Descubra lo que un atacante vería en su empresa en México, antes de que lo explote.
Pentesting real para empresas de México: simulamos ataques con las mismas técnicas que usaría un adversario, con hallazgos priorizados por riesgo real y retest de las correcciones.
En noviembre de 2019, el ransomware DoppelPaymer cifró miles de equipos de Petróleos Mexicanos —cerca del 5% de sus computadores personales, unos 10.000 dispositivos— y exigió un rescate de 565 bitcoins, entonces unos 5 millones de dólares, con 48 horas para pagar antes de publicar lo robado en su portal Doppel Leaks (Avast / Reuters). Pemex se negó a pagar; los atacantes publicaron planos de infraestructura crítica, credenciales de administradores y datos de clientes y empleados. Las terminales de almacenamiento y distribución quedaron congeladas y los pedidos, paralizados. Si la empresa más grande del país puede operar a ciegas por días, la pregunta para cualquier empresa mexicana es directa: ¿qué pasaría en la suya?
El Pentesting en México existe para responder esa pregunta antes de que la responda un atacante. No es un diagnóstico teórico: son pruebas de penetración controladas que intentan explotar sus sistemas —aplicaciones, redes, infraestructura, nube y personas— para mostrarle hasta dónde llegaría un atacante real y qué tendría que cambiar para que no lo logre.
En resumen: DragonJAR SAS, empresa colombiana de seguridad informática ofensiva con sede en Manizales (comunidad desde 2001, empresa desde 2012), realiza pentesting real para empresas de México, con informes ejecutivo y técnico en español, priorizados por riesgo de negocio, y retest de las correcciones.
Tabla de Contenido
México: contexto económico y superficie de ataque
México combina una de las economías más grandes de América Latina con una digitalización acelerada: manufactura y maquila orientada a la exportación, un sector financiero y fintech en plena expansión, comercio electrónico en crecimiento y una densa red de pymes proveedoras. Las empresas mexicanas —desde plantas industriales hasta retailers, bancos, aseguradoras y startups tecnológicas— sostienen su operación sobre ERPs, plataformas de comercio electrónico, banca en línea, aplicaciones móviles y cadenas de suministro conectadas con socios y clientes, una superficie amplia y heterogénea que exige evaluarse con ejercicios de pentesting realistas y por sectores.
Riesgos de ciberseguridad para las empresas en México
Las organizaciones en México enfrentan riesgos característicos de una economía altamente conectada: ransomware dirigido a empresas con operación continua, fraude electrónico y suplantación contra clientes de banca y comercio, accesos de proveedores y contratistas sin controles adecuados, y aplicaciones web y móviles lanzadas al mercado sin pruebas de seguridad previas. Un pentesting en México permite verificar de forma controlada si un atacante podría explotar esas debilidades para interrumpir la producción, robar datos o comprometer la confianza de los clientes.
La telemetría reciente confirma que México no es un objetivo cualquiera. El mapa de malware de ESET coloca a México en el segundo lugar de América Latina, con phishing e ingeniería social como especialidad local (FayerWayer / ESET). Además, según el análisis de telemetría de ESET para el primer semestre, México absorbió cerca del 70% de toda la actividad regional de QRishing —phishing vía códigos QR—, usada para evadir los filtros de correo corporativo (Thunder MX / ESET). Y en entornos industriales, Kaspersky reportó que el 24% de los computadores de sistemas de control industrial en México tuvieron amenazas bloqueadas durante el primer y segundo trimestre de 2025, con el país liderando la región en phishing dirigido a entornos OT (Tabulado / Kaspersky ICS CERT).
En nuestra experiencia, la superficie de ataque de una empresa mexicana típica se concentra en pocos puntos que se repiten: portales de clientes y pagos en línea, APIs de fintechs y apps bancarias, VPNs y accesos remotos abiertos durante la pandemia que nunca se cerraron, sistemas industriales conectados a la red corporativa sin segmentación real, y la nómina de miles de empleados almacenada en el ERP. El pentesting que sirve aquí es el que prueba esos puntos como lo haría un atacante: desde fuera, con credenciales robadas y desde la red interna de un supuesto empleado comprometido.
Qué cubre un pentesting serio en México: pruebas externas a aplicaciones web y móviles (incluida lógica de negocio, no solo escaneo automatizado), pruebas internas con enfoque en movimiento lateral hacia sistemas críticos, evaluación de accesos de terceros y VPNs, revisión de la exposición de servicios industriales en plantas manufactureras, e ingeniería social contra áreas de compras, finanzas y logística, donde nace la mayoría de los incidentes que vemos.
La normativa mexicana no deja mucho margen para la improvisación. La Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) obliga a las empresas a adoptar medidas de seguridad físicas, técnicas y administrativas para proteger los datos personales que tratan —y su Reglamento exige protegerlos frente a daño, pérdida, alteración o acceso no autorizado—. Para el sector financiero, las Disposiciones de la Ley Fintech (CUITF) exigen a las instituciones de fondos de pago electrónico realizar pruebas de intrusión a su infraestructura al menos cada dos años, con un proveedor independiente, enviar el reporte a la CNBV en los primeros 20 días hábiles posteriores a las pruebas y repetirlas en un plazo no mayor a dos meses tras la remediación (Hackmetrix). Y tras el ataque de 2018 al SPEI, Banxico reforzó las disposiciones para que bancos y demás participantes fortalezcan sus controles y protocolos de detección de transferencias irregulares (Funds Society / Banxico).
Hay otro motor de demanda que no aparece en ninguna ley mexicana pero pesa igual: los clientes de Estados Unidos. Con el nearshoring, los proveedores mexicanos entran a cadenas de valor donde los cuestionarios de seguridad son parte del contrato. Programas como CTPAT exigen control de accesos, verificación de personal y procedimientos auditables en la cadena de suministro (INTSEG). Si exporta o aspiras a exportar, un pentesting reciente no es un gasto: es una carta de presentación ante su cliente norteamericano.
El caso SPEI lo deja claro. Entre abril y mayo de 2018, ciberatacantes lograron transferencias no autorizadas por entre 300 y 400 millones de pesos desde cinco participantes del sistema, aprovechando vulnerabilidades en el software de conexión desarrollado por terceros (WeLiveSecurity / ESET). El SPEI central no fue comprometido; los bancos afectados sí, por software ajeno mal asegurado. La lección es la que comprobamos en casi cada prueba: el atacante no entra por su sistema más vigilado, entra por el proveedor, el conector, la integración que nadie auditó.
Preguntas que nos hacen empresas mexicanas antes de contratar:
¿Es obligatorio hacer pentesting en México? Depende de su sector. La LFPDPPP exige medidas de seguridad sin nombrar la prueba, pero si es fintech bajo la Ley Fintech, las pruebas de intrusión periódicas con proveedor independiente sí son una exigencia regulatoria con reporte a la CNBV. En manufactura de exportación, sus clientes las exigen por contrato.
¿Un pentesting va a tumbar mis sistemas? No. Las pruebas se planifican con reglas de enfrentamiento claras: qué se toca, en qué horarios y con qué límites. Si hay un sistema crítico que no puede detenerse, se prueba de forma que lo demuestre sin interrumpirlo. Eso también lo documentamos.
¿Cuánto dura y qué recibo? Depende del alcance: una aplicación web típica, dos a cuatro semanas. Recibe un informe en español con cada hallazgo priorizado por riesgo real para su negocio, evidencia de la explotación, recomendaciones de remediación y un re-test para confirmar que la corrección funcionó.
¿Cada cuánto debería repetirse? Al menos una vez al año, y siempre que haya un cambio relevante: una app nueva, una migración a la nube, una fusión, o después de un incidente. La regulación fintech fija el mínimo en dos años; la práctica recomendada es anual.
¿Cómo sé que el informe no viene lleno de falsos positivos? Porque cada hallazgo reportado incluye la evidencia de explotación manual. Si no pudimos explotarlo, no lo vendemos como crítico. Esa es una pregunta legítima para hacerle a cualquier proveedor antes de firmar.
Si su empresa opera en México —manufactura, finanzas, retail, tecnología o servicios— y la seguridad hoy depende de suponer que «eso no nos va a pasar», este es el momento de comprobarlo de forma controlada. Al llenar el formulario recibe una llamada de descubrimiento sin costo: revisamos su operación, le decimos con honestidad si un pentesting es lo que necesita (a veces no lo es) y le entregamos una propuesta con el alcance recomendado para su infraestructura, sin compromiso. DragonJAR —comunidad desde 2001, empresa desde 2012— ejecuta pruebas de penetración en toda América Latina, con atención remota para México y la región.