En noviembre de un año reciente, usuarios de uno de los bancos más grandes de Bolivia descubrieron decenas de cargos no reconocidos en sus tarjetas de débito: pagos a servicios extranjeros como ChatGPT, Telegram, Google, Uber y TikTok, muchos de montos pequeños para pasar desapercibidos. Una sola usuaria identificó 48 pagos irregulares por más de 6.700 bolivianos. Ni la entidad supervisora ni el banco respondieron a los requerimientos de información de una organización de la sociedad civil. Ese episodio resume el riesgo real: el ataque rara vez llega como un apagón espectacular; llega como una filtración silenciosa que nadie está mirando.
Tabla de Contenido
La superficie de ataque de las empresas en Bolivia, sector por sector
Bolivia combina una economía extractiva con un sistema financiero en rápida digitalización, y cada sector expone un flanco distinto:
Banca, entidades financieras y fintech
Un Pentesting aquí apunta a banca en línea, banca móvil, APIs de pagos, sucursales virtuales y la cadena de proveedores que conectan con el core bancario.
Minería e hidrocarburos
Los sectores estratégicos bolivianos operan plantas y redes industriales cada vez más conectadas a sistemas de gestión y monitoreo remoto. La frontera entre la red de tecnología operativa (OT) y la red corporativa es el punto donde un intruso salta del phishing a la operación: un atacante que compromete una estación de monitoreo puede moverse lateralmente si no hay segmentación real.
Agroindustria de Santa Cruz
El riesgo típico: aplicaciones web internas o portales de clientes publicados sin una validación de seguridad seria, credenciales compartidas entre sucursales y accesos de terceros (transportistas, distribuidores) sin control granular.
Comercio y pymes
Para las pymes bolivianas, el vector más común es el phishing y la suplantación: correos que imitan proveedores, fraudes por transferencia y el robo de credenciales que luego se venden en paquetes. Un solo equipo infectado con un infostealer puede convertirse en acceso al correo corporativo, la nube y las aplicaciones financieras de la empresa.
Qué cubre un pentesting para una empresa en Bolivia
Un pentesting no es una lista genérica de escaneos: es una simulación controlada de lo que haría un atacante real contra los sistemas que tu empresa declara en el alcance. En el contexto boliviano, un alcance bien definido suele incluir:
- Perímetro externo: aplicaciones web, portales de clientes, APIs y servicios publicados a internet.
- Banca digital y pagos: flujos de autenticación, validación de transacciones, exposición de APIs de billeteras y QR.
- Red interna y Active Directory: movimiento lateral, escalación de privilegios y credenciales débiles o reutilizadas.
- Ingeniería social: campañas de phishing controladas para medir la exposición real del personal.
- OT y redes industriales: en minería e hidrocarburos, validación de la segregación entre red operativa y corporativa.
En nuestra experiencia, lo que separa un buen pentesting de un trámite es la priorización: el informe debe decir cuál hallazgo se corrige primero, con qué esfuerzo y qué riesgo de negocio queda abierto mientras tanto. Y un dato honesto: si ya sabes que tu empresa tiene vulnerabilidades básicas sin corregir (parches pendientes, contraseñas débiles, usuarios sin doble factor), un pentesting puede esperar. Primero remediación, después prueba; de lo contrario pagas por confirmar lo que ya sabes.
Normativa aplicable en Bolivia: lo que existe y lo que no
Digámoslo con claridad: Bolivia no cuenta con una ley general de protección de datos personales. Proyectos de ley existen y recién están empezando a discutirse en el Legislativo. Lo que sí existe es la Acción de Protección de Privacidad del artículo 130 de la Constitución Política del Estado, que permite a cualquier persona exigir conocer, rectificar u obtener la eliminación de sus datos registrados en bancos de datos públicos o privados. Es una garantía constitucional, no un régimen de cumplimiento operativo: no obliga a las empresas a hacer pentesting ni a reportar incidentes.
La regulación exigible de verdad es sectorial, y está en la banca. La ASFI exige a las entidades supervisadas gestionar el riesgo tecnológico con políticas documentadas, controles, registros de incidentes y planes de continuidad. La Ley N° 393 de Servicios Financieros, en su artículo 124, exige que las operaciones por medios electrónicos cumplan medidas de seguridad que garanticen integridad, confidencialidad, autenticación y no repudio. Para los instrumentos electrónicos de pago, la normativa exige mecanismos de seguridad con base en el estándar PCI-DSS (ver análisis de la normativa).
Ninguna de estas normas dice literalmente «haga un pentesting». Pero todas exigen demostrar que los controles funcionan, y un test de penetración independiente es la evidencia más directa de que el control deja de ser papel cuando alguien intenta romperlo. Si tu empresa exporta, atiende clientes en el exterior o procesa tarjetas, súmale las exigencias contractuales de socios y adquirentes internacionales.
Escenarios que vemos repetirse en Bolivia
Los siguientes escenarios están anonimizados y compuestos a partir de patrones que se repiten en la región; ningún nombre ni cifra corresponde a un cliente identificable.
1. El fraude silencioso en la banca digital. Clientes de una entidad financiera descubren cargos pequeños y recurrentes a servicios extranjeros que no contrataron. El problema no estaba en el core bancario: estaba en la falta de monitoreo de transacciones atípicas y en la reutilización de credenciales comprometidas. Un pentesting de la banca en línea y sus APIs habría mostrado, antes, cómo un atacante podía operar sesiones y movimientos sin levantar alertas.
2. Las credenciales del Estado expuestas. Un informe internacional documentó que al menos 44 sistemas del Estado boliviano —entre ellos Impuestos Nacionales, el Ministerio de Educación, AGETIC y AEVivienda— aparecían con credenciales comprometidas por infostealers, más de 3.200 combinaciones usuario-contraseña (ver el reporte). Si organismos con presupuesto público terminan así por infecciones en equipos de usuarios finales, una pyme sin controles de endpoint está en la misma ruta.
3. El proveedor que abre la puerta de la planta. Una empresa extractiva con operación remota descubre accesos de un contratista con privilegios que nadie revocó después de terminado el contrato. El alcance típico: revisar accesos VPN de terceros, segmentación entre red corporativa y red operativa, y credenciales por defecto en equipos de monitoreo. El riesgo de negocio no es solo el robo de datos: es la interrupción de la operación.
Preguntas frecuentes sobre el pentesting en Bolivia
¿El pentesting es obligatorio por ley en Bolivia?
No hay una norma que obligue a todas las empresas bolivianas a realizar pentesting. Las entidades financieras supervisadas por la ASFI sí deben gestionar su riesgo tecnológico con controles verificables, y un test de penetración es la forma más sólida de demostrarlo. Para el resto de empresas, es una decisión de gestión de riesgo, no de cumplimiento.
¿Cuánto cuesta un pentesting en Bolivia?
Depende del alcance: número de aplicaciones, direcciones IP, si incluye ingeniería social o pruebas internas, y la profundidad (caja negra vs. caja gris). Un alcance pequeño y bien definido cuesta menos que un ejercicio amplio, y es mejor empezar con lo crítico que no hacer nada por pensar que hay que probarlo todo. Lo razonable es pedir una cotización con el alcance recomendado por escrito antes de decidir.
¿Cada cuánto se debe hacer?
Una vez al año como mínimo, y siempre después de cambios relevantes: un nuevo portal, una migración al core, una app móvil nueva o una fusión. En nuestra experiencia, el segundo pentesting anual suele encontrar menos hallazgos críticos y más problemas de configuración: señal de que la remediación funcionó.
¿Interrumpe la operación de mi empresa?
Un pentesting profesional se planifica con ventanas de prueba, reglas de compromiso y contactos de emergencia. Las pruebas que podrían afectar disponibilidad se acuerdan por escrito. Si un proveedor no te pide esta coordinación, es una señal de alerta.
¿Qué pasa con los hallazgos después del informe?
El trabajo no termina en el informe. Lo que distingue un servicio serio es el acompañamiento en la remediación y el re-test: verificar que cada vulnerabilidad crítica quedó realmente corregida y no solo documentada. Exige re-test incluidos en la propuesta.
Implementa pentesting en Bolivia con DragonJAR
DragonJAR, comunidad de seguridad informática desde 2001 y empresa desde 2012, ejecuta pruebas de penetración para organizaciones de todos los tamaños, con informe en español, hallazgos priorizados por riesgo y re-test para verificar la remediación.
Escríbenos para agendar una llamada de descubrimiento sin costo: definimos juntos el alcance recomendado para tu infraestructura, sin compromiso. Y si tu caso aún no necesita un pentesting —porque primero hay que ordenar lo básico—, te lo diremos de frente en esa misma llamada.