Pentesting en La Paz

La Paz: comercio, turismo y servicios en la altura

Además de su papel administrativo, La Paz mueve comercio binacional con el sur del Perú, turismo internacional hacia el Salar de Uyuni y el lago Titicaca, universidades y un creciente ecosistema de servicios profesionales y tecnología. Hoteles, agencias, retailers y empresas de transporte y logística gestionan reservas, pagos con tarjeta, facturación electrónica y flotas sobre plataformas web y móviles. Esa economía digital de cara al cliente amplía la superficie de ataque: cada canal de venta y cada sistema de reservas es un punto de entrada potencial para un atacante.

La escala del movimiento es medible. En la frontera de Desaguadero, el paso más concurrido entre Bolivia y el Perú, el Centro Binacional de Atención en Frontera agiliza la circulación de aproximadamente 100.000 camiones de carga y 8.800 vehículos de turismo al año, con cerca de 572.000 personas cruzando anualmente (fuente: Gobierno del Perú). Ese flujo comercial y turístico se gestiona, factura y paga sobre sistemas digitales: agencias aduaneras, operadores logísticos, hoteles y comercios paceños que venden en línea. Y en la ciudad misma, la conurbación La Paz–El Alto ya opera servicios públicos con pagos digitales integrados, como el QR de Mi Teleférico con su tarjeta virtual Yala. La digitalización dejó de ser un proyecto: es la operación diaria.

Riesgos de ciberseguridad para las empresas en La Paz

De forma cualitativa: fraude con tarjetas y pasarelas de pago en turismo y comercio, phishing y suplantación de marca contra viajeros y clientes, accesos remotos sin controles en agencias y operadores logísticos, y sitios web y plataformas de reserva desarrolladas sin pruebas de seguridad. Las empresas con menor madurez en seguridad quedan expuestas a fraude directo, daño reputacional y pérdida de confianza de clientes internacionales. Un pentesting en La Paz permite comprobar de forma controlada si un atacante podría comprometer sistemas o datos antes de que ocurra un incidente real.

El fraude con tarjetas ya golpeó al sistema financiero boliviano con un patrón que afecta directamente al comercio. En noviembre de 2025, la ASFI informó que el incidente detectado en el Banco Mercantil Santa Cruz se originó en un ataque de fuerza bruta a través de comercios fraudulentos: intentos masivos y sistemáticos para identificar números de tarjetas válidos y realizar transacciones no autorizadas por plataformas digitales (fuente: RTP/Guardiana, con declaraciones de la ASFI). El propio coordinador del Centro de Ciberseguridad de Bolivia explicó que estos ataques se concretan probando tarjetas en plataformas comerciales sin las medidas de seguridad necesarias. Traducción para un hotel, una agencia o un retailer paceño: si su pasarela o su plataforma de reservas no está probada, puede convertirse en el campo de pruebas de un defraudador sin que se entere.

Qué exige la regulación nacional (con nombre y apellido)

Primero la honestidad: ninguna ley boliviana obliga a una empresa de turismo, comercio o servicios a contratar un pentesting. Pero hay normas que sí le tocan, y conviene conocerlas por su nombre:

• PCI DSS v4.0.1, Requisito 11.4: si su negocio acepta tarjetas —hotel, agencia de viajes, retailer, restaurante—, el estándar de la industria de tarjetas exige pruebas de penetración internas y externas al menos una vez cada 12 meses y después de cambios significativos, con corrección y re-test de los hallazgos (fuente: IS Partners). No es una ley boliviana: es el contrato que firmó con su adquirente o procesador de pagos. Incumplirlo puede costarle la capacidad de cobrar con tarjeta.
• Reglamento de la ASFI para Empresas de Tecnología Financiera: la ASFI emitió el reglamento para las ETF, que regula su constitución y funcionamiento e impone obligaciones expresas de protección de datos personales, ciberseguridad, tratamiento de información y gestión de riesgos, con plazo de adecuación para las empresas que ya operaban. Si su modelo de negocio toca servicios financieros con innovación tecnológica, este reglamento ya le aplica.
• Ley N.º 164 (2011), Ley General de Telecomunicaciones, Tecnologías de Información y Comunicación: el marco general del sector TIC en Bolivia. No exige pentesting, pero enmarca las obligaciones de seguridad de quienes prestan servicios sobre estas tecnologías.
• Lo que no le aplica (aunque otros le digan lo contrario): el GDPR europeo no obliga a hacer pentesting a una empresa boliviana, y ninguna norma internacional «con implicaciones» sustituye lo anterior. Desconfíe de quien le venda un pentesting «porque Europa lo exige»: el argumento real es su riesgo de fraude y sus contratos con procesadores de pago, no una ley extranjera.

Beneficios medibles de un pentesting en La Paz

Un pentesting bien hecho no es un gasto de cumplimiento: es una medición. Esto es lo que obtiene, en términos que un gerente entiende:

• Fraude detectado antes de que cueste plata. El caso del Banco Mercantil Santa Cruz mostró cómo los atacantes usan comercios con controles débiles para validar tarjetas robadas. Probar su pasarela y su plataforma de reservas le dice si su negocio puede ser usado así, antes de que un defraudador se lo demuestre gratis.
• Evidencia para su procesador de pagos. Si acepta tarjetas, el Requisito 11.4 de PCI DSS exige el pentesting anual. El informe —con metodología documentada, hallazgos corregidos y re-test— es la evidencia que presenta en su evaluación de cumplimiento.
• Confianza del cliente internacional. El turista que reserva desde el extranjero y el comprador corporativo que contrata logística eligen proveedores que inspiran confianza. Poder decir «nuestros sistemas pasan por pruebas de intrusión periódicas» pesa en una negociación, y más cuando su competencia no puede decirlo.
• El costo de no hacerlo, en números. El informe Cost of a Data Breach 2025 de IBM calculó en 3,81 millones de dólares el costo promedio de una filtración de datos en Latinoamérica (fuente: IBM). Para un hotel, una agencia o un operador logístico paceño, un solo incidente con exposición de datos de clientes puede significar meses de operación en riesgo y la pérdida de los contratos que sostienen el negocio.
• Corrección verificada, no solo informe. Cada hallazgo se vuelve a probar después de su corrección. Sin re-test, no sabe si el problema quedó resuelto o solo escondido; con re-test, tiene la certeza documentada.

Qué pedimos probar en un negocio paceño típico

El alcance se define con su operación, pero en nuestra experiencia estos son los frentes que más valor entregan en comercio, turismo y servicios:

• Plataforma de reservas y tienda en línea: flujos de pago, control de acceso entre usuarios, manipulación de precios y sesiones.
• Pasarela y entorno de tarjetas: cómo viajan los datos de tarjeta por sus sistemas y si su segmentación realmente aísla el entorno de pago.
• Perímetro y red interna: lo expuesto a internet, wifi de clientes separado de la red operativa, accesos remotos de sucursales o personal.
• Phishing simulado: su personal de reservas, recepción y administración recibe los correos de «actualiza sus datos» y «nueva cuenta del proveedor». Con autorización previa, medimos quién cae y entrenamos donde hace falta.
• Proveedores y accesos de terceros: el sistema de reservas que administra un tercero, el contador con acceso remoto, la agencia de marketing con credenciales del sitio. Se prueba todo lo que tenga llave de su casa.