Descubra lo que un atacante vería en su empresa en Cali, antes de que lo explote.
Prueba de penetración real para empresas de Cali: simulamos ataques con las mismas técnicas que usaría un adversario, con hallazgos priorizados por riesgo real y retest de las correcciones.
Cali concentra lo que un atacante busca: volumen, dinero en movimiento y cadenas de suministro largas. Con más de 2,2 millones de habitantes —2.227.642 según el censo ajustado por el DANE—, la ciudad es el motor económico del suroccidente colombiano: industria, agroindustria azucarera, comercio a gran escala y logística hacia el Pacífico. Cada eslabón de esa cadena intercambia datos con el siguiente —pedidos, pagos, inventarios—, y cada intercambio es una superficie que alguien ya está probando. Una prueba de penetración en Cali responde la única pregunta que importa: ¿aguantan sus sistemas cuando los prueban de verdad?
Lo vemos en cada ejercicio: las empresas caleñas no son atacadas por ser caleñas, sino por lo que mueven. Un distribuidor con acceso a los portales de sus proveedores, una agroindustria que factura millones al mes por su tienda en línea, una empresa de logística conectada a navieras y transportistas. El atacante no elige la ciudad; elige el flujo de datos más débil.
En resumen: DragonJAR SAS, empresa colombiana de seguridad informática ofensiva con sede en Manizales (comunidad desde 2001, empresa desde 2012), realiza prueba de penetración real para empresas de Cali, con informes ejecutivo y técnico en español, priorizados por riesgo de negocio, y retest de las correcciones.
Tabla de Contenido
Por qué las empresas de Cali son un objetivo atractivo
Cali es la principal ciudad del suroccidente colombiano y la capital del Valle del Cauca. No es solo tamaño: es el tercer centro financiero del país después de Bogotá y Medellín, con una economía ligada a la producción de caña de azúcar, el desarrollo industrial y su cercanía a Buenaventura, el puerto marítimo más importante de Colombia sobre el Pacífico. Esa posición convierte a la ciudad en un nodo donde el dinero y la información circulan a gran escala.
La Zona Franca del Pacífico, ubicada en Palmira a quince minutos de Cali, opera como plataforma industrial y logística con vocación exportadora, a dos horas y media del puerto de Buenaventura. Decenas de empresas nacionales e internacionales mueven desde allí importaciones y exportaciones, con sistemas conectados a aduanas, transportistas y clientes en varios países. Cada una de esas conexiones es un punto de confianza que un atacante puede estudiar y explotar.
La economía caleña combina grandes empresas con presencia nacional, pymes industriales y comerciales muy dinámicas, y un ecosistema de servicios que se digitalizó de forma acelerada. Portales de clientes, sistemas de gestión empresarial, plataformas de comercio electrónico y operaciones financieras en línea son hoy el centro de la operación. Y en un mercado tan competitivo, los grandes compradores y aliados internacionales exigen cada vez más evidencia de que sus contrapartes gestionan la ciberseguridad en serio: una empresa de Cali que puede demostrarlo tiene una ventaja concreta frente a quienes solo lo declaran.
La normativa colombiana sobre protección de datos personales y seguridad de la información aplica a organizaciones de todos los tamaños. Para las empresas de Cali, una prueba de penetración es la forma más directa de conocer el estado real de sus defensas, corregir debilidades antes de que se conviertan en incidentes y contar con evidencia del compromiso de la organización con la seguridad.
Errores típicos que vemos en empresas de la región
Después de años haciendo este trabajo, los patrones se repiten. Estos son los que más encontramos en el suroccidente:
El portal que factura desde el día uno sin haberse probado nunca. Tiendas en línea y portales de clientes lanzados para vender ya, donde nadie verificó si un usuario puede ver los pedidos de otro, manipular precios o saltarse la autenticación. Es el hallazgo más rentable de corregir: está expuesto a internet las 24 horas.
Credenciales compartidas y sin segundo factor. En empresas con alta rotación de personal o turnos, el usuario «ventas2024» lo conocen diez personas y la contraseña no ha cambiado en dos años. Basta un phishing bien hecho para entrar con credenciales legítimas. Y no es un caso raro: el 74 % de los ciberataques registrados en Colombia durante 2024 se originó en un correo electrónico fraudulento.
Respaldos que existen pero nadie ha restaurado. El día que el ransomware cifra los servidores es un mal momento para descubrir que la copia estaba corrupta, incompleta o en el mismo equipo. Un respaldo no probado no es un respaldo: es una esperanza.
Accesos remotos improvisados. Escritorios remotos y VPNs abiertos durante la pandemia o para un proveedor puntual, que quedaron expuestos a internet con contraseñas débiles. Son la puerta de entrada favorita de los ataques automatizados, que barren rangos enteros de direcciones buscando exactamente eso.
Proveedores con llave maestra. Empresas de logística, software o mantenimiento con acceso permanente a sus sistemas, sin segregación ni revisión periódica. Su seguridad es tan fuerte como la del proveedor menos cuidadoso con acceso a su red.
Tipos de prueba de penetración que más valor aportan en Cali
No todas las pruebas valen lo mismo para todas las empresas. Según su operación, esto es lo que en nuestra experiencia más retorno deja aquí:
Prueba a aplicaciones web. Si vende en línea, tiene portal de clientes o expone algún sistema a internet, esta es la prioridad. Simula lo que haría un atacante contra su tienda, su intranet de clientes o su banca en línea: manipulación de parámetros, sesiones, lógica de negocio.
Prueba de red interna. Responda qué pasaría si el atacante ya está dentro: un empleado con un correo comprometido, un proveedor conectado a su red, un equipo infectado. Mida cuánto puede avanzar y qué datos alcanza antes de ser detectado.
Ingeniería social y phishing simulado. Mide el eslabón humano con campañas controladas. El objetivo no es «pillar» a sus empleados, sino saber qué porcentaje mordería un ataque real y entrenar sobre datos propios, no sobre teoría.
Revisión de superficie expuesta. Inventario de todo lo que su empresa expone a internet —a veces más de lo que cree— y prueba de esos puntos de entrada: VPN, correo, escritorios remotos, cámaras, sistemas industriales conectados.
Sea cual sea el tipo, exige un alcance mínimo por escrito: qué se prueba y qué no, en qué horarios, con qué reglas de comunicación durante el ejercicio, un informe con severidad e impacto por hallazgo, y re-test incluido para verificar las correcciones. Si una propuesta no trae eso, no es una propuesta seria.
Cómo trabaja DragonJAR
DragonJAR nació como comunidad de seguridad informática en 2001 y opera como empresa desde 2012. Nuestro trabajo en pruebas de penetración sigue un método simple y verificable:
Alcance claro antes de empezar. Definimos con usted qué se prueba, con qué profundidad y bajo qué reglas. Sin letra pequeña: sabe exactamente qué va a recibir.
Ejecución con comunicación. Durante la prueba mantenemos un canal directo. Si encontramos algo crítico, lo sabe en el momento, no tres semanas después en un PDF.
Informe que se puede ejecutar. Cada hallazgo trae descripción, evidencia, impacto real en su negocio y recomendación de corrección, priorizado para que su equipo sepa por dónde empezar.
Re-tests para cerrar el ciclo. Verificamos que cada corrección funcionó antes de dar el hallazgo por cerrado. La prueba termina cuando el riesgo baja, no cuando se entrega el informe.
Conozca los servicios de seguridad informática de DragonJAR y revisa si encajamos con lo que su empresa necesita.
Preguntas frecuentes sobre la prueba de penetración en Cali
¿Cuánto dura una prueba de penetración?
De días a semanas, según el alcance: una aplicación web puntual puede tomar una semana; una infraestructura completa con varias sedes, varias más. El cronograma se define en la propuesta, antes de firmar nada.
¿La prueba interrumpe la operación de mi empresa?
Se planifica para no hacerlo: horarios acordados, pruebas no destructivas por defecto y coordinación permanente. Si alguna prueba requiere mayor intensidad, se autoriza con usted primero.
¿Qué necesito tener listo antes de la prueba?
Un inventario de lo que quiere probar, un contacto técnico disponible y una ventana de tiempo acordada. No necesita tener todo documentado a la perfección; parte del trabajo previo es ayudarle a definir el alcance con lo que tenga.
Ya tengo antivirus, firewall y un proveedor de TI, ¿para qué un pentest?
Para validar que todo eso funciona como cree. El antivirus y el firewall son controles; la prueba de penetración verifica si los controles detienen a alguien que realmente intenta pasarlos. En nuestra experiencia, la brecha más común no es la falta de herramientas, sino la configuración.
¿Cada cuánto debería repetirla?
Una vez al año como base, y después de cada cambio relevante: sistemas nuevos, migraciones, incidentes o cambios de proveedor crítico. La seguridad no es un estado que se alcanza, es algo que se verifica de forma recurrente.
¿Cuánto cuesta y cuánto tarda una prueba de penetración en Cali?
Depende del alcance: cuántas aplicaciones, APIs, direcciones IP o sedes entran, la profundidad de la prueba y las ventanas disponibles. El costo y el plazo se confirman en la propuesta que recibe tras solicitarla. Solicitar cotización.
Evalúe la seguridad de su empresa en Cali
Si su empresa mueve pedidos, pagos o datos de clientes por sistemas que nadie ha puesto a prueba, ya conoce su principal vulnerabilidad: la suposición de que todo está bien. Un atacante no necesita su permiso para comprobarlo; nosotros sí, y le entregamos el resultado con el mapa para corregirlo.
Al llenar el formulario nos cuentas qué sistemas sostienen su operación y qué le preocupa; le respondemos con una propuesta adaptada a su empresa, sin compromiso y sin tecnicismos innecesarios. En un mercado tan dinámico como el del suroccidente colombiano, la ciberseguridad no es un lujo: es una condición para crecer con confianza.