Descubra lo que un atacante vería en su empresa en Bogotá, antes de que lo explote.
Pentesting real para empresas de Bogotá: simulamos ataques con las mismas técnicas que usaría un adversario, con hallazgos priorizados por riesgo real y retest de las correcciones.
Si su empresa es una entidad financiera con operación en internet en Bogotá, escucha esto: la Circular Externa 052 de 2007 de la Superintendencia Financiera le exige realizar, como mínimo dos veces al año, una prueba de vulnerabilidad y penetración a los equipos, dispositivos y medios de comunicación que use en la realización de transacciones por ese canal. No es una recomendación. Es un requerimiento mínimo de seguridad y calidad para el canal de internet, y está vigente desde hace casi dos décadas.
Para el resto de las empresas bogotanas no hay una norma que las obligue con ese nivel de precisión, pero hay algo casi igual de persuasivo: la ciudad concentra el dinero, los datos y las decisiones del país. Un Pentesting en Bogotá no es una compra de catálogo; es la forma de saber, antes que un atacante, qué tan expuesta está su operación justo donde más duele.
En resumen: DragonJAR SAS, empresa colombiana de seguridad informática ofensiva con sede en Manizales (comunidad desde 2001, empresa desde 2012), realiza pentesting real para empresas de Bogotá, con informes ejecutivo y técnico en español, priorizados por riesgo de negocio, y retest de las correcciones.
Tabla de Contenido
El contexto regional de Bogotá: capital financiera y centro empresarial de Colombia
Bogotá es la capital de Colombia y su principal centro económico. La ciudad concentra la sede de los grandes grupos financieros, aseguradoras y la Bolsa de Valores de Colombia, además de las oficinas corporativas de la mayoría de multinacionales con operación en el país. Esta concentración convierte a la ciudad en el punto donde se toman las decisiones de inversión, crédito y tesorería de la economía colombiana.
A su peso financiero se suma un tejido empresarial amplio: sedes del sector público y del Gobierno Nacional, empresas de telecomunicaciones, universidades, clínicas y hospitales, y un ecosistema de servicios profesionales que opera con procesos cada vez más digitalizados. El trabajo remoto y la tercerización de servicios tecnológicos han extendido la superficie de exposición de muchas compañías bogotanas.
La digitalización acelerada también se refleja en el comercio electrónico y las fintech que operan desde la capital, donde plataformas de pago, banca digital y marketplaces procesan diariamente un volumen creciente de transacciones con datos sensibles de millones de usuarios. Colombia ya es el tercer ecosistema fintech más importante de América Latina, con más de 300 startups activas, según reportó ITSitio con cifras de Fortinet.
El panorama de amenazas acompaña ese crecimiento: según datos de Fortinet, Colombia registró alrededor de 36 mil millones de intentos de ciberataques durante 2024. En una ciudad que concentra la infraestructura crítica del país, cada vulnerabilidad explotable tiene un impacto desproporcionado, lo que hace del pentesting una inversión estratégica antes que un gasto operativo.
Riesgos de ciberseguridad para las empresas en Bogotá
El fraude financiero y la suplantación de canales digitales es la amenaza cualitativa más directa para el perfil bogotano: los atacantes replican portales bancarios, plataformas de pago y comunicaciones oficiales para capturar credenciales y autorizar transferencias. Las entidades financieras y las fintech con operación en Bogotá enfrentan una presión constante sobre sus canales web y móviles.
El ransomware representa un riesgo de continuidad para empresas de servicios, salud y logística de la ciudad: cifrar los sistemas administrativos o las bases de datos puede paralizar la operación durante días. El informe anual de IBM sobre el costo de las filtraciones de datos sitúa el costo promedio global de una brecha en 4,99 millones de dólares en 2026 —y para el sector financiero, en 6,08 millones de dólares—, una cifra que pone en contexto el precio de no anticiparse.
El robo de datos personales es crítico para las empresas bogotanas que manejan grandes bases de clientes y empleados: una brecha expone datos sujetos a la Ley 1581 de 2012 y al escrutinio de la Superintendencia de Industria y Comercio, con daños reputacionales y sanciones económicas. Evaluar qué datos están realmente expuestos permite priorizar su protección.
El phishing dirigido a ejecutivos y el compromiso de cuentas corporativas es un vector de entrada frecuente: correos que se hacen pasar por clientes, entidades financieras o proveedores apuntan a equipos que trabajan permanentemente conectados, y una sola cuenta comprometida puede dar entrada a la red corporativa o a los datos de los clientes.
Qué cubre un pentesting bien planteado en Bogotá, sector por sector
Una prueba genérica «a toda la empresa» suele desperdiciar presupuesto en activos de bajo riesgo y dejar sin revisar justo lo que un atacante miraría primero. En nuestra experiencia, el alcance mínimo útil en Bogotá se define por sector:
- Banca y fintech: portales transaccionales web y apps móviles, APIs de pago y de autenticación, integraciones con pasarelas y PSE. Aquí el alcance lo fija en buena medida la propia Circular 052: canales de internet, equipos y medios de comunicación usados en transacciones.
- Salud: historias clínicas electrónicas, portales de citas y resultados, accesos de terceros (EPS, laboratorios, proveedores de software). La Ley 1581 hace que la exposición de datos de pacientes sea doblemente costosa: por el incidente y por la sanción.
- Servicios y BPO: VPN y accesos remotos de cientos de agentes, Microsoft 365 o Google Workspace, sistemas de gestión de clientes. El eslabón más débil suele ser una cuenta con MFA desactivado, no un servidor.
- Gobierno y sector público: portales de trámites y consulta de datos ciudadanos, sistemas heredados con años sin actualización. Aquí la prueba debe coordinarse con protocolos de autorización estrictos: nada se toca sin orden escrita.
Un buen alcance siempre empieza con un levantamiento: qué activos tiene, qué mueven (dinero, datos personales, secretos comerciales) y qué pasaría si caen. Si un proveedor le cotiza sin preguntar nada de esto, está vendiendo horas, no seguridad.
La normativa que ya le aplica a su empresa en Bogotá
Hay tres normas que todo decisor bogotano debería conocer antes de contratar —o de decidir no hacerlo—:
- Circular Externa 052 de 2007, Superintendencia Financiera: exige a las entidades vigiladas que ofrezcan operaciones por internet realizar como mínimo dos veces al año una prueba de vulnerabilidad y penetración a los equipos, dispositivos y medios de comunicación usados en las transacciones por ese canal (numeral 4.9.2), además de cifrado de la información que viaja entre oficinas y sitios centrales. Texto de la circular (PDF, dominio .gov.co).
- Ley 1581 de 2012 (protección de datos personales) y Decreto 1377 de 2013: obligan a proteger los datos de clientes y empleados; una brecha de datos personales puede terminar en sanción de la Superintendencia de Industria y Comercio. El pentesting es la forma técnica de demostrar diligencia: no basta decir que los datos están protegidos, hay que probarlo.
- Ley 1273 de 2009 (delitos informáticos): tipifica el acceso abusivo a sistemas, la interceptación de datos y el daño informático. Para el comprador de un pentest esto tiene una lectura práctica: la prueba debe hacerse con autorización escrita del dueño de los sistemas. Sin esa autorización, un pentest no es un servicio, es un delito.
Ninguna norma obliga al restaurante, a la pyme de servicios o a la startup a contratar un pentest. Pero si maneja dinero de terceros o datos personales a escala, la pregunta honesta no es si la norma le obliga: es si su junta directiva podría explicar por qué no lo hizo.
Casos y escenarios: lo que vemos una y otra vez en Bogotá
Sin nombres —la confidencialidad es parte del oficio—, estos son patrones que se repiten en las evaluaciones que hacemos en la capital:
- La fintech que pospuso el pentest hasta después del lanzamiento. Tres meses después de salir a producción, una réplica de su página de registro capturaba credenciales de usuarios durante una semana. El ataque no fue contra su infraestructura: fue contra la confianza. Un pentest de caja negra a la app antes del lanzamiento habría detectado que el flujo de registro no tenía protección contra automatización ni monitoreo de dominios parecidos.
- El banco con la app impecable y el portal de proveedores olvidado. La banca móvil pasaba auditorías anuales; el portal donde 200 proveedores consultan facturas llevaba cuatro años sin una prueba. El pentest lo encontró en dos días: sesión sin expiración y enumeración de usuarios. Los atacantes no entran por la puerta blindada; entran por la ventana del cuarto de servicio.
- La clínica con el PACS expuesto. El sistema de imágenes diagnósticas era accesible desde internet «temporalmente» desde 2019. Contenía estudios con datos de miles de pacientes. El re-test posterior a la corrección confirmó el cierre, y eso quedó documentado para cualquier requerimiento de la SIC.
El patrón común: nadie es atacado por lo que cree tener protegido, sino por lo que olvidó que existía.
Cómo trabaja DragonJAR en un pentesting
DragonJAR nació como comunidad de seguridad informática en 2001 y opera como empresa desde 2012. Su equipo ha auditado empresas de los sectores financiero, salud, combustibles, gubernamental, telecomunicaciones y educación, y se mantiene en el top 100 mundial de hackers en plataformas especializadas. Pero las credenciales importan menos que el método, así que esto es lo que puede esperar de una prueba con nosotros:
- Alcance firmado antes de tocar nada: reglas de juego por escrito, ventanas de prueba, contactos de emergencia y autorización expresa del responsable de los sistemas. Sin esto no empezamos.
- Hallazgos validados en el informe: cada hallazgo reportado fue verificado manualmente como explotable o descartado. No recibirá un volcado de escáner automático con 400 alertas genéricas.
- Informe en dos niveles: un resumen ejecutivo que la gerencia entiende (riesgo de negocio, qué puede pasar, cuánto cuesta no arreglarlo) y un informe técnico con pasos de reproducción para su equipo o su proveedor.
- Re-tests incluidos: verificamos que las correcciones recomendadas quedaron aplicadas de verdad, con evidencia. Una vulnerabilidad «corregida» que sigue explotable es peor que no haberla encontrado.
Preguntas frecuentes sobre pentesting en Bogotá
¿Cuánto cuesta un pentesting en Bogotá?
Depende del alcance: número de aplicaciones, direcciones IP, si incluye ingeniería social o pruebas a apps móviles. Un pentest serio se cotiza después de un levantamiento de alcance, nunca con un precio fijo de catálogo. Desconfíe de quien le dé precio sin preguntar qué tiene: está vendiendo horas, no resultados. Al llenar el formulario recibe una propuesta itemizada por alcance, sin compromiso.
¿La prueba interrumpe la operación de mi empresa?
Un pentesting profesional se planifica para no hacerlo: ventanas de prueba acordadas, pruebas agresivas solo contra ambientes de prueba cuando existen, y un canal directo con su equipo durante la ejecución. En años de pruebas no hemos tumbado la operación de un cliente; la planificación es parte del servicio.
¿Qué entregables recibo?
Un informe ejecutivo para la gerencia, un informe técnico con pasos de reproducción y priorización por riesgo de negocio, y el re-test de verificación de correcciones. Todo en español, sin jerga innecesaria.
¿Necesito tener un equipo de seguridad interno para contratar?
No. La mayoría de las pymes que nos contratan no lo tienen. El informe está escrito para que su proveedor de TI o su equipo de desarrollo pueda aplicar las correcciones, y el re-test confirma que quedaron bien.
¿Cada cuánto debo hacer un pentest?
Como mínimo una vez al año, y siempre después de cambios grandes: un lanzamiento, una migración a la nube, una fusión, un incidente. Si es entidad financiera con canales de internet, la Circular 052 de 2007 le exige pruebas de penetración al menos dos veces al año en esos canales.
¿Cómo se garantiza la confidencialidad?
Con acuerdo de confidencialidad firmado antes de empezar, alcance autorizado por escrito y manejo de la información bajo protocolos estrictos. Pedimos autorización escrita precisamente porque la Ley 1273 de 2009 lo exige: sin ella, la prueba no se ejecuta.
Evalúe la seguridad de su empresa en Bogotá con DragonJAR
El momento de pedir un pentest no es después del incidente. Hágase estas preguntas: ¿cuándo fue la última vez que alguien intentó vulnerar sus sistemas de forma controlada? Si maneja dinero de terceros, ¿sus canales transaccionales pasaron una prueba este año? Si guarda datos personales de miles de clientes, ¿podría demostrarle a la SIC que hizo algo al respecto? Si alguna respuesta le incomoda, ya sabe qué hacer.
Y una honestidad necesaria: si su presencia digital es un sitio catálogo sin transacciones, sin cuentas de usuario y sin datos sensibles, un pentesting completo probablemente no es su primera inversión —primero van los básicos: actualizaciones, copias de seguridad y contraseñas decentes. Se lo decimos antes de que pague, no después.
Si en cambio opera en banca, fintech, salud, servicios o sector público en Bogotá, el paso lógico es este: llena el formulario y recibe un diagnóstico de alcance —qué debería probar y por qué—, una propuesta itemizada en un plazo de 24 horas hábiles y una llamada con un ingeniero, no con un vendedor. Sin compromiso.
Conclusión sobre el pentesting en Bogotá
Bogotá concentra lo que más vale en la economía colombiana: el dinero, los datos y las decisiones. Esa concentración es exactamente lo que la convierte en el objetivo más rentable para un atacante. Un pentesting en Bogotá bien planteado —con alcance por sector, informe con hallazgos validados manualmente y re-test de correcciones— es la diferencia entre enterarse de sus vulnerabilidades por un informe o por un incidente. La Circular 052 ya se lo exige a la banca dos veces al año; al resto de las empresas, la lógica se lo exige todos los días.