Descubra lo que un atacante vería en su empresa en Montería, antes de que lo explote.
Pentesting continuo real para empresas de Montería: simulamos ataques con las mismas técnicas que usaría un adversario, con hallazgos priorizados por riesgo real y retest de las correcciones.
Cada junio, el Coliseo de Ferias Miguel Villamil Muñoz se llena de ganaderos de todo el país: la 63.ª Feria Nacional de la Ganadería se celebró del 13 al 23 de junio de 2025, y Córdoba —cerca del 9,33% del inventario bovino nacional según el ICA, segundo departamento con más ganado— puso la casa (agromundo.co). Detrás de cada remate corre software: registro del ganado, facturación electrónica, banca por internet para mover la plata de las subastas. El cibercrimen lo sabe.
Montería concentra además más de 39.500 empresas registradas en su Cámara de Comercio, la mayoría mipymes que hoy venden, facturan y pagan por canales digitales (notasdeactualidad.com). El blanco real no es «la nube»: es el software de gestión de la finca, la tienda en línea del comercio, el sistema de historias clínicas de la IPS. El pentesting continuo en Montería responde una pregunta incómoda: qué puede romper hoy un atacante en mis sistemas, antes de que lo haga.
DragonJAR —comunidad desde 2001, empresa desde 2012— audita organizaciones de todos los tamaños. En ciudades intermedias como Montería el patrón se repite: digitalización acelerada, equipos de TI pequeños y la creencia de que «a nosotros no nos pasa».
En resumen: DragonJAR SAS, empresa colombiana de seguridad informática ofensiva con sede en Manizales (comunidad desde 2001, empresa desde 2012), realiza pentesting continuo real para empresas de Montería, con informes ejecutivo y técnico en español, priorizados por riesgo de negocio, y retest de las correcciones.
Tabla de Contenido
La superficie de ataque monteriana, por sector
Agro y ganadería
El corazón económico de Córdoba: software de gestión ganadera, plataformas de comercialización y subastas con pagos electrónicos, y correo corporativo donde se negocian compras por decenas de millones. Lo típico: ransomware en temporada de comercialización y fraude en pagos a proveedores desde correos comprometidos.
Comercio y mipymes
Más de 39.500 empresas registradas en la Cámara de Comercio de Montería, mayoritariamente mipymes digitales: tiendas en línea con pasarelas de pago, facturación electrónica, redes de oficina sin segmentar. El riesgo dominante: fraude electrónico y phishing contra quienes manejan la banca empresarial.
Salud
Las IPS y clínicas manejan historias clínicas: datos sensibles con el régimen más exigente. El ecosistema lo encabeza el Hospital San Jerónimo, único hospital público de la ciudad y centro de referencia departamental de II y III nivel (esesanjeronimo.gov.co). Agendamientos, resultados de laboratorio y portales de pacientes expuestos a internet son objetivos habituales.
Educación y servicios
La Universidad de Córdoba —campus central en Montería, más de 17.000 estudiantes— opera plataformas académicas, pagos en línea y bases de datos personales masivas (Wikipedia). El mismo patrón aplica a colegios y entidades públicas con trámites en línea: muchos usuarios, pocos controles.
Qué cubre un pentesting continuo hecho en serio
«Continuo» no significa «un informe al año»: significa ciclos recurrentes de prueba sobre un alcance definido, porque cada despliegue y cada cambio de configuración puede abrir una puerta. Un alcance mínimo serio incluye:
- Activos expuestos a internet: sitios web, tiendas en línea, portales de clientes o pacientes, correo y VPN.
- aplicaciones web y APIs: el software de gestión, el ERP, el agendamiento. Aquí el análisis automatizado no basta: se necesita explotación manual.
- Infraestructura interna: red, Wi-Fi, servidores y estaciones, con pruebas de movimiento lateral.
- Re-test obligatorio: después de corregir, se vuelve a probar hasta confirmar que la vulnerabilidad quedó cerrada.
- Informe en español, en dos niveles: ejecutivo para la gerencia (riesgo de negocio y prioridades) y técnico para TI (evidencia y remediación concreta).
Errores caros que vemos una y otra vez
Definir mal el alcance. El error más común: contratar el pentest solo para «la página web» y dejar fuera el sistema de gestión, el correo y la VPN. El atacante no respeta el alcance que usted definió: entra por lo que quedó fuera.
Guardar el informe en un cajón. Sin re-test, las vulnerabilidades se corrigen a medias o no se corrigen, y nadie lo verifica.
Confundir análisis de vulnerabilidades con pentesting. El análisis es automatizado y no intrusivo: detecta y prioriza. El pentesting explota manualmente para demostrar impacto real. Ambos son necesarios; ninguno reemplaza al otro.
Creer que el firewall y el antivirus «ya cubren». No ven una mala configuración en la tienda en línea, una API sin autenticación ni a un empleado que entrega su clave por phishing. El pentest prueba exactamente eso.
Y seamos honestos: el pentesting no siempre es lo adecuado. Si su empresa no tiene inventario de activos digitales ni aplica parches con regularidad, un pentest quema presupuesto: el informe dirá lo obvio. El camino sensato es empezar por un análisis de vulnerabilidades y un plan de remediación, y subir al pentesting cuando la casa esté en orden. Un proveedor serio se lo dirá antes de venderle.
Qué regulación le aplica según su sector
Ninguna norma colombiana dice literalmente «contrate un pentesting». Lo que sí exigen es adoptar medidas técnicas de seguridad, y un pentesting documentado es la evidencia más sólida de que esas medidas existen y funcionan.
- Ley 1581 de 2012 (protección de datos personales): aplica a toda empresa que trate datos de clientes, empleados o pacientes. La Superintendencia de Industria y Comercio puede imponer multas de hasta 2.000 salarios mínimos, suspensión de actividades y cierre de operaciones con datos (texto compilado, MinTIC).
- Sector salud: las historias clínicas son datos sensibles, con el nivel de protección más alto de la Ley 1581. Una filtración aquí no es solo una multa: es un daño reputacional del que las IPS no se recuperan fácil.
- Ley 1273 de 2009 (delitos informáticos): tipifica el acceso abusivo, la interceptación de datos y el daño informático. Un programa de pentesting continuo, con sus informes y re-tests, es la prueba de diligencia debida si alguna vez tiene que demostrar ante una autoridad que hizo lo razonable para protegerse.
Tres escenarios que hemos visto en empresas como la suya
Anonimizados, pero reales en su mecánica:
1. La comercializadora del agro. Portal de gestión ganadera en internet con credenciales por defecto del proveedor, con acceso a los reportes de pagos: el activo más obvio y el menos revisado.
2. El comercio con tienda en línea. Componente desactualizado en la tienda. Los atacantes inyectaron código para copiar los datos de las tarjetas en el momento del pago, durante semanas. Se descubrió por los contracargos, no por monitoreo propio.
3. La IPS con citas en línea. Sistema de agendamiento expuesto sin autenticación robusta, que permitía enumerar pacientes y descargar datos personales: cada registro es un dato sensible bajo la Ley 1581.
Ninguno requirió un «hacker de película»: solo que nadie hubiera mirado.
Lo que recibe si llena el formulario
Sin compromiso y sin letra pequeña:
- Llamada de descubrimiento sin costo con un especialista —no un vendedor—: qué sistemas tiene y qué le preocupa.
- Alcance recomendado por escrito: qué probar, con qué cadencia y por qué, ajustado a su empresa.
- Criterio honesto: si lo que necesita primero es un análisis de vulnerabilidades o un endurecimiento básico, se lo diremos antes de cotizarle un pentesting.
Preguntas que nos hacen en Montería antes de contratar
¿Tienen que venir a Montería o el servicio es remoto?
En la gran mayoría de los casos el servicio es remoto: probamos lo expuesto a internet y coordinamos acceso seguro con su equipo de TI para la parte interna. Atendemos Montería y todo Córdoba sin visitas a sus oficinas.
¿Cuánto cuesta un pentesting continuo?
Depende del alcance: IPs, aplicaciones web y ciclos al año. Por eso la llamada de descubrimiento es sin costo: en quince minutos dimensionamos el alcance y le damos un rango realista.
¿Las pruebas tumban los sistemas o interrumpen la operación?
Se coordinan con su equipo: ventanas de horario acordadas, reglas de no disrupción y comunicación directa durante la ejecución. El objetivo es encontrar vulnerabilidades, no detener su negocio.
Ya tengo antivirus, firewall y copias de seguridad. ¿Para qué un pentest?
Son necesarias pero no suficientes: protegen contra amenazas conocidas y genéricas. El pentesting busca lo específico de su empresa —la mala configuración de su tienda en línea, la API sin autenticación, el portal con credenciales débiles—. Es el complemento, no el reemplazo.
¿Cada cuánto se debe hacer?
La cadencia la marcan sus cambios: despliegues frecuentes o servicios nuevos exigen ciclos frecuentes. Como mínimo, una revisión completa al año y ciclos cortos sobre lo que cambie.
Conclusión
El agro, el comercio, la salud y la educación de Montería ya operan sobre sistemas que un atacante puede alcanzar desde cualquier parte del mundo. El pentesting continuo en Montería es la forma práctica de saber qué tan expuesta está su empresa y de demostrar —ante la gerencia, ante los clientes y ante la ley— que la seguridad se verifica, no se supone. DragonJAR lo ejecuta con el criterio de quien lleva desde 2001 en la comunidad de seguridad y desde 2012 como empresa: pruebas reales, informes que se entienden y re-test hasta cerrar cada hallazgo.