Descubra lo que un atacante vería en su empresa en Boyacá, antes de que lo explote.
Ciberseguridad real para empresas de Boyacá: simulamos ataques con las mismas técnicas que usaría un adversario, con hallazgos priorizados por riesgo real y retest de las correcciones.
Boyacá produce el 99 % de las esmeraldas de Colombia, explotó más de 4,1 millones de toneladas de carbón en 2024 y es el segundo productor de papa del país. También alberga la única siderúrgica integrada de Colombia y una de las universidades públicas más grandes del país. Esa economía —minería, acero, agroindustria— corre hoy sobre sistemas digitales: nóminas, contratos, pesajes, trazabilidad, facturación electrónica. La ciberseguridad en Boyacá no es un tema de Bogotá que «también aplica aquí»: es la protección de la operación diaria de minas, plantas y comercializadoras que mueven buena parte de la economía del interior.
Esta página explica por qué las empresas boyacenses son objetivo, qué errores vemos repetirse en la región, qué tipos de prueba recomendamos según el sector y cómo trabaja DragonJAR.
En resumen: DragonJAR SAS, empresa colombiana de seguridad informática ofensiva con sede en Manizales (comunidad desde 2001, empresa desde 2012), realiza ciberseguridad real para empresas de Boyacá, con informes ejecutivo y técnico en español, priorizados por riesgo de negocio, y retest de las correcciones.
Tabla de Contenido
Por qué las empresas de Boyacá son objetivo
Minería de alto valor. Boyacá aporta alrededor del 99 % de la producción nacional de esmeraldas, con zonas reconocidas mundialmente como Muzo y Chivor. Donde hay minería de alto valor hay nóminas grandes, contratos sensibles, sistemas de pesaje y despacho, y —dato clave— operaciones que no pueden parar: una planta detenida por ransomware pierde dinero por horas, lo que la convierte en una víctima dispuesta a pagar. A eso se suma el carbón: 4.101.343 toneladas explotadas en 2024, minería subterránea con operaciones digitalizadas (MinEnergía).
Industria pesada. Acerías Paz del Río, en Nobsa, es la siderúrgica integrada del país: unas 420.000 toneladas de acero en 2022 e ingresos de 1,52 billones de pesos en 2023 (Wikipedia). Una planta así opera con redes industriales conectadas a la red corporativa; un atacante que entra por la oficina puede terminar con visibilidad del proceso.
Agroindustria. Boyacá es el segundo departamento productor de papa del país —alrededor del 27 % de la producción nacional, unas 50.000 familias dependiendo del cultivo— y la provincia de Sugamuxi produce unos 59.000 litros de leche diarios (MinAgricultura/SIOC; Boyacá Radio). Comercializadoras, centros de acopio y agroindustrias manejan pagos, anticipos y datos de miles de productores: el fraude por suplantación es el riesgo diario.
Gobierno y educación. Tunja concentra la administración departamental —el 14,16 % de sus ocupados trabaja para el Estado, la mayor dependencia del empleo público del país— y es sede de la UPTC, con 8 facultades y unos 15.000 estudiantes. Ya hay precedente local: en enero de 2015 la web de la Gobernación de Boyacá sufrió un ataque cibernético que intentó acceder a sus sistemas de información (Gobernación de Boyacá).
Errores típicos que vemos en la región
Seguridad por oscuridad geográfica. «Aquí no pasa nada, eso es de Bogotá» es la frase que más escuchamos antes de un incidente. Los ataques automatizados no distinguen ciudades: barren rangos de IPs y listas de correos sin mirar el mapa. La distancia a la capital no es un control de seguridad.
Redes industriales sin segmentar. En plantas y minas modernizadas, la red de oficinas y la de operación suelen compartir infraestructura sin una segmentación real. Desde un equipo comprometido en contabilidad se alcanza a ver equipos de control. Es el hallazgo más grave y más común en entornos industriales.
El proveedor como puerta trasera. Minas e industrias trabajan con contratistas que se conectan remotamente para mantenimiento, con credenciales compartidas y sin registro. Cada contratista con acceso remoto es una extensión de su superficie de ataque que no controla.
Correo como sistema financiero. Anticipos a productores, pagos a contratistas, órdenes de compra: todo por correo, muchas veces sin doble factor. La suplantación del correo del gerente o del proveedor para desviar un pago es el incidente más reportado por las empresas de la región, y no requiere vulnerabilidades técnicas.
Respaldos que no son respaldos. Copias en la misma red, discos conectados permanentemente, «la nube» que es una carpeta sincronizada al mismo equipo. El ransomware cifra primero los respaldos al alcance; si están en la red comprometida, no existen.
Tipos de prueba recomendados por sector
Minería e industria: prueba de penetración a la red corporativa más evaluación del entorno industrial (segmentación IT/OT, credenciales por defecto, accesos remotos de contratistas). El componente OT se hace sin pruebas invasivas contra equipos en producción: revisión de arquitectura y credenciales, ventanas coordinadas para lo demás.
Agroindustria y comercio: prueba a aplicaciones web y sistemas de gestión (contabilidad, inventarios, facturación electrónica), revisión del correo corporativo y simulación de fraude por suplantación. Alcance acotado, precio razonable, hallazgos que se corrigen en semanas.
Gobierno y educación: pruebas a portales y plataformas (matrículas, pagos, trámites en línea), revisión de exposición de datos personales y de controles de acceso entre roles. Aquí el informe también sirve como evidencia de diligencia ante la Ley 1581 de 2012.
Cómo trabaja DragonJAR
Somos una empresa colombiana de seguridad informática ofensiva: comunidad desde 2001, empresa desde 2012. Definimos el alcance con usted —qué se prueba, en qué horarios, qué no se toca—, ejecutamos como un atacante real (explotando y encadenando hallazgos, no pasando un escáner) y entregamos un informe con severidad honesta y pasos de corrección accionables, más un resumen ejecutivo que su gerencia sí va a leer.
Nuestros compromisos: retest incluido en hallazgos críticos, Hallazgos validados (si está en el informe, lo demostramos) y confidencialidad total. En entornos industriales, además: coordinación con su personal de planta y parada inmediata ante cualquier anomalía. La prueba nunca puede ser más peligrosa que el atacante.
Preguntas frecuentes sobre la ciberseguridad en Boyacá
¿Una mina o una planta necesita algo distinto a una oficina?
Sí: el componente industrial. La red corporativa se prueba como cualquier empresa, pero además hay que revisar la segmentación con la red de operación, las credenciales de equipos de control y los accesos remotos de contratistas. Eso requiere metodología OT, no solo un escáner de red.
¿Qué diferencia hay entre un análisis de vulnerabilidades y un Pentesting ?
El análisis automatizado lista posibles fallos; el pentesting los explota y le demuestra el impacto real. Para decidir dónde invertir su presupuesto necesita la prueba, no el inventario.
Somos una empresa pequeña en un municipio, ¿de verdad nos van a atacar?
No le van a atacar por su nombre: le van a barrer por automatización, o le van a usar como puerta hacia un cliente más grande. El ransomware y el fraude por correo no eligen víctimas por tamaño ni por municipio.
¿La prueba cumple con la Ley 1581 de protección de datos?
La Ley 1581 de 2012 exige medidas técnicas de seguridad sobre los datos personales. Un pentesting con informe y retest es la evidencia más sólida de que esas medidas existen y funcionan.
¿Cuánto tarda y cuánto cuesta?
Una pyme: una a dos semanas de prueba más informe y retest. Una planta con componente industrial: tres a cinco semanas. El precio depende del alcance, que se define con usted antes de cotizar: alcance cerrado, precio cerrado, sin sorpresas.
Lo que pasa cuando nos escribe
Cuéntenos en el formulario de contacto a qué se dedica su empresa en Boyacá y qué sistemas sostienen su operación. Le respondemos en menos de 24 horas hábiles con una llamada de descubrimiento sin costo donde definimos el alcance que realmente necesita. Sin compromiso.
DragonJAR es una empresa colombiana de seguridad ofensiva con más de una década operando en industria, gobierno y pymes: sabemos probar una planta sin detenerla y explicarle a una comercializadora, en su idioma, por dónde le pueden entrar. Si su operación mueve esmeraldas, acero, carbón o alimentos y nadie ha probado nunca sus sistemas, esa es exactamente la razón para probarlos ahora.