La Paz no es la capital constitucional de Bolivia, pero es su sede de gobierno: la Presidencia despacha desde la Casa Grande del Pueblo, la Asamblea Legislativa Plurinacional sesiona a pocas cuadras y el Banco Central de Bolivia tiene su domicilio legal en la calle Ayacucho. Aquí se toman las decisiones del Estado y aquí corren los sistemas que las ejecutan: portales de trámites, plataformas de pago del sector público, aplicaciones de banca con casa matriz paceña y las redes de las telecomunicaciones. Cada uno de esos sistemas ya está en el mapa de los atacantes. Un Ethical Hacking en La Paz no es un ejercicio teórico: es comprobar, con autorización y sin interrumpir la operación, si esos sistemas resisten a quien de verdad quiera entrar.
La Paz: administración pública y sector financiero en la mira
La Paz concentra la administración del Estado boliviano, la banca, las aseguradoras, las telecomunicaciones y las sedes administrativas de la minería y los hidrocarburos. Ministerios, entes descentralizados y empresas de servicios gestionan trámites ciudadanos, expedientes, pagos y datos personales sobre plataformas web y sistemas internos, muchos de ellos desarrollados hace años. Esa digitalización del Estado y del sector financiero amplía la superficie de ataque y exige validar la seguridad de los canales que manejan información pública y dinero de miles de ciudadanos.
Tabla de Contenido
El peso institucional es concreto: el Banco Central de Bolivia tiene su domicilio legal en la ciudad de La Paz, según establece el artículo 1 de la Ley N.º 1670, y las principales entidades financieras del país mantienen sus casas matrices y centros de procesamiento en el eje La Paz–El Alto. A eso se suma el aparato público: la Agencia de Gobierno Electrónico y TIC (AGETIC), creada por el Decreto Supremo 2514 de 2015 y dependiente del Ministerio de la Presidencia, tiene entre sus funciones fijar los lineamientos técnicos de seguridad de la información para las entidades públicas y coordinar la gestión de incidentes informáticos del sector público. Cuando una entidad paceña sufre un incidente, la cadena de respuesta ya existe; lo que suele faltar es la evidencia previa de que sus sistemas estaban realmente probados.
Riesgos de ciberseguridad para las empresas en La Paz
De forma cualitativa: intrusiones contra plataformas gubernamentales para robo o alteración de datos, phishing y suplantación contra usuarios de banca móvil y banca en línea, sistemas administrativos heredados con controles obsoletos, y accesos de terceros (proveedores, contratistas) a redes institucionales sin la segregación adecuada. Las organizaciones con menor madurez en seguridad quedan expuestas a filtraciones de información sensible y fraudes difíciles de revertir. Un ethical hacking en La Paz permite comprobar de forma controlada si un atacante podría comprometer sistemas o datos antes de que ocurra un incidente real.
Los casos locales lo confirman. En noviembre de 2025, la propia ASFI informó que el problema detectado en el Banco Mercantil Santa Cruz se originó en un ataque de fuerza bruta dirigido a través de comercios fraudulentos, un método que «consiste en intentos masivos y sistemáticos para identificar números de tarjetas válidos» con el propósito de realizar transacciones no autorizadas (fuente: RTP/Guardiana, con declaraciones de la ASFI). Años antes, Página Siete reportó en La Paz al menos 14 personas víctimas de robos virtuales de sus cuentas, casos que la ASFI atribuyó a clonación de líneas y contraseñas de los clientes (fuente: IBCE/Página Siete). El patrón se repite: el ataque no siempre apunta al núcleo del banco, sino a los canales, los comercios y los dispositivos de los usuarios. Eso es exactamente lo que un ethical hacking bien diseñado pone a prueba.
Superficie de ataque por sector en La Paz
Administración pública. Portales de trámites, sistemas de expedientes, plataformas de interoperabilidad entre entidades y bases de datos de ciudadanos. Suelen combinar desarrollos nuevos con sistemas heredados que nunca pasaron por una prueba de intrusión, y concentran datos cuya filtración tiene impacto político además de técnico.
Banca, seguros y servicios financieros. Banca móvil y banca web, APIs de pagos, pasarelas y canales de corresponsalía. El sector opera bajo la supervisión de la ASFI, cuyo reglamento de seguridad de la información exige análisis de vulnerabilidades y gestión de incidentes a las entidades supervisadas. Aquí el ethical hacking no es decorativo: es la forma de demostrar que los controles exigidos por el regulador funcionan en la práctica.
Telecomunicaciones. Operadores y proveedores con sede en La Paz gestionan la infraestructura sobre la que corre todo lo anterior. Un fallo en sus sistemas de aprovisionamiento o en sus portales de autogestión escala rápido a miles de usuarios.
Minería e hidrocarburos. Las operaciones están en el interior del país, pero las sedes administrativas y financieras están en La Paz: ERPs, sistemas de compras y contrataciones, y accesos remotos a plantas y operaciones. El eslabón débil rara vez es la planta; suele ser la oficina administrativa.
Universidades y educación superior. Plataformas virtuales, sistemas de matrícula y pagos, bases de datos de estudiantes y docentes. Administran datos sensibles con equipos de TI pequeños y presupuestos ajustados, lo que las convierte en objetivos frecuentes y silenciosos.
Qué cubre un ethical hacking en La Paz
Una prueba seria no es un escáner que escupe un PDF: es un equipo intentando entrar, con reglas de juego claras y sin dañar la operación. El alcance mínimo que recomendamos para una organización paceña incluye:
- aplicaciones web y portales: trámites en línea, intranets, banca web y áreas administrativas. Se prueban inyección, control de acceso, gestión de sesiones y exposición de datos.
- APIs e integraciones: los puntos donde tus sistemas hablan con los de otras entidades, proveedores o el ecosistema de gobierno electrónico. Cada integración es una puerta que alguien debe probar.
- Red externa e interna: perímetro expuesto a internet, segmentación entre áreas críticas, wifi corporativo, VPN y accesos remotos.
- Ingeniería social controlada: simulación de phishing al personal, con autorización previa. En entidades públicas y bancos, el factor humano es casi siempre la primera brecha.
- Accesos de terceros: las cuentas y conexiones de proveedores, contratistas y firmas de software. Muchos incidentes empiezan por una credencial de proveedor que nadie rotó.
- Informe en español y re-test: hallazgos priorizados por riesgo real para tu operación, evidencia de cada vulnerabilidad, recomendaciones prácticas de remediación y una segunda pasada para confirmar que lo corregido quedó corregido.
La normativa que aplica en Bolivia (y lo que ninguna exige)
Seamos directos: ninguna ley boliviana dice «contrate un ethical hacking». Quien te venda eso te está vendiendo humo. Lo que sí existe es un marco que hace que probar tus sistemas sea la decisión sensata:
- Ley N.º 164 (8 de agosto de 2011), Ley General de Telecomunicaciones, Tecnologías de Información y Comunicación: es la ley marco del sector TIC en Bolivia. Establece el régimen de las tecnologías de información y comunicación y el sistema de regulación. No exige pentesting, pero sí enmarca las obligaciones de seguridad de quienes operan servicios TIC.
- Decreto Supremo 2514 y la AGETIC: la Agencia de Gobierno Electrónico y TIC fija los lineamientos técnicos en seguridad de la información para las entidades del sector público y coordina la gestión de incidentes informáticos con ellas (artículo 7, incisos f y g). Si tu entidad es pública, tus sistemas ya viven bajo ese paraguas: un ethical hacking es la forma de saber si cumplen lo que el paraguas promete.
- Reglamento de la ASFI para la Gestión de Seguridad de la Información (Resolución ASFI/838/2015, actualizado en 2026): exige a las entidades financieras supervisadas análisis de riesgos, análisis de vulnerabilidades técnicas, administración del control de accesos y gestión de incidentes de seguridad de la información. Las modificaciones de 2026 incorporaron además reglas para computación en la nube y protección de datos (Boletín ASFI N.º 71, marzo de 2026). El informe de un ethical hacking es la evidencia técnica que demuestra ante el supervisor que esos controles no existen solo en papel.
- El vacío que debes conocer: Bolivia aún no tiene una ley integral de protección de datos personales, una deuda señalada por organizaciones de sociedad civil como InternetBolivia.org. Eso no te exime de nada: significa que cuando manejas datos de ciudadanos o clientes, la única prueba de que los cuidas es técnica, no legal. Y esa prueba se llama ethical hacking.
Escenarios que hemos visto en organizaciones como la tuya
El portal de trámites con expedientes ajenos. Una entidad pública paceña tenía su portal de consulta de trámites accesible con un identificador secuencial: cambiando un número en la URL se veían los expedientes de otros ciudadanos. Lo encontró una prueba de control de acceso en una tarde. El arreglo tomó menos de una semana y evitó una filtración masiva de datos personales.
La sesión que nunca expiraba. Una entidad financiera con operación en La Paz tenía su banca web con sesiones que no cerraban por inactividad y permitían enumerar usuarios válidos desde el formulario de ingreso. Encadenado con un ataque de fuerza bruta contra comercios —el mismo patrón que la ASFI documentó en el caso del Banco Mercantil Santa Cruz—, el escenario de fraude era directo. Se corrigió con políticas de sesión, bloqueo por intentos y monitoreo.
La credencial del proveedor. Una institución con sede administrativa en La Paz había contratado años atrás a una firma de software que mantenía acceso VPN permanente «para soporte». La firma ya no prestaba el servicio, pero la cuenta seguía activa, con la misma contraseña de siempre. El ethical hacking la encontró en la fase de reconocimiento. En nuestra experiencia, este es el hallazgo más común en entidades con tercerización histórica y el más barato de corregir: rotar y cerrar accesos.
Preguntas frecuentes sobre el ethical hacking en La Paz
¿Necesitan desplazarse a La Paz o la prueba puede ser remota?
La gran mayoría de las pruebas —aplicaciones web, perímetro externo, APIs, phishing simulado— se ejecutan de forma remota con la misma eficacia. Las fases de red interna o ingeniería social presencial se coordinan con visitas puntuales. DragonJAR atiende organizaciones en toda América Latina con ambas modalidades, incluyendo Bolivia.
¿El ethical hacking interrumpe los trámites o la operación de la entidad?
No, si está bien hecho. Las pruebas se acuerdan por ventanas horarias y con límites claros: no se lanzan ataques de denegación de servicio contra producción y existe un canal directo con tu equipo técnico durante toda la prueba. En entidades con atención al público trabajamos en horarios de bajo tráfico. Si un proveedor te dice que «es normal que se caiga algo», busca otro proveedor.
¿Qué norma boliviana nos obliga a hacer esto?
Ninguna lo exige por su nombre, y te lo decimos de frente. Lo que existe: la Ley 164 como marco TIC, los lineamientos de seguridad de la AGETIC para el sector público y el reglamento de seguridad de la información de la ASFI para las entidades financieras. El ethical hacking es la evidencia técnica de que cumples ese marco, no una casilla legal más.
¿Cuánto tarda un ethical hacking típico?
Depende del alcance: un portal o una aplicación web toma típicamente de una a tres semanas entre pruebas e informe; una entidad con múltiples sistemas, red interna y phishing simulado puede extenderse a cuatro o seis. En la llamada de descubrimiento definimos el alcance y te damos un cronograma cerrado antes de empezar.
¿El servicio incluye volver a probar después de corregir?
Sí, y sin eso el servicio está incompleto. El re-test verifica que cada vulnerabilidad reportada quedó efectivamente corregida y no solo maquillada. Pregunta por esto antes de firmar con cualquiera: si no está incluido, no es un servicio completo.
¿Pueden probar a nuestro personal con phishing simulado?
Sí, con autorización escrita previa y reglas claras. En nuestra experiencia es la fase que más enseña: revela qué áreas caen, con qué pretextos y qué datos entregan. El resultado no se usa para sancionar a nadie, sino para entrenar donde de verdad hace falta.
¿Qué pasa con los datos de ciudadanos que manejamos durante la prueba?
Se tratan con la misma confidencialidad que exigimos para los nuestros: acceso mínimo necesario, sin extracción masiva de datos personales, y todo queda documentado en el acuerdo de confidencialidad y las reglas de juego que firmas antes de empezar. Bolivia no tiene aún ley de protección de datos, así que aplicamos el estándar más estricto por defecto.
Solicita tu ethical hacking en La Paz con DragonJAR
Si tu organización opera en La Paz —entidad pública, banca, aseguradora, telecomunicaciones o servicios—, un ethical hacking adaptado a tu operación muestra con precisión dónde estás expuesto: aplicaciones, APIs, infraestructura y el factor humano. El servicio incluye informe en español con hallazgos priorizados por riesgo, evidencia de cada vulnerabilidad, recomendaciones prácticas de remediación y re-test para confirmar que lo corregido quedó corregido.
Llena el formulario y recibe una llamada de descubrimiento sin costo: revisamos tu caso, definimos el alcance que de verdad necesitas —ni más ni menos—, y te enviamos una propuesta con cronograma y precio cerrados. Sin compromiso, y con la honestidad de decirte si lo que necesitas primero es algo más básico.