Pentesting en San Andrés

Pentesting en San Andrés: la isla duty-free donde el turismo paga con tarjeta y los datos viajan sin protección

San Andrés fue declarada Puerto Libre en 1953 y desde entonces su economía gira alrededor del turismo de compras y sol: es una isla duty-free donde el visitante paga con tarjeta en cada cuadra (Technocio; Peleanus, guía de San Andrés). El archipiélago forma parte de la Reserva de Biosfera Seaflower de la UNESCO desde el año 2000, con una cultura raizal viva —lengua criolla de base inglesa, herencia afrocaribeña— que hoy sostiene un turismo cultural en crecimiento (Pelecanus). Detrás de la postal del mar de los siete colores hay hoteles con ocupación entre las más altas del país (57,3% según el MinCIT), comercios que procesan miles de tarjetas al día y una conectividad insular donde cada sistema cuenta. Esta guía explica la amenaza real para las empresas sanandresanas y qué debe cubrir un pentesting en la isla.

La amenaza concreta: isla turística, pagos constantes, soporte lejano

El perfil de riesgo de San Andrés lo define su insularidad:

• Pagos con tarjeta a escala masiva: comercio duty-free, hoteles, restaurantes y operadores: el volumen de transacciones con tarjeta por metro cuadrado es de los más altos del país. Cada datáfono y cada pasarela es superficie.
• Reservas y datos de viajeros: hoteles y agencias manejan documentos de identidad, pasaportes y tarjetas de miles de visitantes. Una filtración aquí es internacional por definición.
• Wi-Fi como servicio esencial: el turista exige conectividad; redes de huéspedes que con frecuencia comparten infraestructura con la administración del hotel.
• Soporte técnico a 700 km: muchos proveedores de TI están en el continente. Cuando algo falla, la respuesta tarda; cuando algo es atacado, la contención también. La prevención vale doble en una isla.
• Estacionalidad y personal temporal: picos de temporada con contrataciones rápidas y cuentas que nadie desactiva después.

Superficie de ataque por sector en San Andrés

• Hotelería: motores de reserva en línea, programas de fidelización con datos personales, Wi-Fi de huéspedes, sistemas de facturación.
• Comercio duty-free: puntos de venta, inventarios, facturación electrónica. El fraude por correo contra proveedores del continente es el ataque clásico.
• Operadores turísticos y transporte: reservas de tours, pagos en línea, cuentas de redes sociales que son el canal de ventas real.
• Aerolínea y servicios portuarios: sistemas de despacho y atención con alta disponibilidad requerida.
• Entidades públicas del departamento: trámites en línea para residentes y visitantes, con equipos de TI pequeños.

Qué debe cubrir un pentesting para una empresa isleña

• Prueba externa a aplicaciones web: motor de reservas, sitio web, formularios de contacto y pago. Es la puerta principal.
• Superficie de pago: cómo se procesan y dónde se almacenan los datos de tarjetas; segmentación de la red de datáfonos.
• Wi-Fi y segmentación: verificar que la red de huéspedes no tenga ruta a los sistemas administrativos ni a la base de datos de reservas.
• Correo y phishing controlado: el negocio se coordina por email con proveedores del continente; el BEC es la amenaza número uno.
• Plan de respuesta insular: no basta encontrar fallas: el informe debe priorizar considerando que el soporte está lejos y la contención debe ser local.

Un análisis de vulnerabilidades lista posibles brechas; el pentesting las explota de forma controlada para demostrar el daño real —por ejemplo, que desde la Wi-Fi del lobby se alcanza el sistema de facturación.

Normativa colombiana que sí aplica

No existe norma departamental de San Andrés y Providencia que obligue a contratar pentesting —desconfíe de quien invoque una «normativa local». El marco real:

• Ley 1581 de 2012: medidas técnicas de seguridad para quien trate datos personales —y un hotel isleño trata los de miles de extranjeros al año—; la SIC multa hasta con 2.000 salarios mínimos mensuales. Texto oficial.
• Ley 1273 de 2009: delitos informáticos en Colombia. Texto oficial.
• PCI DSS 11.3: pentesting anual o tras cambios significativos para quien procese datos de tarjetas —prácticamente todo el comercio de la isla.

Escenarios que vemos en destinos turísticos (anonimizados)

El Wi-Fi del lobby como puerta trasera. En un hotel caribeño, la red abierta de huéspedes compartía segmento con el servidor de reservas. Desde un teléfono en la piscina se podía escanear la red administrativa. La corrección: una tarde configurando VLANs. El riesgo llevaba años.

La pasarela improvisada. Un comercio implementó pagos en línea con un plugin desactualizado y credenciales por defecto en el panel administrativo. El atacante no necesitó explotar nada sofisticado: entró por la puerta que dejaron abierta.

El correo del proveedor. Una agencia de viajes recibió las «nuevas cuentas bancarias» de su proveedor de tours —dominio casi idéntico—. La transferencia se detuvo porque alguien llamó al número conocido antes de pagar. El phishing controlado posterior mostró que 3 de 7 empleados habrían caído.