Descubra lo que un atacante vería en su empresa en Bucaramanga, antes de que lo explote.
Prueba de Pentesting real para empresas de Bucaramanga: simulamos ataques con las mismas técnicas que usaría un adversario, con hallazgos priorizados por riesgo real y retest de las correcciones.
En Bucaramanga conviven fábricas de calzado que exportan a Ecuador con clínicas que atienden pacientes de medio país y universidades con decenas de miles de cuentas institucionales. Esa mezcla —industria, salud, comercio y educación— es exactamente lo que un atacante busca: muchas puertas, cada una con un dueño distinto y casi ninguna vigilada. Una prueba de Pentesting en Bucaramanga es la forma de comprobar, con evidencia, cuál de esas puertas está abierta.
El problema no es teórico. El Centro Cibernético de la Policía Nacional ubica a Bucaramanga entre las ciudades con mayor afectación por los delitos de la Ley 1273 de 2009 en su balance de marzo de 2025 (boletín oficial). Y en 2024 el país registró 77.666 denuncias por delitos informáticos (+23% interanual), con el 74% de los ciberataques originados en un correo fraudulento (ACIS, noviembre de 2025).
En la vía a Piedecuesta opera el Hospital Internacional de Colombia: un complejo de la Fundación Cardiovascular de Colombia declarado por el Gobierno Nacional como Zona Franca Permanente Especial. No es un dato turístico. Es la prueba de que en esta ciudad se mueven todos los días historias clínicas, datos de pacientes internacionales y operaciones de exportación de servicios de salud. Y donde hay datos sensibles concentrados, siempre hay alguien intentando robarlos.
Pero Bucaramanga no vive solo de la salud. Es la capital santandereana del calzado: el Clúster de Calzado y Marroquinería de Santander reúne 88 empresas que generan 1.116 empleos directos, con ventas por 124.353 millones de pesos en 2024 y exportaciones por 6.150 millones. Alberga a la Universidad Industrial de Santander (UIS), universidad pública con sede principal en la ciudad y acreditación institucional de alta calidad, y cuenta con su propio Clúster TI de Santander, gestionado por la Cámara de Comercio de Bucaramanga para construir un ecosistema de servicios digitales. Industria tradicional, comercio exterior, academia y software: esa mezcla es exactamente lo que convierte a una ciudad en un objetivo interesante para el cibercrimen.
En resumen: DragonJAR SAS, empresa colombiana de seguridad informática ofensiva con sede en Manizales (comunidad desde 2001, empresa desde 2012), realiza prueba de pentesting real para empresas de Bucaramanga, con informes ejecutivo y técnico en español, priorizados por riesgo de negocio, y retest de las correcciones.
Tabla de Contenido
Bucaramanga: centro industrial, comercial y de servicios del oriente colombiano
Bucaramanga, capital de Santander, es el principal centro económico del nororiente colombiano y articula un área metropolitana con Floridablanca, Girón y Piedecuesta. Su economía combina industria manufacturera —calzado, confecciones y alimentos—, comercio mayorista y minorista de alcance regional, servicios de salud con clínicas de referencia nacional, una fuerte presencia universitaria y un sector financiero y de servicios en expansión.
Esa diversidad implica una superficie de ataque amplia: ERPs en la industria, plataformas de comercio electrónico y pasarelas de pago, sistemas clínicos y administrativos en salud, plataformas educativas y correo institucional en las universidades, y banca electrónica en el comercio. Muchas empresas santandereanas operan con infraestructura híbrida —oficinas, plantas, puntos de venta y trabajo remoto— sin un programa de seguridad formal, lo que deja en manos de los equipos de TI una exposición que rara vez se valida de forma independiente.
El dato que debería preocupar a la industria santandereana
Dos datos de la región, verificables. Primero: Santander es el segundo clúster del país en calzado, cuero y marroquinería después de Cundinamarca, y el calzado y las confecciones están entre los sectores que más empleo generan en el área metropolitana (Cámara de Comercio de Bucaramanga). Manejan pedidos internacionales, anticipos y datos de clientes corporativos. Segundo: el sector salud concentró el 60% de los ciberataques en Colombia durante 2024 (IBM X-Force, citado por ACIS). Bucaramanga, con clínicas de referencia nacional, juega en la primera división de ese riesgo.
Riesgos de ciberseguridad para las empresas en Bucaramanga
Esto es lo que solemos encontrar al evaluar empresas de la región: phishing dirigido al personal administrativo y comercial con ingeniería social sobre pedidos, pagos y nómina; cuentas de correo corporativo comprometidas por credenciales débiles o reutilizadas; datos sensibles de pacientes y clientes expuestos en sistemas clínicos y comerciales con controles básicos; fraude en banca electrónica por equipos comprometidos; ransomware contra pymes industriales y comerciales con respaldos insuficientes o sin probar; y vulnerabilidades en aplicaciones web de comercio electrónico y plataformas institucionales.
En un ecosistema donde conviven industria, salud, educación y comercio, el pentesting comprueba con evidencia dónde está la exposición antes de que un atacante lo haga: ¿qué tan lejos llegaría con lo que hoy tengo expuesto?
Superficie de ataque por sector: dónde duele en Santander
Industria y manufactura. ERPs con paneles administrativos accesibles desde internet, VPNs con credenciales compartidas entre planta y administración, y portales B2B nunca probados. La puerta más común es la menos glamorosa: el acceso remoto habilitado hace años y jamás revisado.
Comercio y servicios. Tiendas en línea con pasarelas de pago, puntos de venta en la misma red que la oficina y bases de datos que se respaldan «cuando alguien se acuerda». El fraude por correo comprometido —cambiar las instrucciones de una transferencia desde el buzón del área de pagos— es el escenario más costoso aquí.
Salud. Historias clínicas digitales, portales de citas y resultados de laboratorio, en redes donde conviven equipos médicos, administrativos e invitados. La Ley 1581 de 2012 trata los datos de salud como sensibles: más obligación de protegerlos y más costo si se filtran.
Educación y banca. Plataformas académicas con miles de usuarios y contraseñas reutilizadas, y banca empresarial operada desde los mismos equipos que se usan para navegar y descargar archivos.
Software y servicios digitales. Las empresas del ecosistema TI santandereano guardan datos de terceros: sus clientes les confían información. Cuando una empresa grande contrata un proveedor de software, cada vez más pide evidencia de seguridad —un informe de pentesting reciente— como requisito del contrato. Sin esa evidencia, se pierden licitaciones. Con ella, se cierran negocios.
Agroindustria y proveedores de hidrocarburos. La cercanía con la industria de hidrocarburos sostiene en la región un ecosistema de contratistas y proveedores que manejan información contractual y operativa sensible. Aquí el riesgo típico es el phishing dirigido a personal administrativo y la interceptación de comunicaciones con proveedores. Un correo suplantado que cambia los datos de una cuenta para un pago a un contratista es un ataque barato de ejecutar y carísimo de sufrir.
Qué cubre una prueba de pentesting en una empresa santandereana
Un pentesting serio no es «pasar un escáner»: es trabajo manual con reglas acordadas por escrito. Normalmente incluye prueba externa (lo visible desde internet: web, correo, VPN, servicios expuestos), prueba interna (lo que haría alguien con acceso a la red), evaluación de aplicaciones web críticas (tienda, portal de clientes, intranet) e ingeniería social controlada (phishing simulado, con autorización).
Antes de firmar, exija tres cosas en el alcance: re-test de los hallazgos tras la remediación, un informe en español con hallazgos priorizados por riesgo de negocio —no una lista cruda de vulnerabilidades— y reglas claras de horarios y sistemas críticos. Si una propuesta no ofrece re-test, no es una propuesta seria.
Cómo evaluar una propuesta de pentesting sin que le vendan humo
Esta es la parte que un decisor bumangués puede usar aunque no nos contrate. Antes de firmar, exija que la propuesta incluya, como mínimo:
- Alcance definido por escrito: qué IPs, dominios, aplicaciones y redes se van a probar, y qué queda explícitamente fuera. Desconfíe de la cotización que llega sin una llamada de descubrimiento previa.
- Pruebas manuales, no solo escáner: un escáner automatizado encuentra lo obvio; un hacker ético encadena vulnerabilidades como lo haría un atacante real. Pregunte qué porcentaje del trabajo es manual.
- Informe en dos niveles: un resumen ejecutivo que usted pueda llevar a junta directiva y un informe técnico que su equipo de TI pueda ejecutar.
- Re-test incluido: después de que usted corrija, el proveedor debe volver a probar para confirmar que cada brecha quedó cerrada. Sin re-test, el informe es una foto que se vence al mes.
- Acuerdo de confidencialidad firmado antes de empezar. No negociable.
Señales de alerta: precio fijo sin conocer su infraestructura, «garantía de cero vulnerabilidades», informes que son solo la salida de un escáner con el logo cambiado, y proveedores que no pueden explicar su metodología en lenguaje claro. Y una admisión honesta de nuestra parte: si su empresa aún no tiene inventario de activos, ni responsable de TI, ni parches al día, primero necesita orden básico antes que un pentesting. Un buen proveedor se lo dirá; uno malo le venderá la prueba igual.
Beneficios que sí se pueden medir
Un servicio de pentesting en Bucaramanga bien contratado paga de formas concretas:
- Evita el costo del incidente: días de operación detenida, rescates, abogados, sanciones de la SIC y clientes perdidos cuestan órdenes de magnitud más que una prueba anual.
- Cumplimiento demostrable: el informe es evidencia ante la Superintendencia de Industria y Comercio, ante aseguradoras y ante clientes corporativos de que usted gestiona la seguridad de los datos.
- Priorización real del presupuesto: en vez de comprar herramientas a ciegas, usted sabe exactamente qué cerrar primero, con el impacto de cada hallazgo explicado en términos de negocio.
- Ventaja comercial: para proveedores de software, salud y servicios que compiten por contratos grandes, un informe de pentesting reciente es un diferenciador que la competencia local muchas veces no tiene.
La normativa que realmente aplica en Colombia
No existen «normativas de Bucaramanga» que obliguen al pentesting; quien diga eso inventa. Existe un marco nacional que lo vuelve prácticamente inevitable: la Ley 1273 de 2009 tipifica los delitos informáticos —acceso abusivo a sistemas, interceptación de datos, daño informático, hurto por medios informáticos— con penas de 48 a 96 meses de prisión, y es la ley con la que la Policía registra y persigue el cibercrimen.
Y la Ley 1581 de 2012 —reglamentada por el Decreto 1377 de 2013— obliga a proteger los datos personales de clientes, empleados y pacientes. Un pentesting periódico es la evidencia técnica más directa de que esas medidas existen y funcionan.
CONPES 3854 de 2016. La Política Nacional de Seguridad Digital estableció el enfoque de gestión de riesgos de seguridad digital para el país, con participación del MinTIC, MinDefensa y el DNP. Documento CONPES 3854 (PDF). Su mensaje para el sector privado: la seguridad digital se gestiona por riesgos, no por checklist, y eso es exactamente lo que hace una prueba de penetración bien diseñada.
Nota de practitioner: además de la ley, revise sus contratos. Cada vez más pólizas de ciberseguro, licitaciones públicas y acuerdos con empresas grandes exigen pruebas de penetración periódicas como condición. A veces la «regulación» que lo obliga no viene del Congreso sino de la letra pequeña de un contrato.
Escenarios reales que hemos visto (anonimizados)
Una empresa de calzado tenía su ERP accesible desde internet con el usuario administrador por defecto: el pentesting lo demostró en la primera hora. Una comercializadora perdió un anticipo de exportación porque comprometieron el correo del área comercial y enviaron nuevas instrucciones bancarias «del proveedor». Y una clínica tenía una vulnerabilidad que permitía ver resultados de laboratorio de otros pacientes: se corrigió y se verificó con re-test antes de que alguien se enterara. Ningún caso requirió un atacante sofisticado; solo que nadie había mirado antes.
Cómo trabaja DragonJAR
DragonJAR nació como comunidad de seguridad informática en 2001 y opera como empresa desde 2012. Nuestro proceso: llamada de descubrimiento para definir el alcance, propuesta con objetivos y límites por escrito, ejecución controlada —remota o presencial— sin afectar la operación, informe en español con hallazgos priorizados y remediación accionable, y re-test de verificación. Todo bajo autorización expresa y documentada.
También organizamos la DragonJAR Security Conference.
Preguntas frecuentes sobre la prueba de pentesting en Bucaramanga
¿El pentesting va a tumbar mis sistemas o interrumpir la operación?
No, si se hace bien: horarios definidos, sistemas críticos identificados y técnicas que evitan la denegación de servicio. Lo que sí sabrá es qué tan frágil es su infraestructura.
¿Cuánto tarda?
Una pyme con sitio web y red pequeña: una o dos semanas. Múltiples sedes y aplicaciones críticas: más. El cronograma real se define en la llamada de descubrimiento.
¿Qué necesita mi empresa antes de contratarla?
Menos de lo que cree: la lista de sistemas a evaluar, un contacto técnico y la autorización formal. No necesita comprar herramientas ni cambiar su infraestructura. Es mejor evaluar lo que tiene hoy, tal como está.
¿Cada cuánto debería repetirse?
Mínimo una vez al año, y siempre después de cambios importantes: migración a la nube, nueva aplicación, fusión o un incidente.
¿El informe sirve como evidencia de cumplimiento?
Sí: documenta las pruebas realizadas, los hallazgos con su nivel de riesgo y las acciones de remediación, lo que demuestra diligencia ante la Superintendencia de Industria y Comercio y ante sus clientes corporativos.
¿Cuánto cuesta y cuánto tarda una prueba de Pentesting en Bucaramanga?
Depende del alcance: cuántas aplicaciones, APIs, direcciones IP o sedes entran, la profundidad de la prueba y las ventanas disponibles. El costo y el plazo se confirman en la propuesta que recibe tras solicitarla. Solicitar cotización.
¿Qué sistemas pueden someterse a un pentest?
Redes internas y externas, aplicaciones web y móviles, APIs, infraestructura en la nube, redes Wi-Fi corporativas y, si su riesgo lo justifica, ejercicios de ingeniería social como phishing simulado. El alcance se acuerda con usted: nada se prueba sin su autorización escrita.
¿Cómo garantizan la confidencialidad de nuestra información?
Con un acuerdo de confidencialidad firmado antes de iniciar cualquier prueba, y con el tratamiento de toda la información bajo los principios de la Ley 1581 de 2012. Los informes son de su propiedad exclusiva: no se comparten con terceros bajo ninguna circunstancia.
¿Un pentesting reemplaza al antivirus y al firewall?
No, y desconfíe de quien le diga lo contrario. El antivirus, el firewall y las copias de seguridad son controles necesarios; el pentesting verifica si esos controles realmente aguantan un ataque. Son complementos, no sustitutos.
¿Qué pasa si el informe sale con muchas vulnerabilidades críticas?
Es más común de lo que cree, y es exactamente para lo que sirve la prueba: mejor descubrirlo usted que un atacante. El informe prioriza cada hallazgo por riesgo real para su negocio, su equipo corrige con una guía clara, y el re-test confirma que cada brecha quedó cerrada.
Solicite su prueba de pentesting en Bucaramanga
Si su empresa opera en Bucaramanga o en Santander, una prueba adaptada a su operación muestra con precisión dónde está expuesto: informe en español con hallazgos priorizados, remediación accionable y re-test de verificación.
Complete el formulario y recibirá una llamada de descubrimiento sin costo: revisamos su caso, le decimos con honestidad si un pentesting es lo que necesita (a veces no lo es) y le proponemos el alcance mínimo sensato. Sin compromiso. Vea nuestros servicios de seguridad informática o contáctenos directamente.
Bucaramanga tiene la industria, el comercio y la salud digitalizados; los atacantes ya lo saben —la ciudad aparece en los balances oficiales de cibercriminalidad— y la pregunta no es si su empresa será probada, sino por quién primero. Que sea un equipo ético, con alcance firmado y resultados accionables, es la decisión que está en sus manos.