Test de Penetración en Paraguay
Entre mayo y junio de 2025, el gobierno de Paraguay sufrió 27 ciberataques contra más de 20 entidades públicas —Presidencia, ministerios, el Tribunal Electoral— con filtración de datos de 7,2 millones de ciudadanos (…
Entre mayo y junio de 2025, el gobierno de Paraguay sufrió 27 ciberataques contra más de 20 entidades públicas —Presidencia, ministerios, el Tribunal Electoral— con filtración de datos de 7,2 millones de ciudadanos (LexLatin). En un país de 6,2 millones de habitantes, eso significa que virtualmente toda la población quedó expuesta en semanas. El mismo año, un ransomware contra una telco afectó a más de 300 empresas locales. Paraguay ya no es «un país tranquilo» en ciberseguridad: es un país que está aprendiendo por las malas. Un test de penetración en Paraguay es la forma de aprender por las buenas: descubrir sus fallos con un equipo contratado, no con un atacante.
Esta página explica por qué las empresas paraguayas son objetivo, qué errores vemos repetirse, qué tipos de prueba recomendamos, cómo trabajamos y lo que la ley paraguaya exige de verdad.
En resumen: DragonJAR SAS, empresa colombiana de seguridad informática ofensiva con sede en Manizales (comunidad desde 2001, empresa desde 2012). Este artículo aborda: Test de Penetración en Paraguay
Tabla de Contenido
Por qué las empresas de Paraguay son objetivo
La maquila. El régimen de maquila (Ley 1064/97) rompió su récord histórico en 2025 con 1.262 millones de dólares en exportaciones —el 70 % de las exportaciones industriales del país—, creciendo 331 % desde 2016 (CCPB). Autopartes, textiles, aluminio y alimentos para el mundo, operados con ERPs, EDI y portales de clientes internacionales. Cada maquiladora es un nodo digital de una cadena global: el atacante no necesita ir a la casa matriz, le basta el eslabón paraguayo.
La agroexportación. La soja fue el principal rubro exportador con 3.107 millones de dólares y la carne bovina cruzó por primera vez los 2.000 millones en 2025. Comercializadoras y frigoríficos manejan anticipos, contratos y pagos internacionales por correo y banca electrónica: el fraude por suplantación es el riesgo número uno.
La energía. Itaipú Binacional —14.000 MW instalados, récord Guinness de producción hidroeléctrica acumulada— aporta cerca del 78 % de la energía que consume Paraguay (Itaipú). Infraestructura crítica con sistemas OT: el objetivo de mayor valor del país.
El sector financiero y los pagos. Con el Banco Central endureciendo las reglas para proveedores de servicios de pago (ver normativa), las fintechs y procesadoras son objetivo directo: dinero en movimiento y regulación creciente.
El Estado como imán. Los 27 ataques de 2025 demuestran que el sector público paraguayo es objetivo prioritario. Las empresas proveedoras del Estado —y cualquiera que comparta infraestructura o datos con él— heredan parte de ese riesgo.
Errores típicos que vemos en la región
«Acá no pasa nada». La frase más cara del Paraguay empresarial. Los 7,2 millones de registros filtrados en 2025 demuestran que pasa, y pasa a escala nacional. Los ataques automatizados no consultan mapas.
Correo como sistema financiero. Anticipos de exportación, pagos a proveedores, órdenes de compra: todo por correo, muchas veces sin doble factor. La suplantación para desviar un pago es el incidente más reportado y no requiere vulnerabilidades técnicas.
Sistemas heredados expuestos. ERPs antiguos, accesos remotos configurados «temporalmente» hace años, servidores sin parches porque «si funciona no se toca». El ransomware del 2025 contra la telco mostró lo que pasa cuando esos sistemas caen: más de 300 empresas afectadas en cadena.
Sin plan de respuesta. La mayoría de las empresas paraguayas que atendemos tras un incidente no tenían ni un contacto definido para emergencias. El CERT-PY atendió 2.610 incidentes en 2025 (TEDIC/MITIC): existe ayuda oficial, pero hay que saber a quién llamar antes de necesitarlo.
Respaldos en la misma red. El ransomware cifra primero los respaldos al alcance. Si están conectados a la red comprometida, no son respaldos: son decoración.
Tipos de prueba recomendados
Maquila e industria: test de penetración a la red corporativa y a los portales de intercambio con clientes (EDI, portales de pedidos), más revisión de la segmentación con redes de planta si hay operación industrial. Las casas matrices extranjeras piden cada vez más evidencia: el informe le sirve en esas auditorías.
Agroexportación y comercio: prueba acotada a aplicaciones web, correo corporativo y banca electrónica, con énfasis en fraude por suplantación. Alcance ajustado al tamaño, hallazgos que se corrigen en semanas.
Fintechs y procesadoras: pruebas a APIs y aplicaciones de pago alineadas con los focos del BCP —controles de ciberseguridad con enfoque de riesgo—, más revisión de autenticación y de exposición de datos financieros.
Proveedores del Estado: revisión de la postura frente a los requerimientos de la Estrategia Nacional de Ciberseguridad 2025–2028: no esperar a que el cliente público se lo exija.
Cómo trabaja DragonJAR
Somos una empresa de seguridad informática ofensiva —comunidad desde 2001, empresa desde 2012—. Definimos el alcance con usted (qué se prueba, en qué horarios, qué no se toca), ejecutamos como un atacante real —explotando y encadenando hallazgos, no pasando un escáner— y entregamos un informe con severidad honesta, pasos de corrección accionables y resumen ejecutivo para su dirección.
Nuestros compromisos: retest incluido en hallazgos críticos, Hallazgos validados (si está en el informe, lo demostramos) y confidencialidad total. Y una honestidad que nos caracteriza: si lo que necesita no es un test de penetración sino ordenar primero lo básico, se lo diremos antes de cotizarle.
Preguntas frecuentes sobre el test de penetración en Paraguay
¿La ley paraguaya me obliga a hacer un test de penetración?
Hay que ser precisos: la Ley 6.534/2020, vigente, regula exclusivamente los datos crediticios —no es una ley general de datos—. La ley general, la 7.593/2025, fue promulgada pero tiene vacancia de 24 meses: su vigencia plena llega en noviembre de 2027 y aún no hay sanciones operativas. Desconfíe de quien le venda «obligaciones» de una ley que aún no rige. Lo que sí existe hoy: el BCP exige controles de ciberseguridad a los proveedores de servicios de pago, y el MITIC opera el CERT-PY con una estrategia nacional vigente.
¿Qué diferencia hay con un análisis de vulnerabilidades?
El análisis automatizado lista posibles fallos; el test de penetración los explota y demuestra el impacto real. Para decidir inversiones necesita la prueba, no el inventario.
Somos una maquila pequeña, ¿de verdad somos objetivo?
No por su nombre: por su posición en una cadena global. Es el eslabón con menos defensas entre su cliente internacional y sus datos. Los atacantes lo saben.
¿La prueba interrumpe la producción?
No. En entornos industriales no se hacen pruebas invasivas contra equipos en producción sin coordinación explícita. Alcance, ventanas y reglas van por escrito antes de empezar.
¿El informe me sirve ante mi casa matriz o mis clientes?
Sí. Cada vez más matrices y clientes internacionales exigen evidencia de seguridad a su cadena. Un informe de test de penetración con retest es la evidencia más creíble: no dice «tenemos políticas», dice «alguien intentó entrar y esto pasó».
¿Cuánto cuesta y cuánto tarda un test de Penetración en Paraguay?
Depende del alcance: cuántas aplicaciones, APIs, direcciones IP o sedes entran, la profundidad de la prueba y las ventanas disponibles. El costo y el plazo se confirman en la propuesta que recibe tras solicitarla. Solicitar cotización.
Lo que pasa cuando nos escribe
Cuéntenos en el formulario de contacto a qué se dedica su empresa en Paraguay y qué sistemas sostienen su operación. Le respondemos en menos de 24 horas hábiles con una llamada de descubrimiento sin costo donde definimos el alcance que realmente necesita. Sin compromiso.
DragonJAR es una empresa de seguridad informática ofensiva con más de una década operando en América Latina: sabemos probar una planta sin detenerla y explicarle a una exportadora, en su idioma, por dónde le pueden entrar. En un país donde 7,2 millones de registros se filtraron en semanas, la pregunta no es si le van a probar: es si va a enterarse a tiempo.