Descubra lo que un atacante vería en su empresa en Sogamoso, antes de que lo explote.
Hacking Ético real para empresas de Sogamoso: simulamos ataques con las mismas técnicas que usaría un adversario, con hallazgos priorizados por riesgo real y retest de las correcciones.
Sogamoso no es una ciudad de oficinas: es una ciudad de hornos. A pocos kilómetros, en Nobsa, operan Acerías Paz del Río —la siderúrgica más grande de Colombia, que aportó unas 420.000 toneladas de acero en 2022 con ingresos de 1,52 billones de pesos en 2023 (Wikipedia)— y la planta de cemento de Holcim, con capacidad instalada de 1,6 millones de toneladas al año (Holcim, informe 2008). Alrededor de esa industria pesada gira un tejido de 7.681 empresas en el municipio, de las cuales el 96,7 % son microempresas (Cámara de Comercio de Sogamoso, 2025). Esa combinación —industria pesada digitalizada más miles de pymes— es exactamente lo que el hacking ético en Sogamoso está llamado a proteger: plantas que ya no se operan con palancas sino con redes, y negocios pequeños que manejan datos de clientes en sistemas que nadie revisó jamás.
Esta página explica por qué las empresas de Sogamoso son objetivo, qué errores vemos una y otra vez en la región, qué tipo de prueba necesita cada tamaño de empresa y cómo trabajamos en DragonJAR cuando hacemos hacking ético aquí.
En resumen: DragonJAR SAS, empresa colombiana de seguridad informática ofensiva con sede en Manizales (comunidad desde 2001, empresa desde 2012), realiza hacking ético real para empresas de Sogamoso, con informes ejecutivo y técnico en español, priorizados por riesgo de negocio, y retest de las correcciones.
Tabla de Contenido
Por qué las empresas de Sogamoso son objetivo
La primera razón es la convergencia entre tecnología operativa (OT) y tecnología de información (IT). Una siderúrgica o una cementera moderna corre con sistemas SCADA, historiadores de datos y redes de planta que hoy están conectados a la red corporativa —y a veces a internet— para monitoreo remoto. Un atacante que entra por la oficina puede terminar con visibilidad sobre el proceso industrial. No es ciencia ficción: es la arquitectura real de cualquier planta que se modernizó en la última década sin segmentar.
La segunda razón es la cadena de suministro. Las grandes industrias de la zona trabajan con decenas de proveedores locales: transportadoras, talleres de mantenimiento, firmas de ingeniería, comercializadoras. Esos proveedores son pymes con poca o nula seguridad, pero tienen accesos remotos, VPNs y cuentas en los portales de sus clientes grandes. Atacar al proveedor pequeño para llegar al cliente grande es una de las rutas más rentables para un atacante, y en Sogamoso esa cadena es densa.
La tercera es la minería de carbón de la provincia de Sugamuxi —minería subterránea con operaciones que manejan nóminas, contratos y sistemas de pesaje y despacho digitalizados— y un comercio regional que mueve inventarios y facturación electrónica desde sistemas contables conectados. Cada uno de esos sistemas es una puerta.
Errores típicos que vemos en la región
Redes de planta sin segmentar. El caso clásico: la red de oficinas y la red de control comparten el mismo segmento, o hay un firewall entre ellas con reglas de «permitir todo» que nadie revisó en años. Desde un equipo comprometido en contabilidad se puede hacer ping a los PLCs. Lo hemos visto más veces de las que quisiéramos admitir.
Credenciales por defecto en equipos industriales. Controladores, cámaras, sistemas de pesaje y variadores que conservan el usuario y la contraseña de fábrica. Están en manuales públicos; un atacante no necesita explotar nada, solo probar.
Accesos remotos de mantenimiento sin control. El técnico del proveedor que se conecta por TeamViewer o AnyDesk «cuando se necesita», con la misma contraseña desde hace tres años y sin registro de sesiones. Ese acceso es también el del atacante que robe esa credencial.
Respaldos conectados a la red. En las pymes de la zona el respaldo suele ser un disco en la misma red o una carpeta compartida. El ransomware moderno cifra primero los respaldos; si están al alcance de la red comprometida, no son respaldos.
Correo como sistema operativo. Cotizaciones, órdenes de compra, facturas y hasta claves de portales bancarios circulan por correo sin cifrado ni doble factor. El fraude por suplantación de proveedor —cambiar la cuenta de destino de un pago— es el incidente más común que nos reportan las pymes, y no requiere vulnerabilidades técnicas: requiere un buzón comprometido.
Qué tipo de prueba necesita su empresa
No todas las empresas de Sogamoso necesitan lo mismo, y decir lo contrario sería vender humo. Una pyme comercial o de servicios necesita una prueba de penetración a su red y sus aplicaciones web: correo, portal de clientes, sistema contable expuesto, wifi corporativo. Alcance acotado, hallazgos accionables, precio razonable.
Una industria con planta necesita además una evaluación de su entorno OT: inventario de activos de control, revisión de segmentación entre IT y OT, credenciales por defecto y accesos remotos. Esto se hace con cuidado extremo —nunca con escaneos agresivos contra equipos en producción— y normalmente en ventanas coordinadas con el personal de planta.
Y si su empresa es proveedora de una industria grande, lo que necesita es una revisión de sus accesos y de su postura mínima: lo que su cliente grande le va a exigir tarde o temprano en sus cuestionarios de seguridad. Hacerlo antes de que se lo pidan le pone por delante de sus competidores en la próxima licitación.
Cómo trabaja DragonJAR
Somos una empresa colombiana de seguridad informática ofensiva: comunidad desde 2001, empresa desde 2012. Cuando hacemos hacking ético en Sogamoso, el proceso es el mismo que aplicamos en cualquier planta o pyme del país: definimos el alcance con usted (qué se toca y qué no, con horarios si hay producción de por medio), probamos como un atacante real —explotando y encadenando hallazgos, no pasando un escáner—, y le entregamos un informe que distingue lo crítico de lo accesorio, con pasos de corrección que su equipo de sistemas puede ejecutar sin traductor.
Dos compromisos que nos diferencian: retest incluido —volvemos a probar cada hallazgo crítico después de que lo corrija, sin costo adicional— y Hallazgos validados: si está en el informe, lo explotamos o lo demostramos. Un informe lleno de «posibles» vulnerabilidades que nadie puede reproducir no sirve para nada.
En entornos industriales trabajamos con reglas de seguridad estrictas: sin pruebas invasivas contra equipos en producción sin su autorización explícita, coordinación con su personal de planta y paradas inmediatas ante cualquier comportamiento anómalo. La prueba nunca puede ser más peligrosa que el atacante.
Preguntas frecuentes sobre el hacking ético en Sogamoso
¿El hacking ético puede tumbar los sistemas de mi planta?
No si se hace bien. En entornos OT nunca lanzamos escaneos agresivos ni exploits contra equipos en producción sin coordinarlo con usted y sin ventanas definidas. Gran parte de la evaluación OT es revisión de arquitectura, credenciales y segmentación —trabajo que no toca el proceso. Si algo requiere prueba activa, se hace en mantenimiento programado o sobre equipos de respaldo.
Mi empresa es pequeña, ¿de verdad soy objetivo?
Probablemente no por su nombre, pero sí por su posición: es proveedor, tiene accesos a clientes más grandes, maneja pagos y datos. Además, el ransomware y el fraude por correo son automatizados: no eligen víctimas, barren rangos enteros. El 96,7 % del tejido empresarial de Sogamoso son microempresas; los atacantes lo saben y cuentan con que ninguna tenga defensas serias.
¿Qué diferencia hay entre un análisis de vulnerabilidades y un hacking ético?
El análisis le lista posibles fallos con una herramienta; el hacking ético los explota de verdad y le demuestra el impacto: «con esta credencial llegué a su contabilidad», no «existe una vulnerabilidad teórica». El primero es un inventario; el segundo, una prueba.
¿Cuánto dura una prueba típica?
Una pyme: entre una y dos semanas de prueba más el informe y el retest. Una planta industrial con componente OT: de tres a cinco semanas según el alcance. Le damos cronograma cerrado antes de empezar, no estimados flotantes.
¿El informe sirve para cumplir la Ley 1581 de protección de datos?
La Ley 1581 de 2012 le obliga a adoptar medidas técnicas de seguridad sobre los datos personales que maneja. Un hacking ético con informe y retest es la evidencia más sólida de que esas medidas existen y funcionan —no un papel, una prueba.
¿Cuánto cuesta y cuánto tarda un hacking Ético en Sogamoso?
Depende del alcance: cuántas aplicaciones, APIs, direcciones IP o sedes entran, la profundidad de la prueba y las ventanas disponibles. El costo y el plazo se confirman en la propuesta que recibe tras solicitarla. Solicitar cotización.
Lo que pasa cuando nos escribe
Cuéntenos en el formulario de contacto a qué se dedica su empresa y qué sistemas sostienen su operación —planta, oficinas, ambas—. Le respondemos en menos de 24 horas hábiles con una llamada de descubrimiento sin costo donde definimos el alcance que realmente necesita: ni una prueba gigante que no pueda pagar ni una revisión cosmética que no le proteja. Sin compromiso.
DragonJAR es una empresa colombiana de seguridad ofensiva con más de una década operando: sabemos lo que es probar una planta sin detenerla y lo que es explicarle a una pyme, en su idioma, por dónde le pueden entrar. Si su operación depende de sistemas que nadie ha probado nunca, esa es exactamente la razón para probarlos ahora.