Descubra lo que un atacante vería en su empresa en Antioquia, antes de que lo explote.
Ciberseguridad real para empresas de Antioquia: simulamos ataques con las mismas técnicas que usaría un adversario, con hallazgos priorizados por riesgo real y retest de las correcciones.
El 13 de diciembre de 2022, Empresas Públicas de Medellín —la empresa de servicios públicos más grande del país— tuvo que cerrar su servicio al cliente en oficinas y canales virtuales por un ciberataque: miles de usuarios solo pudieron pagar su factura en corresponsales bancarios. El año siguiente, el ransomware siguió golpeando en Colombia: la Fiscalía, el Metro de Medellín y de nuevo EPM aparecieron entre las víctimas. Si eso le pasa a organizaciones de ese tamaño y presupuesto, la ciberseguridad en Antioquia no es un tema de «las grandes empresas»: es el costo de operar en el departamento con mayor densidad industrial del país.
Este artículo explica por qué las empresas antioqueñas son un objetivo atractivo, qué errores vemos repetirse en la región, qué tipos de prueba necesita cada sector, cómo trabaja un Pentesting profesional y qué normativa colombiana aplica.
En resumen: DragonJAR SAS, empresa colombiana de seguridad informática ofensiva con sede en Manizales (comunidad desde 2001, empresa desde 2012), realiza ciberseguridad real para empresas de Antioquia, con informes ejecutivo y técnico en español, priorizados por riesgo de negocio, y retest de las correcciones.
Tabla de Contenido
Antioquia: industria, energía y servicios con alta digitalización
Antioquia concentra industria manufacturera, energía, minería, agroindustria, banca y un ecosistema de innovación y servicios que opera para todo el país. Empresas industriales, energéticas, financieras y comerciales del departamento gestionan producción, clientes y pagos sobre redes corporativas, plantas con automatización y aplicaciones críticas. Medellín además funciona como hub de servicios digitales y tercerización para clientes nacionales e internacionales.
Esa densidad industrial y de servicios convierte a Antioquia en uno de los territorios con mayor superficie de ataque empresarial del país. Un pentesting en Antioquia debe partir de esa realidad y priorizar los activos cuya caída detendría la operación.
Por qué las empresas de Antioquia son un objetivo atractivo
Un atacante no elige víctimas al azar: elige donde el botín o el daño son mayores. Antioquia reúne varios de esos imanes en pocos kilómetros:
- Energía y servicios públicos: EPM opera energía, agua y gas para millones de usuarios. Un ataque a su infraestructura no solo roba datos: interrumpe servicios esenciales y genera presión inmediata para pagar un rescate. El caso de diciembre de 2022 lo demostró en vivo.
- Industria manufacturera con planta automatizada: textil, alimentos, materiales de construcción. Las plantas modernas mezclan sistemas de control industrial (OT) con la red corporativa (IT): si esa frontera está mal segmentada, un phishing en una oficina puede terminar deteniendo una línea de producción.
- Banca y servicios financieros: el ecosistema financiero del Valle de Aburrá mueve pagos, crédito y tesorería de empresas de todo el país. El fraude en transferencias electrónicas es el delito con mejor retorno para el atacante.
- Proveedores del Estado y contratistas: quien vende al sector público administra datos sensibles y contratos millonarios, y suele tener una madurez de seguridad menor que la entidad a la que le vende: el eslabón débil de la cadena.
- Servicios digitales y tercerización: las empresas que procesan datos de terceros son un doble objetivo: sus propios sistemas y los datos de sus clientes.
Errores típicos que vemos en empresas de la región
Después de años haciendo pruebas en empresas colombianas, estos son los patrones que más se repiten en Antioquia. Revíselos con honestidad: si reconoce dos o más, necesita un pentest antes que un atacante se lo confirme.
- Credenciales comprometidas como puerta de entrada. Un reporte de 2023 sobre Colombia identificó decenas de entidades públicas y educativas con cuentas de correo comprometidas en manos de atacantes. Los ataques de ransomware «no aparecen de la nada: típicamente inician con el compromiso de credenciales de acceso a sistemas de infraestructura o correo electrónico». Si sus usuarios reutilizan contraseñas, el perímetro ya cayó.
- Planta y oficina en la misma red. Sistemas industriales con software desactualizado, accesibles desde la red corporativa o incluso con acceso remoto mal configurado. Un atacante que entra por un correo de recursos humanos no debería poder ver los controladores de planta, pero en muchas industrias puede.
- Respaldos que nadie probó. Tener backup no es tener recuperación. Hemos visto empresas descubrir durante un incidente que sus respaldos llevaban meses fallando en silencio o que no incluían los sistemas críticos.
- Pagos sin doble control. Transferencias electrónicas autorizadas por una sola persona, sin verificación fuera de banda. El fraude por BEC (compromiso del correo empresarial) vive de este error.
- Confiar toda la continuidad en un proveedor. En septiembre de 2023, el ataque de ransomware a IFX Networks —proveedor de nube del Estado colombiano— afectó al menos a 50 entidades estatales, incluyendo el Ministerio de Salud. La lección: su proveedor es parte de su superficie de ataque; pregúntele por su seguridad con el mismo rigor con que la exige internamente.
- El Wi-Fi de planta como puerta trasera. Redes inalámbricas de producción con claves compartidas y sin segmentación: cualquiera con la clave está dentro de la red que controla la operación.
Tipos de prueba recomendados para Antioquia, por sector
No todas las empresas necesitan lo mismo. Esto es lo que recomendamos según el perfil:
- Industria manufacturera: pentesting de infraestructura interna y externa + evaluación de la segmentación IT/OT + pruebas de ingeniería social al personal administrativo y de planta. Si hay sistemas de control industrial, evaluación específica de ICS/SCADA.
- Energía y servicios públicos: pentesting de infraestructura crítica, revisión de accesos remotos de terceros y contratistas, y pruebas a los portales de atención al cliente. Aplica además el marco del Decreto 338 de 2022 sobre infraestructuras críticas cibernéticas.
- Banca, fintech y servicios financieros: pentesting de aplicaciones web y móviles, APIs de pagos, revisión de seguridad en código fuente y pruebas de lógica de negocio (donde los escáneres automáticos no llegan).
- Comercio y retail: pentesting del e-commerce, APIs de inventario y pagos, y revisión de la exposición de datos de clientes.
- Servicios digitales y BPO: lo anterior más revisión de la segregación entre entornos de clientes: un cliente no debería poder ver los datos de otro.
Normativa que aplica en Colombia
- Ley 1273 de 2009: creó en el Código Penal el título de «Protección de la información y de los datos». Tipifica el acceso abusivo a sistemas informáticos (art. 269A), la obstaculización de sistemas (269B), la interceptación de datos (269C) y el daño informático (269D), con penas de 48 a 96 meses de prisión y multas de hasta 1.000 salarios mínimos. Es la base penal que respalda cualquier denuncia por un incidente. (Texto de la Ley 1273 de 2009)
- Decreto 338 de 2022: establece el marco para la protección de las infraestructuras críticas cibernéticas en Colombia: identificación de infraestructuras críticas, medidas de seguridad, reporte de incidentes a las autoridades y el rol del CERT-Col en la respuesta. Si su empresa opera infraestructura crítica, este decreto le toca directamente. (Análisis del Decreto 338 de 2022)
Cómo trabaja DragonJAR en un pentesting
Así opera una prueba profesional con nosotros, paso a paso:
- Alcance y reglas de juego firmadas. Antes de tocar un solo sistema, se documenta qué está dentro y fuera de la prueba, las ventanas de ejecución, los contactos de emergencia y los límites. Sin este documento no hay prueba.
- Reconocimiento y explotación controlada. El equipo mapea la superficie expuesta y valida cada hallazgo intentando explotarlo, como lo haría un atacante real. Lo que no se puede demostrar, no se reporta como confirmado: así se eliminan los falsos positivos.
- Comunicación durante la prueba. Canal directo con el equipo técnico y notificación inmediata si se encuentra una vulnerabilidad crítica en producción. No le enteras del informe al final: le enteras del riesgo grave en el momento.
- Informe en dos niveles, en español. Resumen ejecutivo para gerencia (riesgo de negocio, priorización, costo de no actuar) e informe técnico para su equipo (evidencia, pasos de reproducción, cómo remediar cada hallazgo).
- Re-test incluido. Después de que su equipo aplica las correcciones, volvemos a probar para confirmar que cada vulnerabilidad quedó cerrada. Un informe sin re-test es una foto; el re-test es la confirmación.
- Confidencialidad total. Todo el equipo firma acuerdos de confidencialidad y la información se maneja bajo políticas estrictas de acceso mínimo.
DragonJAR es una empresa nacida de la comunidad de seguridad informática en 2001 y constituida como empresa en 2012. Ejecutamos pruebas de penetración para empresas en toda Colombia, con atención presencial y remota en Antioquia.
Preguntas frecuentes sobre ciberseguridad en Antioquia
¿Cuánto tarda un pentesting y qué necesita de mi equipo?
Depende del alcance: una aplicación web típica toma de una a tres semanas; una infraestructura completa, más. De su lado se necesita un contacto técnico disponible, la lista de sistemas a evaluar y las ventanas de prueba acordadas. No necesita tener todo documentado: en la llamada de descubrimiento levantamos lo necesario.
¿La prueba puede interrumpir mi producción?
Las reglas de juego firmadas definen ventanas, sistemas excluidos y umbrales. Las pruebas de denegación de servicio no se ejecutan contra producción sin autorización explícita por escrito. En plantas industriales, se coordinan ventanas de mantenimiento para cualquier prueba sobre sistemas operativos.
¿Qué diferencia hay entre un análisis de vulnerabilidades y un pentesting?
El análisis de vulnerabilidades identifica y clasifica posibles fallas de forma automatizada; el pentesting las valida intentando explotarlas como un atacante real. El primero le da una lista; el segundo le dice cuáles son explotables de verdad, con evidencia. Para decisiones de inversión en seguridad, el pentesting es el que responde «¿me pueden entrar por aquí?».
Mi empresa es proveedora del Estado. ¿Me aplica el Decreto 338 de 2022?
Si opera o das soporte a infraestructuras críticas cibernéticas, sí: el decreto exige medidas de seguridad, identificación de activos críticos y reporte de incidentes. Un pentesting periódico es una de las formas más directas de evidenciar que cumple con esas obligaciones.
¿Cómo garantizan la confidencialidad durante la prueba?
Todos los profesionales involucrados firman acuerdos de confidencialidad antes de empezar, la prueba opera bajo reglas de juego escritas y se aplican políticas estrictas de manejo de información con acceso mínimo. Puede pedir el NDA antes de compartir cualquier detalle de su infraestructura.
¿Cada cuánto deberíamos repetir la prueba?
Mínimo una vez al año, y después de cada cambio relevante: despliegues importantes, migraciones a la nube, apertura de portales de clientes, fusiones o entrada de nuevos sistemas de planta. En sectores regulados o con clientes que exigen evidencia, lo habitual es semestral.
La ciberseguridad en Antioquia dejó de ser un tema de especialistas: es una condición para operar en el departamento industrial más importante del país. EPM, el Metro de Medellín y decenas de organizaciones ya pagaron el costo de aprenderlo tarde. Un pentesting le dice dónde está expuesto antes de que un atacante —o un titular de prensa— se lo diga.
Solicite su prueba de ciberseguridad en Antioquia con DragonJAR
Si su empresa opera en Antioquia —industria, energía, finanzas, comercio o servicios—, una prueba de penetración adaptada a su operación muestra con precisión dónde está expuesto: aplicaciones, infraestructura, planta y el factor humano. El servicio incluye informe en español con hallazgos priorizados por riesgo, evidencia técnica, recomendaciones prácticas de remediación y re-test para confirmar que las vulnerabilidades fueron corregidas.
Al llenar el formulario, un asesor técnico le contacta para una llamada de descubrimiento sin costo: revisamos su operación, definimos el alcance recomendado (qué probar primero según su sector y sus riesgos) y recibe una propuesta escrita. Sin compromiso.