Descubra lo que un atacante vería en su empresa en Medellín, antes de que lo explote.
Prueba de Pentesting para empresas real para empresas de Medellín: simulamos ataques con las mismas técnicas que usaría un adversario, con hallazgos priorizados por riesgo real y retest de las correcciones.
Entre diciembre de 2022 y 2023, Empresas Públicas de Medellín confirmó un incidente de ciberseguridad que dejó inhabilitadas sus transacciones por canales digitales y electrónicos: durante días, millones de usuarios solo pudieron pagar sus facturas en corresponsales bancarios (EPM). La ola siguió con EPS Sanitas, Audifarma y el Invima, y los análisis posteriores mostraron que estos ataques no aparecen de la nada: típicamente inician con el compromiso de credenciales de acceso a sistemas o correo electrónico (Bloomberg Línea, con base en el reporte de Lumu). Si su empresa está en Medellín, esa ola no es una noticia lejana: es la prueba de que elegir bien a quién le compras una prueba de Pentesting para empresas en Medellín —y no cualquier cotización— es lo que separa una defensa probada de una suposición cara.
En resumen: DragonJAR SAS, empresa colombiana de seguridad informática ofensiva con sede en Manizales (comunidad desde 2001, empresa desde 2012), realiza prueba de pentesting para empresas real para empresas de Medellín, con informes ejecutivo y técnico en español, priorizados por riesgo de negocio, y retest de las correcciones.
Tabla de Contenido
Cómo elegir un proveedor de pentesting en Medellín
Hay oferta de sobra y calidad desigual. Esto es lo que un decisor debería exigir antes de firmar, lo contrate con quien lo contrate:
Qué pedir en el alcance mínimo
- Objetivos definidos por escrito: qué sistemas se prueban, cuáles quedan fuera y qué técnicas están permitidas. Si la propuesta no lo detalla, no hay prueba seria.
- Pruebas manuales, no solo escáner: un reporte generado por una herramienta automática es un análisis de vulnerabilidades, no un pentesting. Exija que haya un hacker ético validando y explotando los hallazgos a mano.
- Informe ejecutivo y técnico en español: el técnico para su equipo de sistemas, el ejecutivo para la gerencia —con riesgo para el negocio, no solo severidades.
- Evidencia reproducible: cada hallazgo debe venir con cómo se encontró y cómo replicarlo, para que su equipo pueda verificar la corrección.
- Re-test incluido: la prueba no termina con el informe; alguien debe verificar que lo corregido quedó corregido.
- Acuerdo de confidencialidad firmado antes de que toquen su primer sistema.
Señales de alerta en una propuesta
- Le cotizan por número de direcciones IP sin preguntar qué hace su negocio.
- Prometen encontrar todas las vulnerabilidades o, peor, prometen que no las hay.
- El entregable es un PDF de escáner automático sin validación manual.
- No incluyen re-test: le entregan la lista de problemas y se despiden.
- No pueden decirle quién ejecutará la prueba ni con qué experiencia.
- Evitan firmar un acuerdo de confidencialidad o lo minimizan.
Preguntas que debería hacer antes de firmar
- ¿Quién ejecuta la prueba y cuántos años lleva haciendo pentesting real?
- ¿Qué metodología siguen y cómo documentan cada hallazgo?
- ¿Cómo manejan un hallazgo crítico encontrado a las 11 de la noche?
- ¿Qué pasa si algo se cae durante la prueba?
- ¿El re-test tiene costo adicional o está incluido?
En nuestra experiencia, las empresas que compran por precio terminan pagando dos veces: una por el informe inútil y otra por la prueba que sí sirvió. La diferencia entre una propuesta de 3 millones y una de 15 no siempre es el precio: es lo que hay dentro del alcance.
Medellín: tecnología, banca y salud
Medellín concentra uno de los ecosistemas tecnológicos más activos del país —startups y empresas de software, fintech con banca digital, instituciones de salud con historiales clínicos electrónicos, manufactura e industrias creativas—. La ciudad consolidó además un distrito de innovación alrededor de Ruta N que atrae empresas de base tecnológica y talento especializado. Son organizaciones que nacen digitales o aceleran su transformación: manejan datos sensibles de clientes, pacientes y usuarios a través de aplicaciones web, móviles y APIs que evolucionan cada semana.
Ese perfil —empresas que innovan rápido y manejan datos sensibles— define una superficie de ataque en constante cambio. La prueba de pentesting ayuda a estas organizaciones a descubrir sus puntos débiles antes que un atacante real, con un enfoque adaptado a ciclos de desarrollo ágiles y entornos productivos que no pueden detenerse.
Panorama de amenazas para las empresas en Medellín
La ola de 2022-2023 dejó lecciones concretas sobre cómo atacan aquí:
- Credenciales comprometidas como puerta de entrada: el punto de partida típico de los incidentes grandes en el país fue el acceso con credenciales robadas a sistemas o correo, no un exploit de película.
- APIs y aplicaciones en despliegue continuo: las empresas tech de Medellín despliegan código nuevo cada semana; cada despliegue sin validación de seguridad es una puerta potencial que el pentest del año pasado no vio.
- Ingeniería social dirigida: equipos técnicos y administrativos son objetivo de phishing cada vez más personalizado, con información sacada de redes sociales y filtraciones previas.
- Ransomware contra pymes: sin respaldos formales ni segmentación de red, un solo equipo infectado puede cifrar toda la operación.
- Datos de salud y financieros: historiales clínicos y datos de clientes bancarios son de los activos más valiosos en el mercado negro, y las instituciones que los manejan cargan con la mira puesta.
- Credenciales débiles o reutilizadas en entornos de desarrollo y producción, un clásico que seguimos encontrando en casi todas las pruebas.
Normativa que aplica a su empresa
Dos leyes marcan el terreno, y conviene entender qué exige cada una sin adornos:
- Ley 1581 de 2012, de Protección de Datos Personales (texto oficial, MinTIC): aplica a cualquier empresa que trate datos personales en Colombia —clientes, pacientes, empleados—. Exige implementar medidas para garantizar la seguridad de esos datos, y la Superintendencia de Industria y Comercio vigila y sanciona. No dice haga pentesting, pero una prueba periódica es la evidencia más sólida de que sus medidas de seguridad funcionan.
- Ley 1273 de 2009, de Protección de la Información y de los Datos (texto oficial, Cancillería): creó en el Código Penal los delitos contra la confidencialidad, integridad y disponibilidad de los datos y sistemas informáticos —acceso abusivo, daño informático, interceptación, entre otros—. Es la ley que castiga al atacante; su responsabilidad como empresa está en no facilitarle el trabajo.
Y según su sector hay capas adicionales: si procesa pagos con tarjeta, el estándar PCI DSS (Payment Card Industry Data Security Standard) exige pruebas de penetración periódicas; si es entidad vigilada por la Superintendencia Financiera, la regulación de riesgo operativo y ciberseguridad le pide controles probados, no declarados. En salud, sus pacientes y sus aliados le van a pedir evidencia de seguridad vigente en auditorías y contrataciones.
Cuándo un pentesting NO es lo que necesita
Honestidad de practitioner: hay empresas a las que les decimos que todavía no. Si no tiene inventario de sus sistemas, si su equipo no tiene capacidad para corregir lo que encontremos, o si lo que busca es solo un papel para mostrar en una licitación sin intención de remediar, un pentesting es un gasto mal hecho. En esos casos lo correcto es empezar por un análisis de vulnerabilidades o por ordenar lo básico —respaldos, parches, control de accesos— y después sí, probar con un atacante simulado. Se lo diremos en la llamada de descubrimiento antes de que gaste un peso.
Preguntas frecuentes sobre la prueba de pentesting para empresas en Medellín
¿Cuánto cuesta una prueba de pentesting en Medellín?
Depende de su superficie: número de aplicaciones, infraestructura y el alcance que definamos juntos. Como referencia honesta, una pyme con una aplicación web y su red de oficina está en un rango, y una empresa con múltiples plataformas y sedes en otro muy distinto. La cotización exacta sale de la llamada de descubrimiento, no de una tabla genérica.
¿Cuánto tarda la prueba?
Una prueba típica para una empresa mediana toma entre dos y cuatro semanas, incluyendo el informe y el re-test. Alcances más grandes toman más. El cronograma se acuerda con usted antes de empezar, con fechas claras.
¿La prueba puede tumbar mis sistemas o interrumpir la operación?
Se trabaja con reglas de juego acordadas: ventanas de prueba, sistemas fuera de alcance y comunicación directa con su equipo. Los ataques destructivos, como la denegación de servicio, se excluyen por defecto. Si aparece un hallazgo crítico, se le notifica de inmediato en lugar de esperar al informe.
¿El informe sirve para una auditoría o para un cliente que me exige evidencia de seguridad?
Sí: el informe incluye un resumen ejecutivo pensado para gerencia, auditores y clientes, con hallazgos priorizados por riesgo y el estado de la remediación verificada en el re-test. Es evidencia con fecha, no una declaración.
¿Qué necesita mi empresa tener listo antes de empezar?
Una lista de los sistemas a evaluar, un contacto técnico disponible y la autorización formal firmada. No necesita tener todo perfecto —la prueba existe para encontrar lo imperfecto— pero sí capacidad para corregir después.
¿La prueba es remota o presencial en Medellín?
Ambas. La mayoría se ejecuta de forma remota con la misma calidad; cuando el alcance incluye redes internas, plantas o dispositivos físicos en Medellín y el Valle de Aburrá, se coordina presencia en sitio.
La ola que golpeó a EPM, a Sanitas, a Audifarma y al Invima no distinguió por tamaño de empresa: distinguió por quién tenía sus defensas probadas y quién solo las suponía. En Medellín, donde las empresas despliegan software cada semana, la pregunta no es si le van a probar los atacantes, sino si alguien de su lado lo hizo primero.
Solicite su prueba de pentesting para empresas en Medellín con DragonJAR
Si su empresa opera en Medellín —tecnología, banca, salud, manufactura o servicios—, una prueba de pentesting adaptada a su operación muestra con precisión dónde está expuesto: aplicaciones, infraestructura y el factor humano. El servicio incluye informes en español con hallazgos priorizados por riesgo, recomendaciones prácticas de remediación y verificación de que las vulnerabilidades fueron corregidas.
DragonJAR —comunidad de seguridad informática desde 2001 y empresa desde 2012— ejecuta pruebas de pentesting para empresas en Medellín y todo el Valle de Aburrá, con cobertura remota y presencial. Complete el formulario: recibe una llamada de descubrimiento sin costo donde revisamos su caso, definimos el alcance que sí necesita y le decimos con franqueza si un pentesting es lo correcto ahora. Sin compromiso: la recomendación es la misma aunque no contrate nada.