El 15 de octubre de 2026, el INCIBE hizo público que un menor de 16 años había sido detenido en Alicante como presunto principal operador del ransomware KillSec, dentro de la operación internacional KillSwitch coordinada con Europol. Al grupo se le atribuyen más de 1.000 ciberataques —unos 500 con éxito y más de 280 víctimas—, y la operación intervino cinco servidores y al menos 110 terabytes de datos sustraídos. Que la infraestructura del cibercrimen opere literalmente en tu provincia cambia la conversación: un Pentesting en Alicante no es una precaución abstracta, es la respuesta técnica a una amenaza que ya demostró estar cerca.
Tabla de Contenido
Alicante: contexto económico y digital
Alicante es uno de los motores económicos de la Comunidad Valenciana, y su digitalización tiene una forma muy concreta. El turismo y la hostelería sostienen una amplia red de hoteles, restaurantes y servicios que viven de las reservas y los pagos en línea. El puerto impulsa la logística y el comercio. La industria del calzado de la provincia —con Elche como referente— y la agroalimentación operan con sistemas de gestión, comercio electrónico y cadenas de suministro conectadas. A eso se suma un tejido de pymes de servicios, comercio y tecnología cada vez más digitalizado.
Esa combinación —reservas y pagos en línea, sistemas de gestión hotelera, plataformas logísticas y pymes conectadas— configura una superficie de ataque que conviene evaluar de forma profesional. Hay un detalle que agrava el cuadro: en economías turísticas, la temporada alta concentra ingresos y datos de clientes en ventanas de pocas semanas. Un incidente en agosto no es «un mal momento»: es el peor momento posible.
Riesgos por sector: lo que vemos en empresas alicantinas
Turismo y hostelería. Ransomware dirigido a pymes de hostelería y servicios, phishing y fraude en reservas y pagos en línea, y sistemas de gestión y reservas expuestos a internet sin hardening. Los datos de tarjetas y documentos de identidad de los huéspedes son un botín directo.
Administración pública y servicios. En agosto de 2025 el Ayuntamiento de Elche sufrió un ciberataque que comprometió la confidencialidad, integridad y disponibilidad de sus sistemas municipales: más de 1.500 dispositivos afectados y un coste extraordinario superior a los 4,5 millones de euros, con la recuperación aún incompleta meses después. Cuando cae un ayuntamiento, no solo caen servidores: caen trámites, derechos y servicios esenciales para la ciudadanía.
Pymes de servicios, comercio e industria. Compromiso del correo corporativo para fraudes a proveedores, aplicaciones web y tiendas en línea publicadas sin una prueba de seguridad previa, y dependencias de terceros (gestorías, software de gestión, proveedores de nube) que amplían la superficie de ataque. En nuestra experiencia, el patrón más repetido en pymes es el mismo: nadie ha probado nunca lo que está expuesto a internet.
El contexto nacional no ayuda a la complacencia: según datos del Ministerio del Interior, España pasó de 92.716 ciberdelitos en 2016 a 488.426 en 2025 —más de cinco veces más—, y los ciberdelitos ya representan el 19,8 % de toda la criminalidad registrada, con 429.677 fraudes informáticos en un solo año.
Qué exige la regulación: RGPD, LOPDGDD y la NIS2 que ya llega
Estas son las normas que una empresa alicantina debe tener en el radar:
- Reglamento (UE) 2016/679 (RGPD) — exige medidas técnicas y organizativas apropiadas para garantizar la seguridad de los datos (artículo 32). No dice la palabra «pentesting», pero un test de intrusión es la evidencia más directa de que esas medidas se verifican en la práctica.
- Ley Orgánica 3/2018, de 5 de diciembre (LOPDGDD) — desarrolla el RGPD en España. La autoridad de control es la Agencia Española de Protección de Datos (AEPD), y sus cifras de 2025 son el mejor argumento comercial para tomarse esto en serio: según su Memoria Anual, recibió 30.931 reclamaciones (un 64 % más que en 2024) e impuso 48,1 millones de euros en multas en 326 procedimientos sancionadores. Los expedientes por brechas de seguridad crecieron un 157 % y generaron casi 20 millones en sanciones. Casos como Aena (más de 10 millones por biometría sin evaluación de impacto) o Generali (5 millones por una brecha que expuso datos de 1,6 millones de clientes) muestran que la AEPD ya no sanciona solo a las grandes tecnológicas.
- Directiva (UE) 2022/2555 (NIS2) — en vigor a nivel europeo desde enero de 2023 para 18 sectores críticos. España incumplió el plazo de transposición (17 de octubre de 2024): el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad se aprobó en enero de 2025 pero a octubre de 2026 aún no se ha publicado en el BOE, y el 8 de julio de 2026 la Comisión Europea llevó a España ante el Tribunal de Justicia de la UE. Mientras tanto sigue vigente el Real Decreto-ley 12/2018. La lectura práctica para una empresa alicantina: esperar a la ley es un error; las obligaciones ya se conocen, las grandes empresas ya las exigen a sus proveedores por contrato, y cuando la ley se publique los plazos de adaptación serán cortos.
Además, el RGPD obliga a notificar las brechas de seguridad a la AEPD en 72 horas. Descubrir una vulnerabilidad con un pentest en marzo es un informe; descubrirla porque te filtraron datos en agosto es una notificación a la autoridad, una posible sanción y una noticia.
Beneficios medibles de un pentesting en Alicante
Un pentest no es un gasto de «seguridad»: es una inversión con retorno contable. Lo que obtienes, en términos concretos:
- Evidencia para la AEPD y para auditorías. Un informe de pentesting con explotación demostrada es la prueba de diligencia que el artículo 32 del RGPD espera ver cuando algo sale mal.
- Coste evitado. El Ayuntamiento de Elche pagó más de 4,5 millones de euros por un solo incidente. Una prueba de penetración cuesta una fracción de eso y existe precisamente para que no llegues a ese escenario.
- Hallazgos priorizados por riesgo real, no por CVSS genérico. Recibes qué es explotable hoy en tu infraestructura, con evidencia y pasos de reproducción, no una lista de 400 alertas de escáner sin contexto.
- Re-test incluido. Verificamos que las correcciones funcionaron antes de cerrar el proyecto, no te dejamos un PDF y un «suerte».
- Ventaja contractual. Si vendes a grandes empresas o a la administración, cada vez más contratos exigen evidencias de seguridad. Un informe independiente te pone por delante de competidores que solo tienen buenas intenciones.
Por qué DragonJAR para tu pentesting en Alicante
DragonJAR nació en 2001 como comunidad de seguridad informática y opera como empresa desde 2012. Su equipo ha auditado empresas de sectores como finanzas, salud, gobierno, telecomunicaciones y educación, y organiza la DragonJAR Security Conference, su congreso anual de ciberseguridad.
En la práctica: pruebas con explotación manual —no solo escáneres—, informe ejecutivo y técnico en español con hallazgos priorizados por riesgo real, recomendaciones de remediación que tu equipo puede ejecutar, y re-test para verificar que las vulnerabilidades quedaron corregidas. Todo bajo acuerdo de confidencialidad y con reglas de enfrentamiento claras desde el día uno. DragonJAR atiende empresas en España de forma remota, con cobertura en todo el país.
Preguntas frecuentes sobre el pentesting en Alicante
¿El RGPD me obliga a hacer un pentest?
El RGPD no usa esa palabra, pero su artículo 32 exige medidas técnicas y organizativas apropiadas y la capacidad de demostrar su eficacia. Un test de intrusión es la forma más directa de demostrarlo. Y con 48,1 millones de euros en multas de la AEPD en 2025, «no sabía que estábamos expuestos» no es una defensa.
¿La NIS2 me aplica si soy una pyme alicantina?
La directiva se dirige a entidades esenciales e importantes de 18 sectores críticos, normalmente medianas y grandes empresas. Pero hay dos vías por las que te alcanza igual: si eres proveedora de una entidad afectada (te lo exigirán por contrato) y porque cuando la ley española se publique, los plazos de adaptación serán cortos. Evaluar tu postura ahora es adelantarse, no precipitarse.
¿Tengo que notificar a la AEPD si sufro una brecha?
Sí: el RGPD establece la notificación a la autoridad de control en 72 horas cuando la brecha entrañe un riesgo para los derechos de las personas. Un pentest previo no te exime, pero te da algo mejor: la posibilidad de corregir antes de tener que notificar.
¿El pentest puede tumbar mi sistema de reservas o mi tienda en línea?
Cuando se hace bien, no. Las reglas de enfrentamiento definen ventanas de prueba, sistemas excluidos y técnicas fuera de límites (por ejemplo, denegación de servicio sin autorización explícita). En temporada alta se planifican ventanas fuera de pico. Si aparece un hallazgo crítico, se te avisa de inmediato.
¿Cuánto cuesta un pentesting en Alicante?
Depende del número de activos, aplicaciones y del tipo de prueba. Una cotización seria se construye después de una llamada de descubrimiento donde se levanta ese inventario. Si te dan precio sin preguntar nada, no están cotizando un pentest: están vendiendo un paquete. Como referencia del coste de no hacerlo: un solo incidente le costó al Ayuntamiento de Elche más de 4,5 millones de euros.
¿Qué recibo exactamente al final?
Un informe ejecutivo para la dirección, un informe técnico con evidencia de cada hallazgo y pasos de reproducción, un plan de remediación priorizado, una sesión de presentación de resultados y una ronda de re-test para confirmar las correcciones. Todo en español.
Solicita tu pentesting en Alicante con DragonJAR
Tres preguntas antes de decidir: ¿cuándo fue la última vez que alguien intentó entrar en tus sistemas con tu permiso? ¿Qué pasaría si mañana se filtran los datos de tus clientes —podrías demostrar ante la AEPD que habías tomado medidas? ¿Sabes qué tienes expuesto a internet ahora mismo, no lo que crees tener?
Si alguna respuesta te incomoda, completa el formulario y agenda una llamada de descubrimiento sin costo. En esa llamada levantamos tu inventario de activos, entendemos tu sector —turismo y hostelería, logística, agroalimentación, comercio y servicios— y te recomendamos un alcance concreto: qué probar, con qué profundidad y en qué orden. Sin compromiso.
Después recibes una cotización clara con entregables definidos: informe ejecutivo en español, recomendaciones accionables y re-test incluido. El formulario es el paso lógico después de leer esto, no un banner: es donde empieza tu evidencia de diligencia.
Conclusión
Alicante ya apareció en el mapa del cibercrimen internacional —no como víctima, sino como base de operaciones de uno de los grupos de ransomware más activos de los últimos años— y Elche pagó más de 4,5 millones de euros por aprender que la seguridad no se improvisa. Entre esos dos extremos está tu empresa. Un pentesting en Alicante bien contratado —alcance escrito, explotación manual, informe en español y re-test— convierte la incertidumbre en un plan: saber por dónde eres vulnerable, cerrarlo y poder demostrarlo ante clientes, proveedores y la AEPD.