Descubra lo que un atacante vería en su empresa en Perú, antes de que lo explote.
Ethical Hacking real para empresas de Perú: simulamos ataques con las mismas técnicas que usaría un adversario, con hallazgos priorizados por riesgo real y retest de las correcciones.
En octubre de 2024, Interbank —uno de los principales bancos del Perú— sufrió uno de los incidentes más sonados de la banca latinoamericana reciente: un atacante afirmó haber extraído 3,7 TB de datos de unos tres millones de clientes y exigió un pago de US$ 4 millones para no liberarlos (el banco nunca dio cifras propias, así que lo único verificable es lo que el atacante publicó) (Computer Weekly).
El caso sirve para entender por qué el Ethical Hacking en Perú no es un lujo corporativo: cuando ni la infraestructura de un banco grande resiste, la pregunta para cualquier empresa peruana que maneje datos de clientes es directa — ¿qué vería un atacante si apuntara a sus sistemas hoy? Este artículo responde eso por sectores: qué amenaza a cada industria del país, qué debe cubrir un ejercicio serio y qué regulación le obliga a hacerlo bien.
En resumen: DragonJAR SAS, empresa colombiana de seguridad informática ofensiva con sede en Manizales (comunidad desde 2001, empresa desde 2012), realiza ethical hacking real para empresas de Perú, con informes ejecutivo y técnico en español, priorizados por riesgo de negocio, y retest de las correcciones.
Tabla de Contenido
Lima: contexto económico y superficie digital
Lima, capital del Perú, es el centro financiero, empresarial y de servicios del país: concentra la banca, las aseguradoras, las telecomunicaciones y una creciente industria de servicios tercerizados y comercio electrónico. A esto se suma el peso del sector minero y de hidrocarburos, que opera con infraestructura tecnológica distribuida entre la capital y las zonas de operación.
Esta combinación —finanzas y servicios centralizados en Lima, más operaciones industriales críticas en regiones— genera una superficie digital amplia y heterogénea: plataformas de banca en línea, sistemas de gestión minera, redes corporativas extendidas y cadenas de proveedores que deben protegerse de forma coordinada. En nuestra experiencia, ese es el patrón que más se repite en empresas peruanas: la sede en Lima está razonablemente cuidada, pero las operaciones regionales, los proveedores y las integraciones quedaron fuera del radar.
La amenaza local: lo que está pasando en el Perú
Los números del Ministerio Público son claros: las denuncias por delitos informáticos contra el patrimonio —principalmente fraude mediante dispositivos móviles— pasaron de 6.194 entre enero y marzo de 2025 a 7.829 en el mismo periodo de 2026, un alza del 26,4% (Computer Weekly). Kaspersky registró 92 intentos de ransomware por día en el Perú durante 2025 y más de 18 mil ataques bancarios bloqueados en el último año.
Y los casos tienen nombre. Además del incidente de Interbank de octubre de 2024, se reportó una afectación que alcanzó a unos 22 millones de usuarios de Telefónica, y el grupo de ransomware Rhysida atacó al Estado peruano exigiendo 5 BTC (Computer Weekly). En octubre de 2026, la propia Superintendencia de Banca, Seguros y AFP confirmó haber sido notificada por Interseguro sobre una presunta filtración de datos, con investigación en curso (The News). Incluso el sector público quedó expuesto desde adentro: entre enero y marzo de 2025, una empleada del Ministerio del Interior realizó más de 430.000 consultas diarias en la base de datos del Reniec; el Reniec bloqueó el acceso, denunció ante la Fiscalía de Ciberdelincuencia y ante la Autoridad Nacional de Protección de Datos Personales (CentralTV / Perú21).
El patrón es consistente: el atacante ya no busca solo vulnerabilidades técnicas, usa datos reales filtrados para construir engaños creíbles. El phishing dirigido y el fraude por compromiso de correo empresarial (BEC) apuntan a interceptar pagos y contratos, mientras el ransomware amenaza la continuidad de operaciones críticas.
Superficie de ataque por sector en el Perú
Banca, fintech y medios de pago. Banca en línea, billeteras digitales y pasarelas de pago concentran el fraude: troyanos bancarios en móviles, relleno de credenciales y ataques a la lógica de negocio de las aplicaciones. La regulación de la SBS está elevando el estándar de lo que se espera de estas entidades.
Minería e hidrocarburos. Operaciones con infraestructura distribuida entre Lima y las zonas de operación, y convergencia entre tecnología de la información (TI) y tecnología operativa (OT). Un ataque que salte de la red corporativa a los sistemas de control no es un incidente de TI: es una parada de planta.
Retail y comercio electrónico. Bases de datos con información personal y medios de pago, promociones abusables por bots, y plataformas que procesan miles de transacciones diarias. Una filtración aquí deriva en fraude secundario, suplantación de identidad y sanciones por la ley de protección de datos.
Agroindustria y servicios. Cadenas de suministro digitalizadas, sistemas de gestión comercial y portales de proveedores. El caso del Mininter muestra que la amenaza también viene de adentro: accesos legítimos mal usados son tan peligrosos como un atacante externo.
Salud y educación. Datos sensibles por definición —historias clínicas, información de menores— con presupuestos de seguridad típicamente menores. Son objetivos atractivos para la extorsión precisamente porque no pueden permitirse estar caídos.
Qué debe cubrir un ethical hacking en el Perú
Un ejercicio serio no es «probar la página web». Para la realidad peruana, el alcance mínimo debería incluir:
- aplicaciones web y móviles, con énfasis en la lógica de negocio: manipulación de flujos de pago, sesiones, autorizaciones. Es donde el fraude se materializa.
- APIs e integraciones con pasarelas de pago, proveedores y corresponsales. La cadena de suministro es vector de entrada, no un detalle.
- Infraestructura expuesta a internet, descubierta activamente: en nuestra experiencia, siempre aparece algún servicio publicado que el inventario interno no registraba.
- Ingeniería social: phishing dirigido a su personal con escenarios reales del país (suplantación de entidades, bonos, trámites). El eslabón humano es donde los datos filtrados se convierten en acceso.
- Segmentación TI/OT si opera industria: validar que un compromiso de la red corporativa no alcance los sistemas de control.
- Revisión de exposición de datos personales: qué información de clientes quedaría expuesta ante una brecha y si sus controles cumplen la Ley 29733.
Cada hallazgo debe entregarse con evidencia de explotación real y priorizado por impacto al negocio, y las correcciones deben verificarse con re-tests, no asumirse. El pentesting y el análisis de vulnerabilidades son complementarios: el escáner lista sospechas, el ejercicio las confirma explotándolas como lo haría un atacante.
La normativa peruana que aplica
La Ley N° 29733, Ley de Protección de Datos Personales (publicada en El Peruano el 3 de julio de 2011) impone a quien administre un banco de datos el deber de adoptar las medidas técnicas, organizativas y legales necesarias para proteger esos datos, y reconoce al titular derechos de información, acceso, rectificación, cancelación y oposición. La autoridad de control es la Autoridad Nacional de Protección de Datos Personales, adscrita al Ministerio de Justicia (texto de la ley). Una filtración de su base de clientes no es solo un incidente técnico: es un incumplimiento sancionable.
En el plano penal, la Ley N° 30096, Ley de Delitos Informáticos (publicada el 22 de octubre de 2013) sanciona el acceso ilícito a sistemas (1 a 4 años), el atentado contra la integridad de datos y sistemas (3 a 6 años), el fraude informático, la interceptación de datos y la suplantación de identidad (texto de la ley). Contratar un ethical hacking es legal precisamente porque se ejecuta con autorización expresa y alcance definido: esa es la línea que separa al profesional del delincuente.
Y el sector financiero tiene un frente regulatorio en movimiento: la SBS aprobó la Resolución N° 01741-2026, que obliga a las empresas del sistema financiero a aplicar la normativa de seguridad de la información y ciberseguridad en la celebración y ejecución de contratos con usuarios, incluyendo la comunicación de incidentes de ciberseguridad significativos por medios de difusión masiva dentro de las 24 horas de conocidos, y directamente a los clientes afectados en 10 días hábiles. La norma entra en vigencia en julio de 2027 (CiberLATAM). Además, la SBS abrió a consulta pública un esquema único de reporte de incidentes operacionales y de ciberseguridad. El mensaje del regulador es inequívoco: la seguridad deja de ser un asunto interno para convertirse en una obligación frente al cliente y al supervisor.
Evalúe la seguridad de su empresa en Lima
Si su empresa opera en el sector financiero, minero o de servicios en el Perú, un ethical hacking profesional le revela las vulnerabilidades reales de sus sistemas antes de que un atacante las aproveche. Conocer su nivel de exposición es el primer paso para proteger sus activos digitales.
DragonJAR es una empresa de seguridad informática con comunidad activa desde 2001, constituida como empresa en 2012 y organizadora de la DragonJAR Security Conference anual, reconocida como una de las comunidades más influyentes en seguridad informática de habla hispana (djar.me/top). Cada ejercicio incluye alcance definido por escrito, informe con evidencia de explotación enfocado en el valor del negocio, hallazgos validados manualmente y re-tests ilimitados para confirmar el cierre de cada vulnerabilidad.
Qué pasa cuando llena el formulario: recibe el contacto de un consultor que entiende el contexto peruano, una propuesta técnica con alcance, metodología y tiempos adaptados a su sector —banca, minería, retail o servicios—, y una conversación honesta sobre qué necesita y qué no. Sin compromiso.
Conozca los servicios de seguridad informática de DragonJAR y solicite una evaluación adaptada a la realidad de su empresa en el Perú.
Preguntas frecuentes sobre el ethical hacking en Perú
¿La Ley 29733 me obliga a hacer un ethical hacking?
La ley no usa la palabra «ethical hacking», pero impone el deber de adoptar medidas técnicas, organizativas y legales para proteger los datos personales, bajo sanción de la Autoridad Nacional de Protección de Datos Personales. Un ejercicio de hacking ético es la forma de demostrar —ante el regulador, sus clientes y su directorio— que esas medidas resisten un ataque real y no solo existen en un documento.
¿Necesito autorización legal para que alguien «hackee» mis sistemas?
Sí, y es justamente lo que distingue al ethical hacking del delito: la Ley 30096 sanciona el acceso ilícito a sistemas informáticos, por lo que todo ejercicio serio se ejecuta bajo un contrato con autorización expresa, alcance definido y reglas de compromiso firmadas. Sin esos documentos, no hay ejercicio legítimo.
¿Qué pasa si durante el ejercicio encuentran una brecha real?
Se reporta de inmediato a su contacto designado para que contenga el riesgo, y luego se documenta en el informe. Tenga presente además el estándar que viene: la SBS exigirá a las entidades financieras comunicar incidentes significativos por medios masivos dentro de las 24 horas. Su plan de respuesta a incidentes debe estar listo antes del ejercicio, no después.
¿El ethical hacking interrumpe la operación de mi empresa?
No, si está bien diseñado. Se definen ventanas horarias, sistemas incluidos y excluidos, y canales de comunicación directa con su equipo. En minería e industria, las pruebas que tocan entornos cercanos a operación se planifican con especial cuidado y monitoreo permanente. Un proveedor serio jamás deja un sistema caído sin aviso.
¿Cada cuánto debería repetirse el ejercicio?
Como mínimo una vez al año, y siempre después de cambios relevantes: lanzamiento de una app o portal nuevo, migración a la nube, integración con un proveedor crítico o un incidente de seguridad. En banca y e-commerce, donde la superficie cambia cada mes, muchas empresas lo programan semestralmente.
¿El informe me sirve frente a la SBS o ante un auditor?
Sí. Un informe bien estructurado documenta metodología, alcance, reglas de compromiso, hallazgos con evidencia de explotación y verificación de cierre con re-tests. Esa es la evidencia técnica que un regulador o un auditor espera ver como parte de su gestión de riesgos de seguridad de la información.
¿Cuánto cuesta y cuánto tarda un ethical Hacking en Perú?
Depende del alcance: cuántas aplicaciones, APIs, direcciones IP o sedes entran, la profundidad de la prueba y las ventanas disponibles. El costo y el plazo se confirman en la propuesta que recibe tras solicitarla. Solicitar cotización.
Conclusión
El ethical hacking en Perú dejó de ser una práctica de empresas grandes para convertirse en una necesidad operativa: las denuncias por ciberdelito crecen más del 26% interanual, los atacantes usan datos reales filtrados para engañar a su personal y a sus clientes, y la regulación —Ley 29733, Ley 30096 y las nuevas exigencias de la SBS— convierte la seguridad en una obligación frente al cliente y al supervisor. El caso Interbank demostró que el tamaño no protege; lo que protege es saber, antes que el atacante, por dónde entraría. Un ejercicio bien definido le entrega exactamente eso: sus vulnerabilidades reales, priorizadas por impacto, con evidencia y con la verificación de que quedaron cerradas.