Descubra lo que un atacante vería en su empresa en Cartagena, antes de que lo explote.
Pentesting real para empresas de Cartagena: simulamos ataques con las mismas técnicas que usaría un adversario, con hallazgos priorizados por riesgo real y retest de las correcciones.
Cartagena mueve el 65 % de los contenedores del país: el Grupo Puerto de Cartagena alcanzó los 4 millones de TEU en 2025, récord histórico, y es el puerto número uno de Latinoamérica en movimiento de contenedores (Analdex). También fue el tercer puerto más eficiente del mundo en 2024 según el índice del Banco Mundial. Esa misma ciudad recibió 5,5 millones de turistas en 2025 y alberga la refinería más grande del Caribe colombiano. Puerto, turismo e industria pesada en una sola ciudad: tres superficies de ataque distintas, y un historial que lo confirma —desde el ransomware que secuestró la web de la Alcaldía hasta el ataque BlackByte contra el Invima que dejó contenedores represados en los puertos. Contratar un pentesting en Cartagena exige entender ese mapa antes de firmar nada. Esta guía es para eso: cómo elegir proveedor, qué exigir en el alcance y qué panorama de amenazas tiene enfrente.
En resumen: DragonJAR SAS, empresa colombiana de seguridad informática ofensiva con sede en Manizales (comunidad desde 2001, empresa desde 2012), realiza pentesting real para empresas de Cartagena, con informes ejecutivo y técnico en español, priorizados por riesgo de negocio, y retest de las correcciones.
Tabla de Contenido
Cómo elegir un proveedor de pentesting en Cartagena
Pida un informe de ejemplo anonimizado. Es la prueba más rápida: un proveedor serio muestra cómo entrega resultados —hallazgos explotados con evidencia, pasos de reproducción y severidad justificada—. Si le manda un PDF de semáforos o se niega, ya tiene su respuesta.
Pregunte «¿el retest está incluido?». Un pentesting sin retest es un diagnóstico, no una prueba de que el problema se cerró. Si el retest se cobra aparte, el incentivo del proveedor es que vuelva a pagar, no que quede seguro. En DragonJAR va incluido en hallazgos críticos, siempre.
Verifique que entiende su sector. No es lo mismo probar la tienda en línea de un hotel que la red de una terminal portuaria o de una planta petroquímica. Pregunte por experiencia en entornos similares al suyo: un proveedor que solo ha probado oficinas no debería tocar su OT sin metodología específica.
Exige reglas de juego por escrito. Alcance exacto (activos, IPs, URLs), ventanas de prueba, qué ocurre si aparece un hallazgo crítico en mitad de la prueba, canal de comunicación y acuerdo de confidencialidad. Todo antes de firmar.
Qué debe incluir el alcance mínimo
Para turismo y hotelería: motores de reserva, pasarelas de pago, wifi de huéspedes separado de la red administrativa y sistemas de gestión hotelera. El dato del turista —tarjeta, pasaporte— es el activo.
Para logística y portuario: portales de clientes, sistemas de documentación y trazabilidad de carga, accesos remotos de navieras y agentes. Un día de sistema caído en temporada alta se mide en contenedores detenidos.
Para industria (refinería, petroquímica, zona franca): red corporativa más evaluación del entorno industrial —segmentación IT/OT, credenciales por defecto, accesos remotos de contratistas— con metodología que no ponga en riesgo la operación.
Para comercio y servicios: aplicaciones web, correo corporativo, banca empresarial y wifi. El fraude por suplantación de proveedor es el incidente más común: el alcance debe incluir la revisión de los controles que lo previenen.
Señales de alerta: cuándo no contratar
Desconfíe si le favorecen hallazgos antes de probar; si el precio no se corresponde con días de trabajo humano especializado; si no ofrecen retest; si el informe de ejemplo no muestra explotación real; y si invocan «normativas de Cartagena que exigen pentesting»: no existen. La regulación es nacional (ver abajo). Quien inventa normas locales para vender miente en lo pequeño para cobrar en lo grande.
Panorama de amenazas en Cartagena
El puerto. 4 millones de TEU en 2025, 65 % del total nacional, el más eficiente de la región. Los sistemas portuarios —documentación, aduanas, trazabilidad— son infraestructura crítica: el informe del ColCERT de 2026 ya señaló a puertos y aeropuertos entre los sectores estratégicos comprometidos por actores maliciosos. Y hay precedente cercano: el ransomware BlackByte contra el Invima en 2022 paralizó los registros sanitarios y dejó contenedores represados en Cartagena y Buenaventura, con sobrecostos estimados de 15.000 millones de pesos por semana (ManageEngine). Un ataque al ecosistema portuario no necesita tocar su empresa para detenerla.
El turismo. 5,5 millones de visitantes en 2025 y 3,8 millones de pasajeros aéreos: hoteles, agencias y restaurantes procesando tarjetas y pasaportes con alta rotación de personal y baja inversión en seguridad. El sector turístico es de los más filtrados en la región.
La industria. La Refinería de Cartagena (Ecopetrol), con 210.000 barriles diarios de capacidad instalada, es el complejo industrial más grande del Caribe colombiano; alrededor, el polo petroquímico de Mamonal y zonas francas como Parque Central (124 hectáreas, más de 53 empresas). Industria con OT conectada: el objetivo de mayor impacto de la ciudad.
Lo público. La web de la Alcaldía de Cartagena fue secuestrada por ransomware, con los atacantes exigiendo rescate —un caso atendido con el ColCERT—. Si la institucionalidad local es vulnerable, sus proveedores y contratistas heredan el riesgo.
Qué exige la normativa en Colombia
La Ley 1581 de 2012 obliga a adoptar medidas técnicas de seguridad sobre los datos personales —los de sus huéspedes, clientes y empleados—; la Ley 1273 de 2009 tipifica los delitos informáticos; y si es entidad vigilada por la Superfinanciera, la Circular Externa 007 de 2018 exige gestión del riesgo de ciberseguridad. Ninguna dice literalmente «contrata un pentesting» —y quien diga lo contrario miente—; pero todas convierten un incidente evitable en un problema legal. Un pentesting con informe y retest es la evidencia más sólida de diligencia.
Preguntas frecuentes sobre el pentesting en Cartagena
¿Cuánto cuesta un pentesting para mi empresa?
Depende del alcance, no de la ciudad. Una prueba acotada a su web, su correo y su perímetro cuesta menos que un solo incidente: un día de operación detenida en temporada, un fraude por suplantación o una filtración de datos de huéspedes. Pida cotización con alcance cerrado.
¿La prueba puede tumbar mis sistemas u operar el puerto?
No. En entornos logísticos e industriales se trabaja con ventanas coordinadas y sin pruebas invasivas contra sistemas en producción sin su autorización explícita. Las reglas de seguridad van por escrito antes de empezar, y ante cualquier anomalía se detiene.
¿Necesito pentesting o un análisis de vulnerabilidades?
Si quiere saber «qué tan expuesto estoy de verdad», pentesting: explotación real, impacto demostrado. El análisis automatizado sirve como higiene entre pentestings, no como reemplazo.
¿El informe me sirve ante clientes o navieras que exigen seguridad?
Sí. La cadena logística exige cada vez más evidencia de seguridad a sus eslabones. Un informe de pentesting con retest es la evidencia más creíble: demuestra qué intentó un atacante y qué pasó.
¿Cada cuánto repetirlo?
Al menos una vez al año y tras cada cambio relevante: nuevo sistema de reservas, nueva integración con un operador, migración a la nube. La amenaza no hace pausas de temporada baja.
Lo que pasa cuando nos escribe
Cuéntenos en el formulario de contacto a qué se dedica su empresa en Cartagena y qué sistemas sostienen su operación —puerto, hotel, planta o comercio—. Le respondemos en menos de 24 horas hábiles con una llamada de descubrimiento sin costo: definimos el alcance que realmente necesita, le mostramos un informe de ejemplo anonimizado y le cotizamos cerrado. Sin compromiso.
DragonJAR es una empresa colombiana de seguridad informática ofensiva —comunidad desde 2001, empresa desde 2012—: pruebas reales, informes que su dirección entiende, hallazgos validados manualmente y retest incluido. En una ciudad donde un ransomware ya represó contenedores y secuestró la web de la Alcaldía, comprar un pentesting no es un acto de fe: es una decisión de negocio informada.