Descubra lo que un atacante vería en su empresa en Rosario, antes de que lo explote.
Pentesting real para empresas de Rosario: simulamos ataques con las mismas técnicas que usaría un adversario, con hallazgos priorizados por riesgo real y retest de las correcciones.
En febrero de 2023, La Segunda Seguros, aseguradora con sede en Rosario, descubrió que el ransomware LockBit había cifrado parte de sus sistemas y exigía unos 50 millones de dólares en criptomonedas para no publicar los datos de sus clientes. La compañía, con más de 1.300 empleados, decidió no pagar: semanas después, los atacantes publicaron los datos. Eso no ocurrió en otro continente: ocurrió en Rosario. Un pentesting en Rosario existe exactamente para lo contrario: encontrar esas fallas antes de que un grupo como LockBit las encuentre primero.
En resumen: DragonJAR SAS, empresa colombiana de seguridad informática ofensiva con sede en Manizales (comunidad desde 2001, empresa desde 2012), realiza pentesting real para empresas de Rosario, con informes ejecutivo y técnico en español, priorizados por riesgo de negocio, y retest de las correcciones.
Tabla de Contenido
Rosario en el mapa de la amenaza
Rosario no es una ciudad cualquiera para el cibercrimen: es el nodo logístico donde se concentra la agroexportación argentina. En 2025, el complejo portuario del Gran Rosario embarcó 75,7 millones de toneladas de granos, aceites y subproductos, recuperando el primer puesto mundial entre los nodos agroexportadores, por encima de Nueva Orleans (74,8 Mt) y Santos (60 Mt). En 70 kilómetros de costa sobre el río Paraná, entre Timbúes y Arroyo Seco, operan 30 terminales portuarias —18 dedicadas a productos agroindustriales— y la región concentra el 75% de la capacidad nacional de molienda de oleaginosas. Esa densidad convierte a los sistemas de gestión portuaria, logística y de acopio en objetivos de alto valor: una interrupción en plena campaña detiene exportaciones.
A eso se suma el ecosistema tecnológico: el Polo Tecnológico Rosario reúne más de un centenar de empresas de software, biotecnología e ingeniería, con 3.018 empleados en 2025 según su propio informe coyuntural. Muchas desarrollan software para terceros bajo modelo B2B: si una es comprometida, el ataque viaja por la cadena de suministro hasta sus clientes. Y el sector financiero y de seguros —el caso La Segunda lo demostró— concentra los datos de miles de clientes en pocas bases de datos.
Superficie de ataque por sector
Agroindustria, puertos y logística. Sistemas de gestión de terminales, plataformas de acopio y comercialización de granos, redes de tecnología operativa en plantas de molienda y conectividad entre corredores logísticos. Un ransomware que cifre el sistema de turnos o de pesaje en plena campaña gruesa no es un incidente informático abstracto: es una cola de camiones de kilómetros y contratos de exportación en riesgo.
Industria. Plantas con redes industriales conectadas a la red corporativa, accesos remotos de proveedores y sistemas de control sin segmentar. En nuestra experiencia, el hallazgo más repetido es el mismo: la red de planta y la red de oficina se tocan, y nadie lo había probado desde el lado del atacante.
Tecnología, software y fintech. aplicaciones web y APIs publicadas sin una prueba de seguridad previa, entornos cloud con configuraciones heredadas y secretos en el código de los pipelines de desarrollo. Las fintech rosarinas, además, operan bajo la mirada del BCRA: un incidente no es solo técnico, es regulatorio.
Servicios, comercio y salud. Compromiso del correo corporativo para fraudes a proveedores —el clásico BEC contra empresas que pagan a acopiadores y transportistas—, tiendas en línea y sistemas de gestión con datos de clientes, e historias clínicas digitales en prestadores de salud.
Qué cubre un pentesting en Rosario
Un pentest serio no es pasar un escáner y entregar un PDF: es un equipo intentando entrar —con reglas claras— para demostrar qué es explotable de verdad. En Rosario, un alcance bien diseñado incluye:
- Aplicaciones web y móviles: portales de clientes, apps de fintech, plataformas de comercialización de granos y tiendas en línea.
- Infraestructura y redes: perímetro expuesto a internet, Active Directory, segmentación entre red corporativa y red industrial, VPN y accesos remotos.
- Entornos cloud: configuraciones de AWS, Azure o GCP, recursos expuestos y gestión de identidades.
- Tecnología operativa (OT): en plantas y terminales, evaluaciones no intrusivas coordinadas con operación, sin detener la producción.
- Ingeniería social y phishing: simulaciones dirigidas al personal administrativo y operativo, que es por donde entran la mayoría de los ransomware.
Y una honestidad necesaria: un pentest no es lo adecuado si busca un sello rápido para un pliego sin intención de corregir nada —el informe quedará en un cajón y el riesgo seguirá ahí—, ni si no tiene un inventario claro de sus activos: primero se hace un descubrimiento y después se define el alcance. En nuestra experiencia, los proyectos que más valor entregan empiezan con una llamada donde el cliente cuenta cómo opera de verdad.
Normativa aplicable en Argentina
En Rosario no hay una ordenanza municipal que exija pentesting, pero sí un marco nacional que lo convierte en la evidencia más sólida de diligencia:
- Ley 25.326 de Protección de Datos Personales (vigente). Obliga a quienes tratan datos personales —clientes, empleados, proveedores— a adoptar medidas técnicas y organizativas para garantizar su seguridad. Si una empresa rosarina sufre una filtración, la autoridad no preguntará si tenía un firewall, sino si había verificado que sus medidas funcionaban. Un test de intrusión es esa verificación.
- Ley 26.388 de Delitos Informáticos (2008). Incorporó al Código Penal figuras como el acceso ilegítimo a sistemas informáticos (art. 153 bis), el fraude informático (art. 173, inc. 16) y el daño informático (arts. 183 y 184). Es el marco que permite perseguir penalmente a quienes ataquen sus sistemas —y la razón por la que un pentest se hace siempre con autorización escrita: la misma conducta, sin contrato, es delito.
- BCRA, Comunicación «A» 7724 (2023). El Banco Central aprobó los requisitos mínimos para la gestión y control de los riesgos de tecnología y seguridad de la información, aplicables a las entidades financieras y a los terceros a quienes deleguen procesos tecnológicos. Exige planificación de la ciberseguridad, prevención del fraude, ciberresiliencia y gestión de ciberincidentes. Si su empresa rosarina provee servicios tecnológicos a un banco o procesa pagos, este es el estándar que le exigirán por contrato.
Casos y escenarios que ya pasaron cerca
La Segunda Seguros, Rosario (2023). El caso que abrió este artículo: ransomware LockBit, rescate de unos 50 millones de dólares, datos publicados tras la negativa a pagar. Una aseguradora rosarina, con la confianza de miles de clientes como activo principal, aprendiendo en público que los respaldos y la segmentación no se improvisan.
Escenario: campaña gruesa. Entre marzo y junio, la logística del Gran Rosario opera al límite: miles de camiones por día, buques en espera. Un ransomware que cifre el sistema de turnos en esa ventana no es un incidente informático: es una cola de camiones de kilómetros y contratos de exportación en riesgo. Por eso un pentest en este sector excluye los sistemas operativos en horario de campaña, salvo autorización explícita.
Escenario: proveedor tecnológico comprometido. Una software factory del Polo desarrolla el sistema de facturación de un acopiador. Un atacante compromete a la factory y llega al acopiador a través de una actualización o un acceso de soporte: el vector clásico de cadena de suministro, sistémico en una ciudad donde la gran mayoría de las tecnológicas venden a otras empresas.
Preguntas frecuentes sobre el pentesting en Rosario
¿Cuánto cuesta un pentesting en Rosario?
Depende del número de activos, de las aplicaciones en alcance y del tipo de prueba (caja negra, gris o blanca). Una cotización seria se construye después de una llamada de descubrimiento donde se levanta ese inventario: si le dan precio sin preguntar nada sobre su infraestructura, no están cotizando un pentest, están vendiendo un paquete. Como referencia del coste de no hacerlo: a La Segunda el incidente le costó la exposición pública de los datos de sus clientes.
¿La Ley 25.326 me obliga a hacer un pentest?
La ley no usa esa palabra, pero exige medidas de seguridad adecuadas para los datos personales que trata su empresa. Un test de intrusión demuestra que esas medidas existen y funcionan. Si hay una filtración, «teníamos antivirus» no es una defensa; un informe de pentest con remediación verificada, sí.
¿El BCRA me aplica si soy una fintech o proveedora tecnológica en Rosario?
La Comunicación «A» 7724 obliga a las entidades financieras y a los terceros a quienes deleguen procesos de tecnología. Si su fintech procesa pagos, da soporte a un banco o su software corre en su infraestructura, el banco le trasladará esas exigencias por contrato: evaluaciones de seguridad, gestión de incidentes y evidencia de controles. Hacer el pentest antes de que se lo pidan le pone del lado bueno de la negociación.
¿Incluyen re-test después de que corrijo las vulnerabilidades?
Sí. Con DragonJAR tiene re-test para verificar que cada hallazgo quedó efectivamente corregido, no solo marcado como corregido en una planilla. En nuestra experiencia, no es raro que alguna corrección quede incompleta —un parche parcial, una configuración que vuelve atrás— y por eso el re-test existe: para cerrar el ciclo con evidencia.
¿Qué recibo exactamente al final del pentest?
Un informe ejecutivo para la dirección, un informe técnico con la evidencia de cada hallazgo y sus pasos de reproducción, un plan de remediación priorizado por riesgo real, una sesión de presentación de resultados y la ronda de re-test. Todo en español, con cada hallazgo verificado manualmente antes de reportarse.
¿Pueden hacer el pentest durante la campaña de cosecha?
Sí, con reglas de enfrentamiento adaptadas: los sistemas logísticos y operativos críticos se prueban fuera del horario pico o se excluyen del alcance intrusivo, y cualquier hallazgo crítico se le comunica en el momento. En plena campaña gruesa, la prioridad es que la operación no se detenga; la prueba se planifica alrededor de eso. Si su ventana es muy estrecha, el proyecto se divide en fases.
Conclusión
Rosario concentra el principal nodo agroexportador del planeta, un polo tecnológico de más de cien empresas y un sector financiero que ya aprendió —con el caso La Segunda— lo que cuesta descubrir tarde una vulnerabilidad. Un pentesting en Rosario bien contratado —alcance escrito, explotación manual, informe en español y re-test— convierte esa exposición en un plan: saber por dónde es vulnerable, cerrarlo y poder demostrarlo ante clientes, reguladores y socios.
Solicite su pentesting en Rosario con DragonJAR
Tres preguntas antes de decidir: ¿cuándo fue la última vez que alguien intentó entrar en sus sistemas con su permiso? ¿Qué pasaría si mañana se filtran los datos de sus clientes: podría demostrar que había verificado sus defensas? ¿Sabe qué tiene expuesto a internet ahora mismo, no lo que cree tener?
Si alguna respuesta le incomoda, complete el formulario y agende una llamada de descubrimiento sin costo. En esa llamada levantamos su inventario de activos, entendemos su sector —agroindustria y logística, industria, tecnología y fintech, servicios— y le recomendamos un alcance concreto: qué probar, con qué profundidad y en qué orden.
DragonJAR nació en 2001 como comunidad de seguridad informática y opera como empresa desde 2012; organiza la DragonJAR Security Conference. Las pruebas se hacen con explotación manual —no solo escáneres—, informe en español y re-test incluido, bajo acuerdo de confidencialidad y con reglas de enfrentamiento claras desde el día uno. Atiende empresas en Rosario de forma remota, con cobertura en toda Argentina.