Descubra lo que un atacante vería en su empresa en Argentina, antes de que lo explote.
Pentesting real para empresas de Argentina: simulamos ataques con las mismas técnicas que usaría un adversario, con hallazgos priorizados por riesgo real y retest de las correcciones.
En abril de 2025, un proveedor argentino de sistemas de imágenes médicas que da servicio a más de 30 clínicas, sanatorios y hospitales fue hackeado: más de 665.000 estudios de pacientes quedaron expuestos, con radiografías, ecografías, resultados de laboratorio y datos personales de pacientes y profesionales (itwarelatam.com). No era un descuido aislado: era el software que usan decenas de instituciones de salud en todo el país.
Si eso le pasa a una empresa que vive de manejar datos sensibles, pregúntese qué tan expuesta está la suya. Un Pentesting en Argentina es una prueba de penetración autorizada: especialistas atacan sus sistemas con las técnicas de un ciberdelincuente real para mostrarle, con evidencia, por dónde podrían entrar. Aquí explicamos por qué las empresas argentinas están en el punto de mira, los errores que más vemos en la región, qué pruebas recomendamos y qué normativa le aplica.
En resumen: DragonJAR SAS, empresa colombiana de seguridad informática ofensiva con sede en Manizales (comunidad desde 2001, empresa desde 2012), realiza pentesting real para empresas de Argentina, con informes ejecutivo y técnico en español, priorizados por riesgo de negocio, y retest de las correcciones.
Tabla de Contenido
Argentina: contexto empresarial y superficie de ataque
Argentina tiene una de las economías más diversificadas de América Latina: el agro y la agroindustria, la banca y los servicios financieros, una industria del software reconocida en la región, el sector energético y un comercio cada vez más digital. Bancos, fintechs, empresas de software, agroexportadoras y comercios operan sobre banca electrónica, plataformas en línea, sistemas de gestión y canales de venta digitales. Todo eso es superficie de ataque: cada portal de clientes, cada API de pagos, cada sistema de gestión conectado a internet es una puerta que alguien puede probar.
La escala del problema está documentada: según el relevamiento de FortiGuard Labs recogido por la prensa especializada, en 2025 se registraron alrededor de 5.700 millones de intentos de ataque contra objetivos en Argentina (chubutaldia.com). No todos llegan a ser incidentes, pero muestran el volumen de actividad maliciosa que enfrenta cualquier empresa argentina con presencia digital.
Por qué las empresas argentinas están en el punto de mira
Argentina concentra el 8,62 % de los incidentes de ransomware de América Latina en el primer semestre de 2026: cuarta en la región, detrás de Brasil, México y Colombia, según SCILabs (convergencia.com). Los sectores más golpeados —servicios, gobierno y manufactura— son el perfil de buena parte del tejido empresarial argentino.
Los casos públicos lo confirman. En marzo de 2025, Fabricaciones Militares, empresa estatal dependiente del Ministerio de Defensa, sufrió un ataque de ransomware atribuido al grupo Monti (redcastrense.com.ar). Antes ya habían caído el Senado de la Nación, el PAMI —con historias clínicas expuestas—, la Universidad de Buenos Aires, el Ingenio Ledesma y el Grupo Rossi. El patrón es claro: los atacantes van donde hay datos que valen dinero, y las empresas argentinas los tienen en abundancia.
Errores típicos que vemos en empresas de la región
En nuestra experiencia, los mismos fallos se repiten con una regularidad que ya no sorprende. El primero: credenciales de fábrica en paneles y sistemas que quedaron expuestos a internet «temporalmente» y nunca se movieron. El segundo: respaldos en el mismo servidor que protegen, o copias que nadie ha probado restaurar. El tercero: el «área de sistemas» es una sola persona que además hace soporte, y la seguridad la atiende cuando sobra tiempo.
La cadena de proveedores es otro: el software de facturación, el estudio contable, la agencia de la web; todos tienen algún acceso y casi nadie revisa qué pueden ver. Y el phishing dirigido: con la cantidad de trámites digitales que exige operar en Argentina, un correo que imita a un banco o a un organismo oficial pasa el filtro humano con demasiada facilidad. Ninguno de estos errores requiere un atacante sofisticado. Requieren que alguien los busque antes que el delincuente: eso es lo que hace una prueba de penetración.
Qué tipos de prueba recomendamos para empresas argentinas
No todas las empresas necesitan lo mismo, y un proveedor honesto empieza por ahí. El alcance útil depende de su operación: si vende o cobra en línea, la prioridad es la prueba de aplicaciones web y APIs (tienda, portal de clientes, integraciones de pago). Si depende de oficinas o plantas, entra la infraestructura de red externa e interna: servidores expuestos, VPN, escritorios remotos. Y casi siempre recomendamos ingeniería social controlada: el eslabón humano es donde más fallan las empresas que auditamos.
Un análisis de vulnerabilidades automatizado no es un pentesting: el escáner lista posibles fallos; la prueba los explota de forma controlada para demostrar el impacto real —qué datos se extraen, hasta dónde se llega—. Si un proveedor le vende un reporte de escáner como «pentesting», no está comprando una prueba de penetración.
Qué exige la normativa argentina
No existe una «ley de pentesting argentina»: desconfíe de quien cite normativas locales inexistentes. Lo que sí le aplica es la Ley 25.326 de Protección de Datos Personales, sancionada en 2000: su artículo 9 obliga a adoptar medidas técnicas y organizativas para la seguridad de las bases de datos, y la autoridad de aplicación es la Agencia de Acceso a la Información Pública (AAIP).
Tenga en cuenta además que la ley está en proceso de modernización: hay proyectos de reforma integral en trámite en el Congreso —entre ellos los expedientes 3397-D-2026 y 1751-D-2026— que proponen alinearla con estándares internacionales e incorporar la notificación de incidentes de seguridad (ciberlatam.com; iapp.org). Todavía son proyectos, no ley vigente, pero marcan la dirección: las exigencias van a subir. Hacer hoy una prueba de penetración es adelantarse con evidencia en la mano.
Cómo trabaja DragonJAR
Somos una empresa de seguridad ofensiva con raíces en la comunidad DragonJAR, activa desde 2001, y operando como empresa desde 2012. Antes del primer ataque simulado definimos con usted el alcance, las reglas de juego y qué sistemas son críticos. Nada se rompe sin su autorización explícita.
Al final recibe dos informes: uno ejecutivo, que la dirección entiende —qué está en riesgo y qué costaría si se materializa— y uno técnico, con cada hallazgo reproducible paso a paso y recomendaciones concretas de remediación. Después de que su equipo corrige, hacemos re-test para verificar que las vulnerabilidades quedaron cerradas de verdad. Y una honestidad de practitioner: si su empresa todavía no tiene un inventario claro de sus activos digitales, un pentesting completo no es su primer paso; primero hay que saber qué tiene expuesto. Se lo diremos antes de venderle nada.
Preguntas frecuentes sobre el pentesting en Argentina
¿Cuánto cuesta un pentesting en Argentina?
Depende del alcance: aplicaciones, direcciones IP, si incluye ingeniería social. Desconfíe del precio fijo sin preguntas previas: un proveedor serio necesita saber qué va a probar antes de cotizar.
¿Ya hacemos análisis de vulnerabilidades? ¿Nos alcanza?
El análisis automatizado es un buen insumo, pero no dice qué es realmente explotable. El pentesting toma esos hallazgos —y los que el escáner no ve, como fallas de lógica de negocio— y demuestra con evidencia qué puede hacer un atacante. Son complementarios, no equivalentes.
¿La prueba puede tumbar nuestros sistemas?
Las pruebas que podrían afectar la disponibilidad se coordinan con usted antes y, cuando es posible, se hacen contra entornos de prueba o en horarios de bajo tráfico. Nuestra regla: nunca se rompe nada sin su autorización explícita.
¿Cada cuánto deberíamos repetirla?
Como mínimo una vez al año, y siempre después de cambios relevantes: aplicación nueva, migración, cambio de proveedor de pagos. Cada cambio en su superficie de ataque reinicia el contador.
¿Pueden hacer la prueba de forma remota o tienen que venir a nuestras oficinas?
Casi todo se hace de forma remota, con la misma efectividad: los atacantes reales tampoco están en su oficina. Solo pruebas puntuales de red interna o ingeniería social presencial requieren presencia física.
¿Qué recibimos exactamente al final?
Un informe ejecutivo para la dirección, un informe técnico reproducible para su equipo, y una sesión de re-test para confirmar que las correcciones funcionaron. Sin re-test, lo que recibe es un diagnóstico, no una prueba de que el problema se resolvió.
Solicite su prueba de penetración en Argentina
Si su empresa opera en Argentina, la pregunta útil no es si alguien está probando sus defensas, sino si va a descubrir sus vulnerabilidades antes que ellos. Cuéntenos en el formulario qué sistemas sostienen su operación: aplicaciones web, infraestructura, redes, datos que maneja. Con eso preparamos una propuesta de alcance y tiempos para su realidad, sin compromiso.
Le responde un especialista: revisamos su caso y le decimos con honestidad si un pentesting es lo que necesita ahora —y si no lo es, qué hacer primero—. Sin compromiso y sin letra pequeña.