Descubra lo que un atacante vería en su empresa en Costa Rica, antes de que lo explote.
Pentesting real para empresas de Costa Rica: simulamos ataques con las mismas técnicas que usaría un adversario, con hallazgos priorizados por riesgo real y retest de las correcciones.
En mayo de 2022 el presidente de Costa Rica declaró el estado de emergencia nacional por un ciberataque. No fue retórica: el grupo de ransomware Conti había comprometido los sistemas del Ministerio de Hacienda, paralizando la declaración de impuestos y los trámites de comercio exterior, y el 31 de mayo el ransomware Hive obligó a la Caja Costarricense de Seguro Social a apagar sus sistemas críticos, incluido el expediente digital de salud. Costa Rica aprendió por la vía dura lo que cuesta no haber probado las defensas a tiempo. Si está evaluando un Pentesting en Costa Rica, esa es la referencia que importa.
En resumen: DragonJAR SAS, empresa colombiana de seguridad informática ofensiva con sede en Manizales (comunidad desde 2001, empresa desde 2012), realiza pentesting real para empresas de Costa Rica, con informes ejecutivo y técnico en español, priorizados por riesgo de negocio, y retest de las correcciones.
Tabla de Contenido
Cómo elegir un proveedor de pentesting en Costa Rica: guía de compra
Después del caso Conti, en Costa Rica sobran ofertas de «auditorías de seguridad». Esto es lo que un comprador debería exigir antes de firmar:
- Alcance escrito y prueba de caja gris: la caja negra (sin información previa) suena atractiva, pero la caja gris —donde el equipo parte con el acceso que tendría un empleado o un proveedor— encuentra más hallazgos útiles en menos tiempo. Pida que el alcance liste activos concretos: aplicaciones, redes, APIs; no «la infraestructura» en abstracto.
- Re-test incluido en la propuesta: un informe sin verificación posterior es medio trabajo. El proveedor debe volver a probar después de que corrija, para confirmar que los hallazgos quedaron cerrados.
- Informe en español, con evidencia: cada hallazgo debe traer su prueba de explotación y su recomendación de remediación priorizada por riesgo para su negocio, no un volcado de escáner automático.
- Confidencialidad por contrato: acuerdo de no divulgación firmado antes de empezar, reglas de juego claras y límites de prueba por escrito.
Señales de alerta: precio calculado «por vulnerabilidad encontrada» (incentiva el relleno), un «pentest» que es solo un escaneo automatizado con otro nombre, informes sin evidencia de explotación real, y proveedores que no pueden explicar su metodología en términos que su equipo de TI entienda. Si no hay re-test, no hay cierre.
Costa Rica: contexto económico y superficie de ataque
Costa Rica sostiene su economía en servicios de tecnología y tercerización, turismo, agroindustria y un sector financiero digitalizado. El dato que más pesa: el régimen de Zona Franca concentró el 69,27% del valor de las exportaciones del país en 2024, y los instrumentos y aparatos de medicina —dispositivos médicos, jeringas, catéteres, prótesis— lideraron las exportaciones con el 31,9% del valor total (revistaeyn / INEC). Empresas como Boston Scientific, Medtronic y Abbott manufacturan en el país, y solo en Coyol Free Zone operan 34 empresas de dispositivos médicos (CINDE).
Esa economía opera sobre plataformas en la nube, sistemas de gestión empresarial, banca electrónica y comunicaciones constantes con clientes en América y Europa. La superficie que debe cubrir un pentesting en Costa Rica: aplicaciones web y en la nube, redes corporativas, APIs de integración con clientes extranjeros y los sistemas que sostienen operaciones que no pueden parar, porque cuando una planta de dispositivos médicos o un centro de servicios se detiene, el costo se mide en contratos internacionales.
Riesgos de ciberseguridad para las empresas en Costa Rica
El caso Conti dejó el mapa de riesgos dibujado con datos públicos: el ataque empezó a mediados de abril de 2022, afectó a cerca de 30 instituciones —Hacienda, Trabajo, Ciencia y Tecnología, el Seguro Social, el Instituto Meteorológico—, el grupo exigió US$10 millones de rescate al Ministerio de Hacienda, el gobierno se negó a pagar y el FBI ofreció US$15 millones en recompensas por información sobre los operadores de Conti (WeLiveSecurity / ESET; BBC). Semanas después, Hive atacó la CCSS y apagó el Expediente Digital Único en Salud (EDUS) y el sistema de recaudación (SICERE).
Para la empresa privada, los riesgos que se repiten:
- Ransomware con doble extorsión: ya no basta con tener backups; los grupos roban los datos antes de cifrarlos y amenazan con publicarlos. Salud, manufactura y servicios son los más expuestos.
- Fraude por compromiso del correo: las empresas que pagan proveedores en el exterior son el blanco clásico: instrucciones de pago modificadas dentro de una cadena de correo comprometida.
- Plataformas en la nube y accesos remotos sin segmentación: el crecimiento acelerado de las operaciones de servicios deja consolas administrativas expuestas y accesos de terceros sin control. Un pentesting de caja gris los encuentra en días.
- Cadena de suministro: si es proveedor de una multinacional de zona franca, sus requisitos de seguridad le alcanzan: un incidente en su red es un incidente en su cadena.
Qué exige la regulación en Costa Rica
- Ley N.º 8968 (2011), Protección de la Persona frente al Tratamiento de sus Datos Personales: obliga a proteger los datos personales que maneja su empresa. La Agencia de Protección de Datos de los Habitantes (PRODHAB) vigila su cumplimiento y sanciona faltas que van desde recolectar datos por mecanismos inseguros hasta tratar datos sensibles sin autorización (PRODHAB).
- Ley N.º 9048 (2012), Delitos Informáticos: reformó el Código Penal costarricense: violación de datos personales (3 a 6 años de prisión), estafa informática y daño informático, entre otros. Un ataque a su empresa es delito, y la evidencia técnica de un pentest ayuda a demostrar diligencia (texto de la ley).
- Sector financiero — Acuerdo SUGEF 14-17 / CONASSIF 5-17: el Reglamento General de Gestión de la Tecnología de Información fija los requerimientos mínimos de gestión de TI que deben cumplir las entidades supervisadas del sistema financiero costarricense, con auditorías externas de TI periódicas (análisis de la norma). Si opera en banca, seguros o pensiones, la gestión de su seguridad de TI ya es materia regulada.
Nota honesta: ninguna ley costarricense obliga expresamente a toda empresa a contratar un pentest anual. Lo que las normas exigen es proteger datos y gestionar la tecnología con controles reales, y un pentest es la evidencia técnica de que esos controles funcionan.
¿Su empresa opera en Costa Rica? Llene el formulario y reciba una propuesta de alcance ajustada a su sector —manufactura, servicios, turismo, finanzas o tecnología— con metodología, tiempos y cotización clara. Sin compromiso: primero entendemos su operación, después hablamos de pruebas.
Preguntas frecuentes sobre el pentesting en Costa Rica
¿Qué diferencia hay entre una prueba de caja negra y una de caja gris?
En la caja negra el equipo parte sin información, como un atacante externo cualquiera. En la caja gris parte con el acceso que tendría un empleado, un proveedor o un atacante que ya comprometió una cuenta, que es como empiezan la mayoría de los incidentes reales. Para la mayoría de empresas, la caja gris encuentra más hallazgos útiles en menos tiempo.
¿Cómo se calcula el precio de un pentesting?
Por alcance: número y tipo de activos (aplicaciones, IPs, APIs), días de prueba y profundidad. Una propuesta seria lista cada activo y los días asignados; desconfíe de cotizaciones de una línea sin alcance detallado.
¿Cuánto dura el ejercicio?
Una empresa mediana con varias aplicaciones y su red corporativa suele tomar entre dos y cuatro semanas incluyendo informe y re-test. El cronograma exacto se define en la propuesta de alcance.
¿Pueden probar nuestros sistemas en producción?
Sí, con reglas de juego acordadas: ventanas de prueba, límites de explotación y un canal directo con su equipo para detener cualquier prueba que amenace la operación. La continuidad de su negocio va primero.
¿Qué pasa con la confidencialidad de nuestra información?
Todo el ejercicio opera bajo acuerdo de confidencialidad firmado antes de empezar. Los datos sensibles a los que se acceda durante la prueba se tratan como confidenciales y solo se usa la evidencia mínima necesaria para demostrar cada hallazgo.
¿El informe viene en español?
Sí. Informe en español, con hallazgos documentados, evidencia de explotación, riesgo para el negocio y recomendaciones de remediación priorizadas, más el re-test posterior para confirmar los cierres.
Solicite su pentesting en Costa Rica con DragonJAR
DragonJAR es una empresa de seguridad ofensiva con comunidad activa desde 2001 y operación empresarial desde 2012. Hacemos pruebas de penetración para empresas en toda América Latina, de forma remota y presencial en Costa Rica. Cada ejercicio incluye informe en español con hallazgos priorizados por riesgo, recomendaciones prácticas de remediación y re-test para verificar las correcciones.
Escríbanos para agendar una llamada de descubrimiento sin costo: revisamos su superficie de ataque y le decimos con franqueza qué tipo de prueba necesita; y si lo que necesita todavía no es un pentest, también se lo decimos.