Descubra lo que un atacante vería en su empresa en Colombia, antes de que lo explote.
Las Mejores Empresas de Pentesting real para empresas de Colombia: simulamos ataques con las mismas técnicas que usaría un adversario, con hallazgos priorizados por riesgo real y retest de las correcciones.
El 12 de septiembre de 2023, el proveedor IFX Networks recibió un ataque de ransomware del grupo RansomHouse que dejó fuera de línea los sistemas de unas 760 entidades en Latinoamérica. En Colombia, el golpe alcanzó al Ministerio de Salud —con más de 55 millones de datos afectados—, a la Superintendencia de Industria y Comercio, a la Supersalud y al Consejo Superior de la Judicatura (Pirani, Asobancaria). Si está comparando las mejores empresas de Pentesting en Colombia, esa es la vara: la amenaza local ya no es una posibilidad teórica, y el proveedor que elija tiene que entender este terreno, no solo los manuales.
El pentesting —prueba de penetración— es un ejercicio controlado y autorizado en el que especialistas en seguridad intentan vulnerar sus sistemas con las mismas técnicas que usaría un atacante real, para demostrar qué podrían lograr y cómo impedirlo antes de que ocurra.
En resumen: DragonJAR SAS, empresa colombiana de seguridad informática ofensiva con sede en Manizales (comunidad desde 2001, empresa desde 2012), realiza las mejores empresas de pentesting real para empresas de Colombia, con informes ejecutivo y técnico en español, priorizados por riesgo de negocio, y retest de las correcciones.
Tabla de Contenido
Amenaza local: el ransomware con nombre y apellido
Colombia ya vivió el escenario que todas las empresas temen, dos veces y en público. A finales de 2022, Keralty —el grupo detrás de la EPS Sanitas y Colsanitas— sufrió un ataque de ransomware atribuido al mismo RansomHouse: su CEO, Sergio Martínez, confirmó que los atacantes tenían en su poder 0,7 teras de información de la compañía, y los portales de citas y servicios colapsaron durante días (iTech SAS). En 2023, el ataque a IFX Networks mostró el otro patrón que preocupa: proveedores de servicios compartidos que se convierten en un único punto de fallo para cientos de organizaciones.
El costo de equivocarse está documentado: el informe IBM Cost of a Data Breach 2025 estima el costo promedio global de una brecha en 4,44 millones de dólares (IBM X-Force). En Colombia, una brecha suma además la exposición pública ante la Superintendencia de Industria y Comercio y el daño reputacional en un mercado donde todos se conocen. Un pentesting bien planteado cuesta una fracción de eso y existe precisamente para que nunca tenga que comparar esas cifras con la factura de un incidente.
Colombia: contexto empresarial y superficie de ataque
Colombia cuenta con polos empresariales consolidados en Bogotá, Medellín, Cali y Barranquilla, además de ciudades intermedias con tejido comercial e industrial en crecimiento. Los sectores con mayor demanda de evaluaciones de seguridad son la banca y las finanzas, las telecomunicaciones, la industria y la agroindustria, la salud, la educación y las entidades del Estado: todos operan plataformas digitales, sistemas de gestión y redes corporativas que manejan datos de clientes, pacientes y ciudadanos.
La digitalización de los servicios —banca en línea, comercio electrónico, trámites digitales y trabajo remoto— amplió la superficie que las empresas colombianas deben proteger: cada aplicación web, plataforma transaccional y acceso remoto es un objetivo potencial. Y hay un patrón local que no se ve en todos los países: la alta dependencia de proveedores de conectividad y servicios compartidos, como evidenció el caso IFX Networks, convierte el riesgo de terceros en un frente que su pentesting también debe mirar.
Riesgos por sector: dónde está expuesta cada industria
Los riesgos no son genéricos: siguen el dinero y los datos. En nuestra experiencia evaluando empresas colombianas, los patrones que más se repiten son:
- Banca y finanzas: fraude electrónico contra banca en línea, ataques a APIs de pagos con controles de acceso débiles y phishing dirigido a clientes. Es el sector con más presión regulatoria del país.
- Salud: el ataque a Keralty demostró que los grupos detrás de la EPS Sanitas y Colsanitas son objetivo directo del ransomware. Sistemas de citas, historias clínicas y plataformas de afiliados concentran datos personales sensibles.
- Telecomunicaciones y proveedores: como mostró IFX Networks, comprometer a un proveedor multiplica el daño por cientos. Evaluar la cadena de suministro es tan importante como evaluar la red propia.
- Industria y agroindustria: sistemas operativos y de gestión con conectividad remota para monitoreo y mantenimiento, frecuentemente expuestos a internet sin autenticación adecuada.
- Sector público: trámites digitales y portales de ciudadanos con alto valor de exposición pública; el caso del Consejo Superior de la Judicatura en el incidente IFX mostró que la justicia tampoco es inmune.
- Educación y comercio electrónico: bases de datos masivas de estudiantes y clientes, con plataformas de pago que atraen fraude con tarjetas y robo de datos.
Qué debería cubrir un pentesting en Colombia
Una propuesta seria no puede limitarse a «probar la página web». En nuestra experiencia, el alcance mínimo útil para una empresa colombiana incluye: aplicaciones web y sus APIs —donde vive la lógica transaccional—; la infraestructura de red interna y externa, incluyendo accesos remotos y VPN; las aplicaciones móviles y sus servicios de respaldo; la revisión de la postura de seguridad del correo y los controles anti-phishing; y una evaluación del riesgo de terceros críticos, empezando por los proveedores de conectividad. La ingeniería social, en una prueba de caja gris, suele mostrar la brecha más barata de cerrar: credenciales regaladas en una llamada bien actuada.
Si una propuesta llega sin preguntas sobre su operación y su regulación aplicable, es una mala señal: el alcance se define con usted, no se vende empaquetado.
La normativa colombiana que toca su decisión
En Colombia no hay una sola norma que lo obligue todo, pero sí un marco concreto que vuelve el pentesting una medida de diligencia esperable:
- Ley 1581 de 2012, protección de datos personales: exige a los responsables y encargados del tratamiento adoptar medidas técnicas y organizativas para garantizar la seguridad de los datos. Su autoridad de vigilancia es la Superintendencia de Industria y Comercio (Superintendencia de Industria y Comercio).
- Ley 1273 de 2009, delitos informáticos: tipifica los delitos contra la protección de la información y los datos, y fija el marco penal sobre el que descansa el resto del ecosistema (texto de la ley).
- Superintendencia Financiera, Circular Externa 007 de 2018: establece los requerimientos mínimos de seguridad y calidad en el manejo de información para las entidades vigiladas, incluyendo gestión de riesgos de ciberseguridad (normograma).
- CONPES 3995 de 2020, Política Nacional de Confianza y Seguridad Digital: el marco de política pública que orienta la gestión de riesgos digitales del país y presiona al sector privado a elevar sus estándares (Colombia Aprende).
Un informe de pentesting con alcance documentado, metodología, hallazgos priorizados y evidencia de remediación verificada es la evidencia más directa de diligencia que puede presentar ante un auditor, un regulador o su junta directiva.
Escenarios: ¿necesita una prueba ahora?
En nuestra experiencia, estas son las señales que indican que una empresa colombiana no puede seguir postergando su evaluación:
- Lanzó una aplicación nueva o migró sistemas a la nube en el último año sin pruebas de seguridad independientes.
- Su última prueba de penetración tiene más de 12 meses, o nunca se ha hecho una.
- Depende de proveedores de conectividad o servicios compartidos cuyos incidentes lo dejarían operando —o sin operar— por días.
- Maneja datos personales o de salud a escala, con la Superintendencia de Industria y Comercio mirando.
- Va a pasar una auditoría regulatoria, una ronda de inversión o una negociación con un cliente corporativo que exige evidencia de seguridad.
Si reconoció su organización en dos o más puntos, la pregunta ya no es si hacer la prueba, sino con quién.
Cómo elegir proveedor: lo que separa una prueba útil de una inútil
El precio es lo último que debería decidir. En nuestra experiencia, una propuesta de pentesting seria se reconoce por esto: alcance por escrito con metodología y reglas de enfrentamiento claras; trabajo manual sobre los hallazgos, porque cada vulnerabilidad se verifica a mano y se documenta sin falsos positivos; re-test incluido, para confirmar que cada hallazgo quedó realmente corregido; informe doble —ejecutivo para la gerencia e informe técnico en español para su equipo—; y un equipo local que entienda la regulación colombiana y el contexto de su sector.
DragonJAR nació como comunidad de seguridad informática en 2001 y opera como empresa desde 2012, con experiencia en pruebas de penetración en los sectores financiero, startups, hidrocarburos, automotor, médico, gubernamental, telecomunicaciones y entretenimiento. En cada prueba aplicamos esos criterios: alcance definido con el cliente, hallazgos verificados manualmente, re-tests para verificar la remediación e informe en español con priorización por riesgo. Atendemos organizaciones en toda Colombia de forma remota y presencial.
Preguntas frecuentes sobre contratar pentesting en Colombia
¿Cuánto dura una prueba de penetración?
Depende del alcance. La mayoría de las pruebas que ejecutamos toman entre una y cuatro semanas de trabajo técnico, más la elaboración del informe. Una pyme con un sitio web y una red de oficina está en el rango bajo; un banco o una EPS con múltiples aplicaciones y APIs, en el alto.
¿Cuánto cuesta un pentesting en Colombia?
Depende del tamaño y la complejidad de su infraestructura: cantidad de direcciones IP, aplicaciones, APIs y si incluye ingeniería social. No publicamos una tarifa única porque sería engañoso; hacemos una cotización clara por escrito después de una llamada de descubrimiento sin costo, donde definimos el alcance exacto.
¿El informe sirve ante la Superintendencia Financiera o la SIC?
Sí. Documentamos el alcance evaluado, la metodología, los hallazgos priorizados por riesgo y la evidencia de remediación verificada en los re-tests: el tipo de evidencia de diligencia que un auditor o regulador espera ver.
¿La prueba puede interrumpir nuestra operación?
Las pruebas intrusivas se programan en ventanas acordadas con usted y con reglas de enfrentamiento claras. Nuestra metodología está diseñada para demostrar el impacto sin tumbar la operación; si aparece algo crítico, se lo comunicamos de inmediato.
¿Incluyen re-test después de que corrijamos las fallas?
Sí. Volvemos a probar cada hallazgo hasta confirmar que quedó mitigado. Solo entonces damos el caso por cerrado.
Solicite su pentesting en Colombia
Si su organización opera en Colombia —en la banca, la industria, el comercio, la salud, la educación o el sector público— complete el formulario y cuéntenos brevemente qué sistemas quiere evaluar. Un especialista le responderá en un máximo de 24 horas hábiles para agendar una llamada de descubrimiento sin costo: revisamos su infraestructura, le proponemos un alcance ajustado a su sector y a la regulación que le aplica, y le enviamos una cotización clara por escrito. Sin compromiso y sin presión comercial.
Conclusión
IFX Networks y Keralty no son casos lejanos: ocurrieron aquí, contra organizaciones colombianas, con ransomware de un grupo conocido. La pregunta que debería hacerle a cualquier proveedor de pentesting en Colombia es directa: ¿conoce este panorama y va a probarlo contra mi realidad? Si quiere esa conversación con un equipo que lleva más de dos décadas en el ecosistema de seguridad del país, el siguiente paso es el formulario de arriba.