Descubra lo que un atacante vería en su empresa en Cali, antes de que lo explote.
Hacking ético real para empresas de Cali: simulamos ataques con las mismas técnicas que usaría un adversario, con hallazgos priorizados por riesgo real y retest de las correcciones.
Cali mueve plata, mercancía y datos por tres carriles al mismo tiempo: la industria manufacturera, la agroindustria azucarera del Valle del Cauca y el corredor logístico que conecta con el puerto de Buenaventura. Buena parte de esa operación se coordina como en casi toda Colombia: por correo electrónico, por plataformas de facturación electrónica y por banca en línea.
Y ahí está el problema. En nuestra experiencia, las empresas caleñas no suelen ser atacadas por lo que venden sino por cómo operan: pagos a proveedores autorizados por correo, anticipos a transportadoras, despachos coordinados entre correos y mensajes, facturación electrónica emitida desde equipos de oficina. Un atacante no necesita romper tus sistemas: le basta con leer tu correo durante una semana.
En resumen: DragonJAR SAS, empresa colombiana de seguridad informática ofensiva con sede en Manizales (comunidad desde 2001, empresa desde 2012), realiza hacking ético real para empresas de Cali, con informes ejecutivo y técnico en español, priorizados por riesgo de negocio, y retest de las correcciones.
Tabla de Contenido
Por qué las empresas de Cali están en la mira
Hay tres razones, y ninguna tiene que ver con el tamaño de tu empresa:
- El dinero se autoriza por canales informales. En muchas empresas de la región, un correo basta para que tesorería gire un pago a un proveedor o para cambiar la cuenta bancaria registrada de un contratista. Eso es exactamente lo que explota el fraude por correo empresarial: el atacante no hackea el banco, hackea la conversación previa al pago.
- La cadena logística multiplica los interlocutores. Entre tu empresa, las transportadoras, los agentes de carga y los proveedores hay decenas de personas intercambiando documentos, anticipos y datos comerciales por correo. Cada eslabón es una puerta de entrada potencial a tu operación.
- El tejido pyme opera con controles básicos. La industria y el comercio caleños están llenos de empresas sólidas sin área de seguridad, donde el «encargado de sistemas» hace de todo. Eso no es una crítica: es una realidad que el atacante conoce y aprovecha.
A eso se suma el valor de tus datos comerciales: listas de precios, clientes, rutas y contratos son información que la competencia desleal o un extorsionador saben monetizar.
Errores típicos que vemos en la región
De forma cualitativa, estos son los fallos que más se repiten cuando auditamos empresas en Cali y el Valle del Cauca:
- Cuentas de correo corporativo con claves débiles o reutilizadas, casi siempre sin doble factor de autenticación. Es la puerta de entrada más barata para un atacante.
- Phishing dirigido al personal administrativo y comercial, con ingeniería social armada sobre operaciones reales: una «factura pendiente», un «cambio de cuenta bancaria del proveedor», un «anticipo urgente para un despacho». Cuando el engaño usa tus datos reales, el filtro humano falla.
- aplicaciones web desactualizadas o con configuraciones por defecto: portales de clientes, tiendas en línea y sistemas de gestión que nadie ha revisado desde que se instalaron.
- Banca electrónica y facturación electrónica operadas desde equipos sin control, a veces los mismos equipos de uso personal o compartidos entre varios empleados.
- Respaldos que existen pero nadie ha probado restaurar. El día del ransomware descubres si tu respaldo sirve o si solo ocupa disco.
- Redes inalámbricas corporativas con clave compartida que conoce media empresa, incluidos exempleados y visitantes de hace dos años.
Las empresas que combinan operación industrial, logística y gestión digital concentran su riesgo en las aplicaciones web, el correo corporativo y los equipos de los usuarios: vectores que exigen validación periódica, no esporádica.
Qué tipo de prueba necesita tu empresa
No todas las empresas necesitan lo mismo. Según tu perfil, estas son las pruebas que recomendamos:
- Pentest de aplicaciones web: tus portales de clientes, tu comercio electrónico, tus plataformas de facturación o gestión. Se prueban controles de acceso, lógica de negocio e inyecciones: lo que un atacante automatizado encontraría en horas.
- Pentest de infraestructura externa: todo lo que expones a internet — correo, accesos remotos, VPN, servicios publicados — evaluado con ojos de atacante.
- Pentest de infraestructura interna: qué podría hacer alguien que ya está dentro de tu red: un equipo comprometido por phishing, un proveedor con acceso, un punto de red desatendido.
- Ingeniería social y phishing simulado: mide el eslabón más atacado de tu empresa, las personas, con campañas diseñadas sobre tu operación real.
- Revisión de configuraciones: correo corporativo, nube, privilegios y accesos. La mayoría de las intrusiones que vemos no rompieron nada: entraron con credenciales válidas por una configuración descuidada.
Cómo elegir: una pyme industrial con operación logística prioriza infraestructura externa, correo y phishing simulado; una empresa de servicios con portal de clientes prioriza la aplicación web. Esa priorización se define en el diagnóstico de alcance, antes de que decidas nada.
Cómo trabaja DragonJAR
DragonJAR nació en 2001 como comunidad de seguridad informática y opera como empresa desde 2012. Así se desarrolla una prueba con nosotros:
- Llamada de descubrimiento: entendemos tu operación en Cali y el Valle del Cauca, tu infraestructura y tus preocupaciones. Sin tecnicismos innecesarios.
- Propuesta de alcance por escrito: qué se prueba, qué no se toca, horarios y reglas de juego. Lo firmas tú; sin sorpresas después.
- Ejecución controlada: pruebas manuales y automatizadas con un canal directo: si aparece algo crítico, te avisamos de inmediato. No esperas al informe final para enterarte de lo grave.
- Informe en español: hallazgos priorizados por riesgo real para tu negocio, con evidencia y pasos concretos de remediación. Sin falsos positivos que te hagan perder tiempo.
- Re-test: cuando tu equipo corrige, volvemos a probar para verificar que la corrección funcionó. La prueba termina cuando el riesgo baja, no cuando se entrega el reporte.
Todo el proceso corre bajo acuerdos de confidencialidad estrictos, y la cobertura es remota y presencial en Cali y el Valle del Cauca.
Preguntas frecuentes de quienes contratan en Cali
¿Cuánto cuesta un pentest?
Depende del alcance: no cuesta lo mismo probar una aplicación web puntual que una infraestructura completa con ingeniería social. Por eso el primer paso es el diagnóstico de alcance, que recibes sin compromiso al llenar el formulario: ahí defines qué probar y con qué presupuesto realista.
¿Tenemos que parar la operación durante la prueba?
No. Las pruebas se ejecutan en ventanas acordadas contigo y con reglas que protegen la disponibilidad de tus sistemas. Si algo es crítico y frágil, se prueba de forma no intrusiva o en un ambiente equivalente.
¿Qué pasa si encuentran algo grave a mitad de la prueba?
Te avisamos de inmediato por el canal acordado al inicio, con la evidencia y una recomendación de contención. Los hallazgos críticos no esperan al informe final.
¿Cada cuánto deberíamos hacer un pentest?
Como mínimo una vez al año, y siempre después de cambios grandes: una plataforma nueva, una migración a la nube, la apertura de accesos remotos o un incidente de seguridad. La seguridad que no se revalida se desactualiza.
¿Esto nos ayuda a cumplir la Ley 1581 de 2012?
Sí. La ley de protección de datos personales exige implementar medidas de seguridad apropiadas para los datos que tratas, y un pentest documentado es la evidencia más sólida de diligencia que puedes presentar ante una auditoría o un requerimiento.
¿Trabajan con pymes o solo con empresas grandes?
Con las dos. El alcance se ajusta al tamaño y a la criticidad de tu operación: una pyme industrial no necesita el mismo ejercicio que un grupo financiero, pero sí necesita saber por dónde entraría un atacante a su operación.
Solicita tu prueba de hacking ético en Cali
Tres preguntas de autodiagnóstico antes de escribirnos: ¿cuándo fue tu última prueba de seguridad real — no un escaneo automático, una prueba con un humano del otro lado? ¿Quién en tu empresa puede autorizar un pago con solo un correo? ¿Probaste tus respaldos este año o simplemente existen?
Si alguna respuesta te incomodó, hablemos. Al llenar el formulario recibes un diagnóstico de alcance sin compromiso: qué conviene probar en tu caso, cuánto tomaría y qué recibirías al final. Conoce también nuestros servicios de seguridad informática y agenda una llamada de descubrimiento para definir el alcance recomendado para tu infraestructura en Cali y el Valle del Cauca.
En Cali el riesgo no está en la tecnología que usas sino en cómo se opera todos los días: correos, pagos, despachos. Un hacking ético te muestra, con evidencia, por dónde entraría un atacante real a tu operación y qué cerrar primero. Esa es la diferencia entre creer que estás protegido y saberlo.