En la Ciudad de Panamá se mueve cada día una parte significativa del dinero y el comercio de América Latina: más de 70 bancos con licencia activa operan en su centro financiero internacional y la Superintendencia de Bancos reportó 125 millones de dólares en intentos o sospechas de fraude electrónico solo al cierre de 2025. Cada portal transaccional, cada aplicación móvil y cada sistema de gestión comercial conectado a ese flujo es una puerta que los atacantes estudian. Para las empresas que operan aquí, el Pentesting continuo —evaluar la seguridad de forma periódica y sistemática, no una sola vez al año— es la manera de mantener el ritmo de una superficie de ataque que cambia con cada nuevo servicio, cada integración con un proveedor y cada canal digital que se abre.
Tabla de Contenido
Ciudad de Panamá: un centro financiero y logístico con una superficie de ataque amplia
La Ciudad de Panamá ocupa una posición singular en América Latina: es simultáneamente un centro bancario internacional, un nodo logístico articulado alrededor del Canal y la Zona Libre de Colón, y la sede regional de numerosas multinacionales. Según datos del sector, el Centro Bancario Internacional reúne más de 70 bancos con licencia activa —incluidas filiales de instituciones globales— y administra más de 130.000 millones de dólares en activos, bajo la supervisión de la Superintendencia de Bancos de Panamá.
Esa concentración de actividad económica implica una concentración equivalente de activos digitales valiosos: plataformas de banca en línea, sistemas de comercio exterior, portales corporativos regionales y la infraestructura tecnológica que sostiene el movimiento de mercancías y capitales. Cada aplicación móvil, cada portal transaccional y cada integración con corresponsales y procesadores de pago representa un punto de exposición.
El ecosistema logístico y comercial —navieras, operadores portuarios, empresas de la zona libre y sus cadenas de proveedores— depende de sistemas de gestión, trazabilidad y documentación digital que deben funcionar sin interrupciones. Un ataque que paralice estos sistemas no solo afecta a una empresa: puede repercutir en operaciones comerciales que trascienden las fronteras del país.
A esto se suma la presencia de sedes regionales de multinacionales que administran desde Panamá sus operaciones para varios países. Estas sedes concentran accesos privilegiados, datos corporativos sensibles y conexiones con casas matrices, lo que las convierte en objetivos de alto valor para atacantes que buscan un punto de entrada hacia redes corporativas más amplias.
La estadística oficial lo confirma: la provincia de Panamá concentró 2.607 denuncias por fraude informático, el 57% del total nacional, según las cifras del Ministerio Público (centroamerica360). El riesgo aquí no es teórico: es el punto del país donde más se denuncia.
Amenazas predominantes en el entorno financiero y comercial panameño
El phishing bancario y el fraude financiero encabezan el perfil de amenazas de la Ciudad de Panamá. Los atacantes suplantan entidades bancarias, plataformas de pago y servicios gubernamentales para capturar credenciales y autorizar transferencias fraudulentas. Las campañas se sofistican de forma continua: imitan con fidelidad los portales legítimos, explotan eventos de actualidad local y se dirigen tanto a clientes individuales como a tesorerías corporativas. El Panorama de Amenazas de Kaspersky reportó 6,3 millones de ataques de phishing contra Panamá en el último año —unos 17.000 al día— y encontró que el 53% de los panameños ya ha sido víctima de fraudes que aprovechan la compra en línea (centroamericaeconomia.net).
Los troyanos bancarios también están cambiando de frente: Kaspersky detectó que los ataques están migrando de las computadoras a los dispositivos móviles, siguiendo el uso masivo de los teléfonos para transacciones financieras. En 2025 ya se identificaron tres familias activas de troyanos bancarios para Android. Para un centro financiero donde la banca móvil es el canal dominante, esa migración redefine qué debe cubrir una prueba de penetración.
Los ataques dirigidos contra instituciones financieras buscan algo más que el robo inmediato: persiguen el acceso persistente a los sistemas para mover fondos, extraer información o preparar fraudes de mayor escala. La banca corresponsal y las integraciones entre entidades amplían las rutas que un atacante puede recorrer una vez dentro, por lo que las pruebas deben evaluar no solo el perímetro, sino el movimiento lateral y la segmentación interna.
El espionaje corporativo y el robo de información estratégica también forman parte del panorama, dada la concentración de sedes regionales y de operaciones comerciales sensibles. Contratos, estrategias de precios, información de clientes corporativos y datos de operaciones logísticas son activos con valor de mercado.
Finalmente, el ransomware representa un riesgo transversal: en una ciudad donde la continuidad operativa del comercio y las finanzas es crítica, la presión para pagar un rescate ante sistemas cifrados es enorme. La combinación de cifrado con amenaza de filtración de datos convierte cada incidente en una crisis doble, financiera y reputacional.
Qué cubre un pentesting continuo en Ciudad de Panamá
En nuestra experiencia, las empresas de la Ciudad de Panamá concentran su exposición en tres frentes que un pentesting continuo debe evaluar ciclo tras ciclo:
Banca y servicios financieros. Portales transaccionales, aplicaciones móviles, APIs de pago y las integraciones con corresponsales y procesadores. Aquí lo crítico no es solo si un atacante puede entrar, sino hasta dónde puede moverse una vez dentro: escalamiento de privilegios, movimiento lateral y la solidez de la segmentación entre entornos.
Logística y comercio internacional. Sistemas de gestión de inventarios, trazabilidad de mercancía, plataformas de documentación y los portales de proveedores. Son entornos donde un panel administrativo olvidado o una integración sin autenticación sólida pueden dejar expuesta la operación completa de una cadena comercial.
Sedes regionales y corporativos multilatinos. Intranets compartidas entre países, accesos VPN, cuentas privilegiadas concentradas y conexiones con casas matrices. Un hallazgo en la sede panameña puede ser la llave de la red corporativa regional: esa es exactamente la cadena que el ejercicio debe romper de forma controlada antes de que lo haga un atacante real.
Y en todos los frentes, el factor humano: el phishing dirigido contra tesorerías y personal operativo sigue siendo la vía de entrada más común en el país, como muestran las cifras de fraude electrónico.
Pentesting puntual frente a pentesting continuo: qué cambia en la práctica
Una prueba puntual es una fotografía: te dice cómo estabas el día de la prueba. El problema es que en un centro de negocios como la Ciudad de Panamá, la superficie de ataque no se queda quieta. Entre un ejercicio y otro se lanzan servicios nuevos, se integran proveedores, se actualizan plataformas, se abren canales digitales y aparecen técnicas de ataque que el mes pasado no existían.
El pentesting continuo trabaja por ciclos: evaluaciones periódicas sobre un alcance que se ajusta a los cambios de tu operación. En cada ciclo se repiten las pruebas sobre los activos críticos, se evalúa lo nuevo y —punto clave— se verifica que las vulnerabilidades del ciclo anterior quedaron realmente cerradas. Esa verificación, que DragonJAR ejecuta como re-tests incluidos, es la diferencia entre un informe que se archiva y un proceso que reduce el riesgo de verdad.
También cambia la relación con el equipo interno: con ciclos regulares, la seguridad deja de ser el evento anual que interrumpe todo y se convierte en un hábito operativo coordinado, con ventanas de prueba acordadas para no afectar la operación comercial ni financiera.
Escenarios que se repiten en la plaza panameña
Sin señalar a ninguna empresa en particular, estos son patrones que vemos repetirse en ejercicios realizados para organizaciones con operación en la Ciudad de Panamá:
La API de pagos que nadie había probado a fondo. Un portal de cliente con una API de transferencias que validaba bien en la interfaz, pero permitía manipular parámetros del lado del servidor: enumeración de cuentas y alteración de montos en peticiones directas. La interfaz parecía sólida; el backend, no.
El proveedor como puerta de entrada. Una empresa logística con buena seguridad en su infraestructura central, pero con un portal de gestión compartido con contratistas que exponía un panel administrativo con credenciales débiles. El acceso inicial no fue contra el objetivo principal: fue contra su eslabón más descuidado.
La sede regional con accesos heredados. Un corporativo que concentraba accesos privilegiados de varios países, con cuentas de exempleados aún activas y conexiones VPN sin autenticación multifactor hacia sistemas críticos. En un ejercicio, esa combinación permitió llegar a información sensible de toda la región en cuestión de días.
Cada uno de estos patrones se detecta, se documenta con su impacto real y se corrige antes de que un atacante lo explote. Ese es el valor de probar de forma continua: los patrones se repiten, pero también se cierran.
Ley 81 de 2019: lo que Panamá exige sobre protección de datos
Panamá cuenta con una ley específica de protección de datos personales: la Ley 81 del 26 de marzo de 2019, publicada en la Gaceta Oficial el 29 de marzo de 2019. La norma regula la recolección, el uso y la transferencia de datos personales y exige, como regla general, el consentimiento del titular para su tratamiento (destinopanama.com.pa).
La ley crea el Consejo de Protección de Datos Personales y faculta a la Autoridad Nacional de Transparencia y Acceso a la Información (ANTAI) para supervisar su aplicación. Las sanciones por incumplimiento van de 1.000 a 10.000 balboas, según la gravedad del caso (chanis.pa). Para una empresa que maneja bases de clientes, empleados o usuarios en Panamá, un ejercicio de pentesting continuo es también una herramienta de diligencia: demuestra que se están tomando medidas técnicas reales para proteger esos datos.
Cómo trabaja DragonJAR el pentesting continuo
DragonJAR —comunidad de seguridad desde 2001, empresa desde 2012— ejecuta los ciclos de pentesting continuo como pruebas autorizadas, coordinadas y documentadas. Cada ciclo comienza con la definición del alcance junto a tu equipo: qué activos se evalúan, qué ventanas de prueba se usan y qué reglas de juego protegen la operación.
Durante el ejercicio, los especialistas intentan explotar las vulnerabilidades encontradas para demostrar su impacto real, no solo listarlas. El resultado es un informe preciso, sin falsos positivos, que prioriza cada hallazgo por riesgo y propone pasos concretos de corrección, útiles tanto para el equipo técnico como para quien toma decisiones.
Después de que tu equipo aplica las correcciones, vienen los re-tests incluidos: se verifica que cada vulnerabilidad quedó efectivamente mitigada. Ese cierre del ciclo es lo que convierte el pentesting continuo en mejora medible, no en un informe más del archivo.
Además, los servicios de seguridad informática de DragonJAR incluyen programas de capacitación y sensibilización, porque el phishing —la amenaza número uno en Panamá— se combate también desde el factor humano.
Preguntas frecuentes sobre el pentesting continuo en Ciudad de Panamá
¿Cuál es el alcance mínimo de un primer ciclo?
Depende de tu operación, pero en nuestra experiencia el mínimo útil para una empresa con presencia digital en la Ciudad de Panamá incluye el perímetro externo (sitio web, portales, APIs públicas) y las aplicaciones críticas de cara al cliente. Desde ahí se amplía en los siguientes ciclos hacia la red interna, las aplicaciones móviles y las integraciones con terceros.
¿Cuánto cuesta y cuánto dura cada ciclo?
El costo depende del tamaño del alcance: número de aplicaciones, direcciones IP y la profundidad de las pruebas. Un ciclo típico toma entre dos y cuatro semanas de ejecución, más el tiempo de re-tests. La forma honesta de dimensionarlo es conversarlo: con una llamada sobre tu infraestructura se puede estimar un alcance y un presupuesto realistas, sin compromiso.
¿El pentesting es legal? ¿Necesito algún permiso especial?
Es completamente legal cuando se hace con autorización escrita del responsable de los sistemas —ese es el punto de partida de todo ejercicio serio—. Se firma un acuerdo que define alcance, reglas y confidencialidad antes de la primera prueba. Lo que es delito en Panamá es probar sistemas sin autorización.
¿Pueden tumbar mis sistemas en producción durante la prueba?
Las pruebas se coordinan en ventanas acordadas y los especialistas trabajan con reglas de juego que protegen la operación: se evitan técnicas que causen denegación de servicio y se mantiene comunicación con tu equipo durante el ejercicio. Si algo inesperado ocurre, se detiene de inmediato. En años de operación, la regla es clara: primero la continuidad de tu negocio.
¿Qué recibo al final de cada ciclo?
Un informe ejecutivo para la dirección y un informe técnico detallado para tu equipo, con cada hallazgo priorizado por riesgo, evidencia de explotación y recomendaciones concretas de corrección. Más los re-tests que verifican que las correcciones funcionaron.
¿Cuándo un pentesting NO es lo que mi empresa necesita?
Honestidad primero: si tu empresa aún no tiene inventario de sus activos, no aplica parches de forma regular o no tiene respaldos probados, un pentesting te va a confirmar lo que ya sospechas y te va a costar más que arreglarlo. En ese caso, lo sensato es empezar por un análisis de vulnerabilidades o un plan de endurecimiento básico, y programar el pentesting cuando los cimientos estén en su lugar. Un proveedor serio te lo dirá antes de venderte la prueba.
¿Cómo evalúo una propuesta de pentesting continuo?
Pide que te muestren un informe de ejemplo (anonimizado), pregunta si los re-tests están incluidos o se cobran aparte, verifica que el alcance se defina por escrito y confirma que el equipo que ejecuta es el que presenta los resultados. Desconfía de propuestas que prometen «cero riesgos» o que no piden autorización formal: son señales de que el ejercicio no es serio.
Evalúa la seguridad de tu empresa en Ciudad de Panamá con DragonJAR
Si tu empresa opera en la Ciudad de Panamá —en banca, logística, comercio internacional o como sede regional— sabes que tu superficie de ataque crece con cada nuevo servicio digital que pones en marcha. El pentesting continuo de DragonJAR te permite mantener esa superficie bajo control con evaluaciones periódicas realizadas por especialistas con trayectoria reconocida.
Al completar el formulario recibirás una propuesta adaptada a tu operación: alcance recomendado, número de ciclos, tiempos y una estimación honesta de inversión. Sin compromiso y sin llamadas de presión: la propuesta se construye con la información que nos compartas sobre tus activos y tus objetivos. Si después de revisarla decides no avanzar, te quedas con el diagnóstico inicial, que por sí solo ya tiene valor.
Protege la confianza que tus clientes depositan en ti: evalúa la seguridad de tu empresa en Ciudad de Panamá con DragonJAR.