Pentesting en Rionegro

Rionegro y el Oriente antioqueño: contexto empresarial

Rionegro es el polo industrial y logístico del Oriente antioqueño: según la Cámara de Comercio del Oriente, la subregión cerró 2024 con 26.602 empresas y un crecimiento del 6,53 %, y es la segunda subregión más competitiva de Antioquia (IMCA, 2023). La vocación digital es real: el 82,2 % de las empresas afiliadas a la CEO reporta avances en adopción tecnológica.

Ese tejido empresarial tiene tres anclas con implicaciones directas en ciberseguridad: el Aeropuerto Internacional José María Córdova —segundo del país, con un terminal de carga que es foco de exportación de flores y productos del Oriente—; la Zona Franca de Rionegro, primera zona franca permanente privada del país (Resolución 0094 de 1993), con industria orientada a mercados externos; y la nueva zona franca de servicios aeronáuticos, que suma sistemas de mantenimiento de aeronaves al inventario digital de la región. Exportación, aduanas, logística aérea y manufactura para el exterior: todo funciona sobre sistemas conectados que un atacante puede alcanzar desde cualquier lugar del mundo.

Superficie de ataque por sector: lo que vemos en empresas de la región

Industria manufacturera y zona franca. ERP conectados con proveedores internacionales, redes de planta (OT/ICS) sin segmentar de la red de oficinas, documentación aduanera digitalizada y estaciones de ingeniería con acceso remoto. En nuestra experiencia, el patrón más repetido es ese: la planta se conectó a internet antes de que alguien preguntara si debía.

Logística aérea y comercio exterior. Portales de tracking de carga, sistemas de reservas, plataformas de gestión aduanera y bases de datos de clientes internacionales con datos personales y comerciales sensibles. Un compromiso aquí interrumpe despachos y rompe contratos con penalizaciones.

Floricultura y agroindustria. El Oriente es una potencia exportadora de flores; sus empresas operan plataformas de pedidos, trazabilidad y pagos internacionales. Son pymes con operación global y presupuestos de seguridad de pyme: la combinación exacta que buscan los grupos de ransomware.

Comercio, servicios y pymes. Tiendas en línea, facturación electrónica, banca en línea y correo corporativo sin doble factor. El fraude por compromiso de correo (BEC) —suplantar a un proveedor o directivo para desviar pagos— es el incidente que más vemos aquí, y rara vez exige explotar una vulnerabilidad técnica: basta con que nadie haya probado nunca la configuración.

Qué cubre un pentesting en Rionegro

Un test de intrusión bien contratado no es «un escaneo con informe bonito»: es un alcance escrito, explotación manual y evidencia. Para una empresa que opera en Rionegro, el alcance típico incluye:

• aplicaciones web y portales de clientes. Portales de pedidos, tracking de carga, intranets y tiendas en línea, con explotación de las vulnerabilidades para demostrar impacto real.
• Red corporativa, interna y externa. Exposición a internet, segmentación entre oficinas y planta, y movimiento lateral una vez dentro.
• Correo corporativo y phishing simulado. Ingeniería social controlada contra su personal, para medir y entrenar.
• Infraestructura en la nube. Buckets expuestos, llaves filtradas y permisos excesivos en AWS, Azure o Google Cloud.
• Entornos industriales (OT/ICS). En planta se trabaja distinto: pruebas pasivas, solo lectura, en ventanas de mantenimiento acordadas.
• Cadena de suministro digital. Proveedores de software, el contador con acceso al ERP, la empresa de soporte: la superficie de ataque incluye a quienes tienen llaves de su casa.

Y una honestidad de practitioner: un pentest no es lo primero que necesita toda empresa. Si nunca inventarió sus activos expuestos a internet, empezar por un análisis de vulnerabilidades y un hardening básico rinde más por cada peso invertido. El pentest brilla cuando ya tiene defensas y quiere saber si aguantan.

Normativa aplicable en Colombia: lo que sí exige la ley (y lo que no)

• Ley 1273 de 2009. Modificó el Código Penal y creó el bien jurídico tutelado «De la protección de la información y de los datos»: tipificó el acceso abusivo a sistemas, el daño informático, la interceptación de datos, el software malicioso y la violación de datos personales. No le obliga a contratar un pentest; le pone del lado correcto de la ley el día que un atacante sí entre a sus sistemas.
• Ley 1581 de 2012 (datos personales). Tampoco exige un pentesting por su nombre —ninguna norma colombiana lo hace—. Lo que sí exige es adoptar medidas técnicas y organizativas para proteger los datos que trata, y la SIC puede imponer multas de hasta 2.000 salarios mínimos, suspensión de actividades hasta por seis meses e incluso el cierre de la operación (artículo 23). Ante una brecha, «no sabíamos que estábamos expuestos» no es una defensa; un informe de pentest con explotación demostrada es la evidencia de diligencia más sólida que puede presentar.
• CONPES 3854 de 2016 (Política Nacional de Seguridad Digital). Aprobada en abril de 2016, exige a todas las partes interesadas —incluidas las empresas privadas— identificar, gestionar, tratar y mitigar sus riesgos de seguridad digital. Un pentest es, literalmente, identificar y tratar riesgos.

Y está la presión contractual, que en la práctica pesa más que la ley: si exporta, opera en zona franca o es proveedor de una gran empresa, cada vez más contratos exigen evidencias de seguridad (ISO 27001, PCI DSS si procesa tarjetas), y un informe de intrusión independiente es la evidencia que abre esas puertas.

Casos y escenarios: cómo se materializa la amenaza en el Oriente

El contexto nacional no invita a la calma: según FortiGuard Labs, en Colombia se identificaron 41 víctimas de ransomware durante 2025. Los siguientes son escenarios realistas para empresas de la región —no casos de nuestros clientes, sino patrones que vemos repetirse—:

• Ransomware en una manufacturera de zona franca. El atacante entra por una VPN con credenciales débiles y cifra el ERP un viernes en la noche. El lunes no hay despachos aduaneros ni producción, y los clientes internacionales aplican penalizaciones por incumplimiento.
• BEC contra un operador logístico del aeropuerto. Comprometen el correo del área financiera y envían instrucciones de pago «actualizadas» a un cliente extranjero. La transferencia sale, el dinero no vuelve. La vulnerabilidad no era técnica: era un correo sin doble factor y ningún procedimiento de verificación de pagos.
• Portal de clientes expuesto. Un portal de tracking de carga con enumeración de usuarios y sin límite de intentos permite a un atacante cosechar credenciales y acceder a datos comerciales de clientes: rutas, volúmenes, tarifas. Información que vale dinero para la competencia y para el cibercrimen.
• Acceso remoto a planta sin control. Credenciales de acceso remoto filtradas en brechas públicas anteriores y reutilizadas por un empleado en la VPN de la empresa. El atacante no necesita un exploit de día cero: necesita que nadie haya revisado nunca los registros de acceso.

Conclusión

Rionegro concentra en pocos kilómetros un aeropuerto internacional de 14 millones de pasajeros, la primera zona franca privada del país y más de 26.000 empresas en plena digitalización. Esa concentración de valor es exactamente lo que buscan los atacantes. Un pentesting en Rionegro bien contratado —alcance escrito, explotación manual, informe en español y re-test— convierte la incertidumbre en un plan: saber por dónde es vulnerable, cerrarlo y poder demostrarlo ante clientes, proveedores y la SIC. La pregunta no es si su empresa es un objetivo interesante; es si lo va a descubrir usted primero o lo va a descubrir un atacante.