexicanas
Después de años evaluando organizaciones de la región, los patrones se repiten. El primero es confundir cumplimiento con seguridad: pasar una auditoría no significa resistir un ataque. El segundo es la superficie olvidada: portales de proveedores, ambientes de pruebas expuestos a internet, accesos VPN sin doble factor y respaldos que nadie ha intentado restaurar. El tercero es el factor humano sin entrenar: el phishing dirigido y el fraude por compromiso de correo electrónico siguen siendo la puerta de entrada más barata para interceptar pagos de comercio exterior y robar credenciales de banca empresarial.
El cuarto error, muy ligado al momento que vive el país, es la cadena de suministro. Su seguridad termina donde empieza la de su proveedor más débil, y los atacantes lo saben. Un ransomware que paraliza una planta o un operador logístico no solo cifra archivos: detiene líneas de producción, retrasa embarques y rompe compromisos contractuales con clientes en Estados Unidos. Por eso una evaluación seria tiene que incluir terceros, accesos remotos y la exposición de la infraestructura en la nube, no solo el perímetro de su oficina.
Ethical hacking no es lo mismo que un pentest: cuándo conviene cada uno
Vale la pena aclararlo porque no son lo mismo. Un pentest o prueba de penetración es una evaluación puntual con alcance definido: se prueba una aplicación, una red o un segmento durante un periodo acotado, se explotan vulnerabilidades y se entrega un informe. Es la herramienta correcta cuando va a lanzar un producto, cuando un cliente o un auditor le pide evidencia con una fecha concreta, o cuando necesita validar un cambio grande en su infraestructura.
El ethical hacking, en cambio, es el programa amplio: incluye Pentesting, pero suma red team —operaciones prolongadas que emulan a un adversario real sin avisar al equipo defensivo—, ingeniería social, OSINT sobre la información que su empresa ya expone en internet, y revisión continua. Si el pentest responde qué vulnerabilidades tiene hoy, el ethical hacking responde qué haría un atacante real contra su organización durante semanas, incluyendo a su gente y sus procesos.
La regla práctica es simple: si necesita una fotografía con fecha para un lanzamiento, una licitación o un requerimiento puntual, pide un pentest. Si quiere saber dónde está parado de verdad frente al cibercrimen que opera en México todos los días, necesita el programa amplio. Muchas empresas empiezan con el pentest y, al leer el informe, entienden que el problema es más grande que una sola aplicación.
Qué cubre un programa de ethical hacking bien planteado
Un programa serio no es un escaneo automatizado con portada bonita. En nuestra experiencia, el alcance mínimo que aporta valor real combina reconocimiento OSINT, pruebas de intrusión externas e internas, ingeniería social dirigida al personal, evaluación de la superficie en la nube y de los accesos de terceros, y una ventana de operación de red team cuando la madurez de la empresa lo permite. Todo bajo reglas de enfrentamiento firmadas: qué se puede tocar, en qué horarios y cómo se detiene la prueba si algo afecta la operación.
La normativa que sí aplica en México, actualizada a 2026
La referencia a la ley de 2010 ya no cuenta la historia completa. El 20 de marzo de 2025 se publicó en el Diario Oficial de la Federación una nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares, vigente desde el 21 de marzo, que abroga la de 2010. La autoridad ya no es el INAI —extinto tras la reforma constitucional de diciembre de 2024— sino la Secretaría de Anticorrupción y Buen Gobierno, como explica el análisis de EY sobre la nueva LFPDPPP. La obligación de implementar medidas de seguridad administrativas, técnicas y físicas sigue vigente, y un programa de ethical hacking documentado es una de las evidencias más sólidas de diligencia que una empresa puede presentar.
En el sector financiero la presión es mayor. Las Disposiciones de carácter general de la CNBV aplicables a las instituciones de crédito obligan a reportar de inmediato los incidentes de seguridad de la información, y la Ley para Regular las Instituciones de Tecnología Financiera —publicada en 2018, la primera ley integral fintech de América Latina— somete a estas instituciones a la supervisión de CNBV, Banxico, CONDUSEF y la UIF, como resume la guía sobre la Ley Fintech. Y un dato honesto que conviene decir en voz alta: a la fecha no existe una Ley Federal de Ciberseguridad vigente en México; la iniciativa presentada en el Senado en abril de 2025 sigue en comisiones sin dictamen, según el seguimiento actualizado a agosto de 2026. Nadie puede venderle cumplimiento contra una ley que aún no existe.
Cómo trabaja DragonJAR un ethical hacking en México
DragonJAR nació como comunidad en 2001 y opera como empresa desde 2012. En el camino recibió reconocimientos como el premio Cóndor al Mejor Liderazgo Emprendedor y Born to be Global, y su equipo figura en el top 100 mundial de hackers en plataformas especializadas. Más allá de los reconocimientos, lo que define el trabajo es operativo: re-tests ilimitados hasta verificar que cada hallazgo quedó cerrado, informes con hallazgos validados manualmente —cada vulnerabilidad reportada fue explotada o verificada manualmente— y recomendaciones priorizadas por riesgo para el negocio, no por severidad técnica abstracta.
Antes de decidir, hágase estas preguntas: ¿cuándo fue la última vez que alguien intentó entrar a sus sistemas con su permiso? Si mañana un atacante consiguiera las credenciales de su director financiero, ¿cuánto tardaría en notarlo? ¿Sus respaldos se probaron este año? Si alguna respuesta le incomoda, ya sabe por dónde empezar. Revise los servicios de seguridad informática de DragonJAR y pide una conversación técnica para dimensionar su caso.
Preguntas que nos hacen los compradores en México
¿Necesitamos un pentest puntual o un programa de ethical hacking?
Depende de lo que necesite demostrar. Si un cliente, un auditor o un lanzamiento le exige evidencia con fecha de una aplicación o una red concreta, el pentest puntual es suficiente. Si lo que le preocupa es el riesgo real —qué haría un atacante con tiempo, incluyendo a su personal y sus proveedores—, necesita el programa amplio. En la práctica, muchas empresas combinan ambos: pentest para los hitos y ethical hacking como programa continuo.
¿El ethical hacking sirve como evidencia ante reguladores?
Un informe de ethical hacking documenta diligencia técnica: demuestra que identificó riesgos, los priorizó y los corrigió, con re-tests que lo prueban. Eso es útil frente a la Secretaría de Anticorrupción y Buen Gobierno en materia de datos personales y alimenta la gestión de incidentes que la CNBV exige a las instituciones financieras. Lo que no hace es sustituir asesoría legal ni garantizar cumplimiento por sí solo: úselo como pieza de su programa de seguridad, no como escudo jurídico.
¿Cuánto dura y qué necesita de nuestro equipo?
Un pentest puntual toma de días a semanas; un programa de ethical hacking con red team e ingeniería social se mide en semanas o meses, según el tamaño de la organización. De su lado se necesita un patrocinador con capacidad de decisión, reglas de enfrentamiento firmadas y ventanas de prueba acordadas. Bien planificado, no interrumpe la operación: las pruebas sensibles se ejecutan fuera de horario pico y existe un canal directo para detener cualquier prueba si algo afecta el negocio.
¿Qué pasa después de recibir el informe?
El informe es la mitad del trabajo. Cada hallazgo llega con evidencia de explotación, impacto para el negocio y pasos concretos de remediación, priorizados por riesgo. Cuando su equipo aplica las correcciones, se ejecutan re-tests ilimitados para verificar el cierre real.
¿Trabajan con empresas fuera de la Ciudad de México?
Sí. Buena parte del trabajo —reconocimiento, pruebas externas, ingeniería social remota— se ejecuta a distancia con la misma rigurosidad, y las fases que requieren presencia se coordinan en sitio. Operamos con empresas en la capital, en el corredor industrial del norte y el Bajío.
¿Cuánto cuesta y cuánto tarda un ethical Hacking en México?
Depende del alcance: cuántas aplicaciones, APIs, direcciones IP o sedes entran, la profundidad de la prueba y las ventanas disponibles. El costo y el plazo se confirman en la propuesta que recibe tras solicitarla. Solicitar cotización.
Evalúe la seguridad de su empresa en Ciudad de México
Si su empresa opera en Ciudad de México, en el corredor industrial del norte o en cualquier punto del país, el primer paso no es comprar más herramientas: es saber dónde está parado. Una evaluación técnica independiente le muestra qué vería un atacante real de su organización esta semana, con evidencia verificada y sin humo. Ese diagnóstico es el que permite decidir con datos si necesita un pentest puntual o un programa amplio de ethical hacking.
Al llenar el formulario recibe una llamada de un especialista para dimensionar su caso: alcance recomendado, tiempos estimados y qué esperar de cada fase, sin compromiso. Si después de esa conversación decide no hacer nada, al menos sabrá qué preguntas hacerle a su equipo interno. DragonJAR lleva más de dos décadas en seguridad ofensiva: úsela a su favor antes de que otro la use en su contra.