Descubra lo que un atacante vería en su empresa en Pitalito, antes de que lo explote.
Pentesting real para empresas de Pitalito: simulamos ataques con las mismas técnicas que usaría un adversario, con hallazgos priorizados por riesgo real y retest de las correcciones.
Pitalito produce más café que ningún otro municipio de Colombia: 17.790 hectáreas sembradas, el 11,85 % del área cafetera del Huila, con cerca de 18.000 familias viviendo de esta actividad y premios internacionales como la Taza de la Excelencia (elcentavo.co, canaltrece.com.co). Cada cosecha mueve giros de compradores internacionales, anticipos de exportadores, pagos de jornales por aplicaciones móviles, facturación electrónica ante la DIAN y subastas donde un lote de café especial se vende a un tostador de otro continente. Todo eso ocurre en computadores, correos y sistemas que casi ninguna empresa de la zona ha sometido jamás a una prueba real de ataque.
Un Pentesting en Pitalito es exactamente eso: poner a alguien autorizado a intentar vulnerar sus sistemas con las mismas técnicas de un ciberdelincuente, antes de que lo haga uno de verdad.
Este artículo explica por qué el dinero del café convierte a Pitalito en un blanco interesante, cómo se ve su superficie de ataque según su sector, qué debe cubrir una prueba seria, qué exige la regulación colombiana y qué escenarios se repiten en empresas de la región.
En resumen: DragonJAR SAS, empresa colombiana de seguridad informática ofensiva con sede en Manizales (comunidad desde 2001, empresa desde 2012), realiza pentesting real para empresas de Pitalito, con informes ejecutivo y técnico en español, priorizados por riesgo de negocio, y retest de las correcciones.
Tabla de Contenido
Por qué el dinero del café atrae ciberdelincuentes
Los atacantes no eligen víctimas por simpatía: van donde hay flujo de dinero y poca defensa. Pitalito cumple las dos condiciones. El Huila lleva 15 años seguidos como primer productor de café del país, con el 19,65 % de la cosecha nacional en 2025 (noticias.enredijo.com), y Pitalito encabeza esa producción dentro del departamento. Cooperativas y comercializadoras manejan pagos de contado, créditos de cosecha, liquidaciones a miles de productores y transferencias con el exterior. Cada uno de esos movimientos es una oportunidad para el fraude.
Además, Pitalito es el segundo municipio más poblado del Huila, con 134.110 habitantes según proyección del DANE para 2023, y se le conoce como la «Estrella Vial del Surcolombiano» por conectar con Cauca, Caquetá y Putumayo (es.wikipedia.org/wiki/Pitalito). Esa posición la convierte en centro de servicios regional: comercio, salud, trámites y banca para cientos de miles de personas. Más transacciones, más sistemas, más puertas.
Un estudio de Kaspersky difundido en 2026 encontró que el 31 % de las pymes de América Latina reportó pérdidas económicas por incidentes de ciberseguridad en el último año, con el phishing como el incidente más dañino (estamosenlinea.co). Las empresas cafeteras de Pitalito encajan en ese perfil: pymes con dinero en movimiento y equipos de TI pequeños o inexistentes.
Su superficie de ataque por sector
Café y agroindustria. Sistemas de liquidación a productores, plataformas de subasta y trazabilidad, correos donde se negocian lotes por WhatsApp y correo electrónico, cuentas bancarias con múltiples firmantes. El riesgo dominante es el fraude: un correo comprometido basta para desviar el pago de una cosecha. Los compradores internacionales de café especial exigen trazabilidad del grano: si sus sistemas no la garantizan, pierde el negocio.
Comercio. El 52,7 % de los establecimientos económicos de Pitalito se dedica al comercio (es.wikipedia.org/wiki/Pitalito): datáfonos, facturación electrónica conectada a la DIAN, inventarios en la nube, tiendas en línea que venden al sur del país. Credenciales de administración compartidas entre empleados y puntos de venta con software sin actualizar son el pan de cada día.
Servicios y logística. Transportadoras, bodegas y empresas de servicios que sostienen la cadena del café: GPS de flotas, sistemas de despacho, portales de clientes. Un ransomware que cifre el sistema de despacho en plena cosecha no solo cuesta el rescate: cuesta camiones parados y café sin mover.
Qué cubre una prueba de penetración real en Pitalito
El alcance mínimo útil para una empresa pitaliteña incluye: aplicaciones web (su portal de clientes, su tienda, el sistema de liquidaciones si es web), infraestructura de red externa (servidores expuestos, accesos remotos, VPN), ingeniería social controlada (correos de phishing a su personal, con su autorización) y revisión de la red inalámbrica de oficinas y bodegas. La fase de ingeniería social suele ser la más reveladora: en nuestra experiencia, un contador que reenvía un extracto a un «auditor» falso ha entregado más accesos que cualquier falla técnica.
Lo que debe exigir al final: un informe ejecutivo que la gerencia entienda (qué está en riesgo y qué costaría si se materializa), un informe técnico con cada hallazgo reproducible paso a paso, y un retest para confirmar que las correcciones funcionaron. Si el proveedor no ofrece retest, está vendiendo un documento, no una prueba.
Y una honestidad necesaria: si su empresa todavía no tiene inventario de sus sistemas, ni copias de seguridad probadas, ni actualizaciones al día, un pentesting es prematuro. Primero pon en orden lo básico —un escaneo de vulnerabilidades y una revisión de configuraciones rinden más— y luego sí prueba sus defensas contra un atacante simulado. Gastar en un pentest sin lo básico es como contratar un guardaespaldas dejando la puerta abierta.
Qué exige la regulación en Colombia
No existe una «ley de pentesting de Pitalito», y desconfíe de quien cite normas locales inexistentes. Lo que sí aplica a nivel nacional es concreto. La Ley 1581 de 2012 obliga a todo responsable de datos personales —cooperativas con datos de miles de productores, comercios con bases de clientes— a adoptar medidas de seguridad técnicas y administrativas, y la Superintendencia de Industria y Comercio sanciona su incumplimiento. La Ley 1273 de 2009 tipifica como delitos el acceso abusivo a sistemas informáticos, la interceptación de datos y el hurto por medios informáticos. Un fraude que desvíe el pago de una cosecha no es solo un problema contable: es un delito con nombre en el código penal.
Escenarios que se repiten en empresas de la región
Sin nombrar clientes, estos son los patrones que vemos una y otra vez. Uno: phishing dirigido al área de tesorería de una comercializadora, con instrucciones de pago «del gerente» que desvían una transferencia a una cuenta mule. Dos: ransomware que cifra el servidor de facturación de un comercio en plena temporada de cosecha, con la copia de seguridad conectada al mismo equipo. Tres: acceso al correo corporativo con una contraseña reutilizada de un servicio filtrado, usado luego para espiar negociaciones de lotes de café especial durante semanas. Ninguno requería un atacante sofisticado. Todos eran evitables con una prueba bien hecha y una remediación seria.
Preguntas frecuentes sobre el pentesting en Pitalito
¿Cuánto cuesta una prueba de penetración en Pitalito?
Depende del alcance: no es lo mismo probar una página web que toda la red de una comercializadora con tres sedes. Un proveedor serio no le da un precio sin antes preguntarle qué sistemas sostienen su operación. Si alguien le cotiza por teléfono sin hacer preguntas, esa es su primera señal de alerta.
¿Necesitamos estar en la misma ciudad para hacer la prueba?
No. La mayor parte del trabajo se hace de forma remota y segura, con reuniones de apertura y cierre por videollamada.
¿La prueba va a tumbar nuestros sistemas en plena cosecha?
No. Las pruebas que podrían afectar la disponibilidad se programan fuera de sus picos de operación y nunca se ejecutan sin su autorización explícita.
¿Cada cuánto deberíamos repetirla?
Al menos una vez al año, y siempre después de cambios importantes: un sistema nuevo de liquidaciones, migración de la página web, cambio de proveedor de software contable. Programarla antes de la cosecha, no durante, es la jugada obvia.
¿Qué pasa si encuentran algo grave?
Se lo notificamos de inmediato, con una recomendación de contención, antes de que termine la prueba. No esperamos al informe final para avisarle de un riesgo crítico: eso sería negligente.
¿El informe nos sirve frente a un comprador internacional?
Sí. Los compradores de café especial y los aliados comerciales cada vez piden evidencia de que sus proveedores cuidan la información. Un informe de pentesting reciente, con retest cerrado, es una carta de presentación que pocos competidores regionales pueden mostrar.
Antes de la próxima cosecha
La pregunta útil no es si los sistemas de su empresa en Pitalito ya están siendo probados por alguien —el phishing no descansa—, sino si va a descubrir sus vulnerabilidades antes que un atacante. Un pentesting con DragonJAR le da ese adelanto: alcance claro, metodología probada en empresas de todos los tamaños, informe que su gerencia entiende y retest que confirma que el trabajo quedó hecho. Somos la comunidad DragonJAR, haciendo seguridad ofensiva desde 2001 y operando como empresa desde 2012.
Cuéntenos en el formulario qué sistemas sostienen su operación (liquidaciones, web, red, facturación) y en qué fechas le conviene la prueba. Le respondemos con una propuesta de alcance y tiempos, sin compromiso y sin letra pequeña. La cosecha no espera: su seguridad tampoco debería.