Pentesting continuo en el Perú

Por qué las empresas del Perú son objetivo

El Perú no aparece en el mapa del cibercrimen por casualidad. El análisis de ESET sobre el mapa del cibercrimen en América Latina ubica al país en el primer lugar de actividad de malware en la región, por encima de México, Argentina, Brasil y Colombia, y señala que en varios casos el Perú fue el punto inicial de campañas que luego se propagaron a otros países (altagamape.com).

La composición de la amenaza lo confirma. En los ESET Security Days 2025 se presentó que, en el Perú, el phishing representa el 34% de las detecciones, seguido por los infostealers (16%) —malware que roba credenciales e información bancaria sin dejar rastro— y el ransomware (14%) (informeactual.com). Además, el país concentra el 6% de las detecciones globales de ataques con la técnica ClickFix, usada para robar credenciales (pressperu.com). Y el sector financiero está en la mira: el phishing afectó al 79,6% de las organizaciones bancarias encuestadas en la región (ESET Security Report).

Minería con sistemas de gestión y operación conectados, banca con miles de usuarios en canales digitales, agroexportación y logística moviéndose por el Callao las 24 horas, telecomunicaciones y un Estado que digitaliza trámites: cada uno de esos sectores opera plataformas que no se detienen, y por eso acumulan cambios —despliegues, integraciones, nuevos módulos— que introducen vulnerabilidades entre una prueba anual y la siguiente. Esa es la brecha que el modelo continuo está diseñado para cerrar.

Perú: minería, banca y agroexportación con operación digital permanente

El Perú concentra su actividad económica en la minería, la banca y los servicios financieros, la agroexportación y el comercio exterior a través del puerto del Callao y la capital Lima. Las empresas peruanas —mineras, bancos, agroexportadoras y operadoras logísticas— dependen de plataformas digitales que operan de forma continua: banca en línea con miles de usuarios, sistemas de gestión minera y portuaria, y plataformas de comercio exterior que negocian con contrapartes en todo el mundo las 24 horas.

Ese perfil exige validación continua, no puntual: las plataformas que nunca se detienen acumulan cambios que introducen vulnerabilidades entre una prueba y otra. Un pentesting continuo valida de forma recurrente que esos entornos resistan ataques reales a medida que evolucionan, algo crítico donde una intrusión en banca en línea, en sistemas mineros o en plataformas logísticas compromete fondos, operaciones o datos de miles de clientes y proveedores.

Errores típicos que se ven en la región

Trabajando con empresas de operación continua aparecen los mismos patrones, una y otra vez:

• Desplegar sin revalidar: la aplicación se probó hace ocho meses; desde entonces salieron doce versiones. Cada una pudo introducir una falla nueva que nadie verificó.
• Credenciales y accesos sin control: cuentas de servicio con contraseñas débiles, accesos de proveedores y contratistas que nadie revisa, y ausencia de autenticación multifactor en accesos remotos.
• APIs expuestas sin el mismo rigor que la web: la app móvil y las integraciones con terceros consumen APIs que nunca pasaron por una prueba de intrusión.
• Segmentación débil: la red corporativa y los sistemas operativos o de planta se tocan más de lo que el diagrama dice, y un atacante que entra por una oficina puede moverse lateralmente.
• Phishing sin entrenamiento medido: el personal recibe charlas, pero nadie ha medido cuántos caerían ante una campaña real dirigida.
• Respaldos que nadie probó a restaurar: existen en el papel; ante un ransomware de doble extorsión se descubre que no sirven.

Ninguno de estos errores se corrige con una prueba anual. Se corrigen con validación recurrente y con la disciplina de volver a probar después de cada corrección.

Tipos de prueba recomendados para un programa continuo

Un programa de pentesting continuo combina ciclos profundos periódicos con validación permanente entre ciclos. Según el sector, los componentes recomendados son:

• Pentesting de aplicaciones web y APIs: banca en línea, portales de clientes, plataformas de comercio exterior y las APIs que consumen las apps móviles. Es el núcleo del programa: lo que está expuesto a internet se prueba en cada ciclo.
• Pentesting de aplicaciones móviles: apps bancarias y de servicios, con revisión de almacenamiento local, comunicaciones y lógica de negocio en el cliente.
• Infraestructura y nube: validación recurrente de la superficie expuesta —puertos, servicios, configuraciones— que cambia con cada despliegue o migración.
• Ingeniería social y phishing simulado: campañas controladas y periódicas contra el personal, con medición de resultados ciclo a ciclo para verificar que la capacitación funciona.
• Pruebas a redes inalámbricas y accesos remotos: oficinas, plantas y sedes con conectividad que crece sin inventario centralizado.
• Re-test continuo: cada vulnerabilidad corregida se vuelve a probar. Sin esta pieza, el programa es solo una lista de hallazgos; con ella, es una mejora medible.

La diferencia entre este modelo y el pentest anual es el calendario: aquí la prueba se sincroniza con sus despliegues y sus cambios, no con el aniversario del contrato.

Cómo trabaja DragonJAR: el modelo continuo

DragonJAR nació como comunidad de seguridad informática en 2001 y opera como empresa desde 2012, ejecutando pruebas de intrusión para empresas en América Latina. En el modelo continuo, el trabajo se organiza en ciclos de prueba recurrentes alineados con sus ventanas de despliegue: se acuerda el alcance por ciclo —qué aplicaciones, qué infraestructura, qué vectores—, se ejecuta la prueba, se entrega el informe y se re-testea cada corrección antes del siguiente ciclo.

• Re-test ilimitados: cada vulnerabilidad corregida se verifica de nuevo. En un programa continuo, esta es la pieza que convierte hallazgos en riesgo realmente reducido.
• Hallazgos validados: lo reportado fue explotado de forma controlada. Su equipo remedia sobre hechos, no sobre sospechas del escáner.
• Informes en español, orientados al negocio: hallazgos priorizados por riesgo con evidencia, recomendaciones prácticas y seguimiento ciclo a ciclo para que la dirección vea la evolución.
• Confidencialidad contractual: acuerdos de confidencialidad y manejo estricto de la información en cada proyecto.
• Cobertura remota y presencial: ejecución remota para los ciclos recurrentes y presencia en sitio cuando el alcance —plantas, sedes, revisiones físicas— lo requiere.

Vale la pena distinguir este modelo del análisis de vulnerabilidades: el escaneo automatizado es un buen insumo entre ciclos —detecta debilidades conocidas rápido—, pero no demuestra impacto. El pentesting continuo es manual y adversarial en cada ciclo: intenta explotar, encadenar fallas y responder la única pregunta que importa, si un atacante real podría llegar a sus datos o detener su operación con lo que cambió desde la última prueba.

Normativa aplicable en el Perú

El Perú tiene uno de los marcos más desarrollados de la región, y varias de sus normas empujan directamente hacia la validación periódica.

La Ley No. 29733, Ley de Protección de Datos Personales (2011), reglamentada por el Decreto Supremo 003-2013-JUS, impone a quienes administran bancos de datos el deber de adoptar las medidas técnicas, organizativas y legales necesarias para garantizar su seguridad, y reconoce a los titulares los derechos de información, acceso, rectificación, cancelación y oposición. La Autoridad Nacional de Protección de Datos Personales supervisa su cumplimiento (Manual de la Defensoría del Pueblo).

En lo penal, la Ley No. 30096, Ley de Delitos Informáticos (2013), modificada por la Ley 30171 (2014), tipifica el acceso ilícito, el atentado contra la integridad de datos y sistemas, y el fraude informático, entre otros. En enero de 2026 el Decreto Legislativo 1700 incorporó el artículo 12-A: la adquisición, posesión y tráfico ilícito de datos informáticos, credenciales o bases de datos personales se sanciona con cinco a ocho años de prisión (LP Derecho).

Para el sector público y sus proveedores, el Decreto Legislativo 1412, Ley de Gobierno Digital (2018), define la seguridad digital como el estado de confianza en el entorno digital y exige que los servicios digitales se presten en condiciones seguras. Y en el sistema financiero, la Resolución SBS N° 01741-2026 (publicada en El Peruano el 2 de julio de 2026) obliga a bancos, cajas y financieras a comunicar por medios masivos, dentro de las 24 horas, los incidentes de ciberseguridad significativos que afecten a sus usuarios, y a notificar directamente a los clientes afectados en 10 días hábiles (andina.software). La norma entra en vigencia a los 360 días de publicada: el estándar regulatorio ya apunta a detección y respuesta rápidas, y un programa continuo es la forma operativa de estar a la altura.

Como en toda prueba autorizada: el pentesting se ejecuta con autorización escrita del dueño de los sistemas, que es lo que lo distingue de los delitos tipificados en la Ley 30096.

Conclusión

En el Perú, la pregunta ya no es si su empresa será atacada, sino si la próxima versión de sus sistemas saldrá a producción validada o a ciegas. Con el país liderando la actividad de malware en la región y el phishing creciendo en sofisticación, el pentest anual deja demasiados meses sin cobertura. El pentesting continuo cierra esa brecha: prueba al ritmo de sus despliegues, verifica cada corrección y le deja trazabilidad para el negocio y para el regulador. Si sus plataformas no se detienen, su validación de seguridad tampoco debería.