Brecha de Datos en Colombia
El 6 de agosto de 2025, la Delegatura para la Protección de Datos Personales de la Superintendencia de Industria y Comercio confirmó una sanción de $190.547.400 contra Risks International S.A.S., además de ordenarle la…
El 6 de agosto de 2025, la Delegatura para la Protección de Datos Personales de la Superintendencia de Industria y Comercio confirmó una sanción de $190.547.400 contra Risks International S.A.S., además de ordenarle la suspensión temporal de sus actividades de tratamiento de datos. El motivo: una base de datos de cientos de titulares, alimentada sin las autorizaciones debidas y sin permitir el ejercicio de los derechos de rectificación o supresión. No fue un hackeo sofisticado ni un ransomware. Fue mala gestión de datos, y le costó a la empresa la operación. Una brecha de datos en Colombia no siempre empieza con un atacante: muchas veces empieza con un proceso interno que nadie auditó.
En resumen: DragonJAR SAS, empresa colombiana de seguridad informática ofensiva con sede en Manizales (comunidad desde 2001, empresa desde 2012). Este artículo aborda: Brecha de Datos en Colombia
Tabla de Contenido
¿Qué es una brecha de datos y por qué duele distinto en Colombia?
Una brecha de datos ocurre cuando información confidencial —personal o empresarial— queda expuesta, se divulga o se accede a ella sin autorización. Las causas van del ransomware con exfiltración previa al cifrado, al phishing que roba credenciales de un empleado, pasando por bases de datos expuestas a internet o el simple mal uso interno de la información.
En Colombia la brecha duele por tres vías simultáneas. La primera es operativa: robo de identidad, fraude financiero, interrupción del negocio. La segunda es reputacional: la confianza del cliente colombiano, una vez rota por una filtración, es difícil de recuperar. La tercera es sancionatoria, y es la que más subestiman las empresas: la Ley 1581 de 2012 faculta a la SIC a imponer multas de hasta 2.000 salarios mínimos mensuales legales vigentes —más de 2.600 millones de pesos en 2025—, además de suspensión de actividades, cierre de operaciones de tratamiento y publicación de la decisión sancionatoria. Y en el plano penal, el artículo 269F del Código Penal tipifica la violación de datos personales con penas de 48 a 96 meses de prisión.
Colombia: contexto digital y exposición de datos
Colombia vive una digitalización acelerada: la banca móvil y los pagos digitales crecen en todo el país, el comercio electrónico se expande, los trámites con el Estado se hacen cada vez más en línea y las pymes adoptan sistemas de gestión en la nube. Millones de personas y empresas generan, almacenan e intercambian datos personales y financieros a diario. Esa masificación digital multiplica los puntos donde una brecha de datos puede originarse: bases de datos de clientes, plataformas de pago, correos corporativos y sistemas administrativos conectados.
El riesgo ya no es teórico. Entre el 9 de enero y el 24 de marzo de 2026, un informe del Grupo de Respuesta a Emergencias Cibernéticas de Colombia (ColCERT), adscrito al Ministerio TIC, documentó nueve actores maliciosos que comprometieron la seguridad de más de 40 organizaciones de ocho sectores estratégicos del país, incluyendo puertos, aeropuertos, redes de agua potable y plantas de energía. Cuando la infraestructura que sostiene servicios esenciales está en la mira, la protección de los datos deja de ser un tema del área de sistemas y pasa a ser un tema de junta directiva.
Casos que resumen el riesgo: lo que ya pasó en Colombia
El 12 de septiembre de 2023, un ataque de ransomware contra IFX Networks —proveedor de nube y telecomunicaciones— dejó sin portales a la Superintendencia de Industria y Comercio, la Superintendencia de Salud, el Ministerio de Salud y el Consejo Superior de la Judicatura, entre al menos 50 entidades estatales afectadas. Según el análisis de la Universidad Javeriana, los responsables serían el colectivo Ransomhouse, el mismo detrás del ataque a Keralty en 2022. La lección es incómoda: el atacante no siempre entra por su puerta; a veces entra por la de su proveedor.
Pero no todo es ransomware. La sanción a Risks International demuestra que la SIC también actúa contra la mala gestión interna de datos: bases de datos construidas sin autorización, sin control de acceso y sin respetar los derechos de los titulares. En nuestra experiencia, ese es el escenario más común en pymes colombianas: no hay un atacante sofisticado, hay una base de datos de clientes en un Excel compartido, un CRM sin roles definidos o un backup sin cifrar que alguien se llevó en un disco externo.
Lo que la regulación colombiana realmente exige
Tres normas marcan el terreno. La Ley 1581 de 2012 obliga a quienes tratan datos personales a garantizar su seguridad e informar a la SIC cuando se presenten violaciones a los códigos de seguridad que pongan en riesgo la información de los titulares. No exige una tecnología específica, exige diligencia demostrable: políticas, controles y evidencia de que funcionan. La Ley 1273 de 2009 —que creó el Título VII BIS del Código Penal sobre delitos informáticos— tipifica el acceso abusivo, la interceptación de datos y la violación de datos personales. Y el documento CONPES 3854 de 2016 fijó la Política Nacional de Seguridad Digital del país, con enfoque de gestión de riesgos antes que reacción.
El punto práctico: cuando la SIC investiga una brecha, la pregunta no es si tenía un firewall, sino si puede demostrar que sus medidas de seguridad se verificaban en la práctica. Una prueba de penetración es precisamente esa evidencia técnica independiente.
Dónde suelen originarse las brechas en empresas colombianas
Los patrones se repiten. Ransomware que exfiltra información antes de cifrar. Phishing dirigido a empleados para robar credenciales de acceso al correo o a la banca. Bases de datos y paneles administrativos expuestos a internet sin autenticación fuerte. Compromiso del correo empresarial para desviar pagos a proveedores. Y la reutilización de contraseñas entre servicios corporativos y personales. Ninguno de estos vectores requiere un atacante de élite; requieren una empresa que nunca probó sus defensas.
En nuestra experiencia, la pregunta que más incomoda a un gerente es simple: ¿sabe hoy, con evidencia, dónde están todos los datos personales que su empresa almacena y quién puede acceder a ellos? Si la respuesta tarda más de un día en construirse, hay una brecha esperando su momento.
Tres preguntas que incomodan (y debería hacerle hoy)
Primera: si mañana la SIC le pide evidencia de que sus medidas de seguridad funcionan, ¿qué le muestras? ¿Un contrato con un proveedor de antivirus o una prueba independiente con resultados? Segunda: ¿sabe cuántas copias de su base de datos de clientes existen fuera de su servidor principal —en laptops, correos, discos externos, hojas de cálculo compartidas—? Tercera: si un empleado descontento decidiera llevarse la base de datos hoy, ¿qué control técnico se lo impediría, no qué política se lo prohíbe?
Si alguna respuesta le tomó más de un minuto o terminó en «creo que», no tiene un problema de herramientas: tiene un problema de visibilidad. Y la visibilidad no se compra con más software; se compra con una evaluación que le muestre lo que el atacante vería.
Qué evaluar antes de decidir cómo protegerle
Si está comparando opciones, esto es lo mínimo que debería exigir a cualquier evaluación de seguridad de sus datos. Primero, un inventario de activos: no se puede proteger lo que no se sabe que existe. Segundo, pruebas sobre los sistemas que realmente tocan datos personales —aplicaciones web, APIs, correo, accesos remotos—, no solo un escáner automático. Tercero, explotación manual controlada que demuestre el impacto real: qué datos se podrían extraer, no una lista teórica de vulnerabilidades. Cuarto, un informe en español con hallazgos priorizados por riesgo y recomendaciones accionables. Y quinto, un re-test que verifique que las correcciones funcionaron. Sin ese cierre, el informe es un diagnóstico sin tratamiento.
También conviene ser honesto: no toda empresa necesita un pentest completo de inmediato. Si aún no tiene inventario de sus bases de datos ni políticas básicas de acceso, ese es el primer paso, y cualquier proveedor serio se lo dirá antes de cotizarle.
Preguntas frecuentes sobre brechas de datos en Colombia
¿Qué debe hacer mi empresa si sufre una brecha de datos?
Contener el incidente (aislar sistemas afectados sin apagarlos, para preservar evidencia), evaluar qué datos se expusieron, informar a la Superintendencia de Industria y Comercio cuando haya violación de los códigos de seguridad con riesgo para los titulares —es un deber legal—, y notificar a los afectados cuando corresponda. Documentar cada paso es clave: será su evidencia de diligencia.
¿La Ley 1581 de 2012 me obliga a reportar las brechas a la SIC?
La ley establece el deber de informar a la SIC cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los titulares. No es opcional: omitirlo agrava la situación sancionatoria si la brecha sale a la luz por otra vía.
¿De cuánto puede ser la multa por una mala gestión de datos?
El artículo 23 de la Ley 1581 contempla multas de hasta 2.000 salarios mínimos mensuales legales vigentes —más de 2.600 millones de pesos en 2025—, además de suspensión de actividades de tratamiento, cierre de operaciones y publicación de la sanción. El caso Risks International ($190.547.400 más suspensión temporal) muestra que la SIC las aplica.
¿Un pentest me sirve frente a una investigación de la SIC?
Es una pieza central de la evidencia: demuestra de forma independiente que sus medidas de seguridad se verifican en la práctica, lo cual respalda el principio de responsabilidad demostrada. No reemplaza sus políticas ni sus controles, pero sin evidencia técnica el cumplimiento queda en papel.
¿Cada cuánto debería evaluar la seguridad de mis datos?
Como mínimo, después de cada cambio relevante: nueva aplicación, migración a la nube, integración con un proveedor o incidente de seguridad. Las empresas que manejan datos sensibles de forma intensiva —salud, finanzas, educación— deberían hacerlo de forma periódica, no solo cuando algo falla.
¿Cuánto cuesta y cuánto tarda un brecha de Datos en Colombia?
Depende del alcance: cuántas aplicaciones, APIs, direcciones IP o sedes entran, la profundidad de la prueba y las ventanas disponibles. El costo y el plazo se confirman en la propuesta que recibe tras solicitarla. Solicitar cotización.
Evalúe la seguridad de sus datos con DragonJAR
Si su empresa maneja datos de clientes, empleados o proveedores en Colombia, una prueba de penetración permite identificar dónde están expuestos y cómo un atacante podría llegar a ellos, antes de que la exposición se convierta en sanción o en noticia. El servicio incluye un informe ejecutivo en español con hallazgos priorizados por riesgo, recomendaciones prácticas de remediación y re-test para verificar que las vulnerabilidades fueron corregidas.
DragonJAR —comunidad de seguridad informática desde 2001 y empresa desde 2012— atiende empresas en Colombia de forma remota y presencial. Complete el formulario y agende una llamada de descubrimiento sin costo: levantamos su inventario de activos, entendemos su sector y le recomendamos un alcance concreto. Sin compromiso.