Descubra lo que un atacante vería en su empresa en Ciudad de Guatemala, antes de que lo explote.
El pentesting o test de penetración real para empresas de Ciudad de Guatemala: simulamos ataques con las mismas técnicas que usaría un adversario, con hallazgos priorizados por riesgo real y retest de las correcciones.
El 21 de agosto de 2024, el grupo de ransomware RansomHub atacó los sistemas del Ministerio de Educación de Guatemala. Nueve días después publicó 529 GB de información robada: compras, carpetas completas de los equipos comprometidos, datos de la operación interna de la institución (Devel Group). Casi un año después, ESET identificó al grupo de ciberespionaje FamousSparrow desplegando un nuevo backdoor contra entidades gubernamentales de América Latina, Guatemala incluida, y una evaluación independiente de 134 sitios web del Estado guatemalteco mostró que el 64% obtuvo una calificación D en seguridad digital (Centroamérica 360). Los atacantes ya están haciendo pruebas de penetración en el país, sin permiso y sin informe. El Pentesting o test de penetración en Ciudad de Guatemala es la versión honesta de ese ejercicio: la misma prueba, hecha por profesionales autorizados, con un informe que le dice qué corregir antes de que aparezca en la lista de víctimas.
En resumen: DragonJAR SAS, empresa colombiana de seguridad informática ofensiva con sede en Manizales (comunidad desde 2001, empresa desde 2012), realiza el pentesting o test de penetración real para empresas de Ciudad de Guatemala, con informes ejecutivo y técnico en español, priorizados por riesgo de negocio, y retest de las correcciones.
Tabla de Contenido
Ciudad de Guatemala: la banca regional, el BPO y la maquila en un solo nodo
Ciudad de Guatemala es la capital del país y el centro económico más importante de Centroamérica. Aquí operan los grupos bancarios y financieros regionales, las casas matrices de empresas con presencia en varios países de la región y una parte sustancial del comercio corporativo centroamericano. Cuando un banco, una financiera o una distribuidora regional sufre un incidente en la capital, el daño no se queda en una oficina: se propaga por las operaciones de varios países.
La ciudad concentra además uno de los polos de call centers y BPO más grandes del continente: alrededor de 55 mil empleos formales y exportaciones de servicios por más de US$736 millones en 2024, según el sector de Contact Center & BPO de AGEXPORT, con salarios anuales cercanos a los Q11 mil millones (AGEXPORT Hoy). Operadoras como Teleperformance, Concentrix, Atento, Alorica o Allied Global atienden desde Guatemala a clientes de Estados Unidos, Canadá, México y el Caribe (sectores.export.com.gt). Eso significa miles de agentes con acceso a datos personales y financieros de clientes extranjeros, trabajando contra plataformas que un atacante puede estudiar desde cualquier parte del mundo.
El tercer pilar es la maquila textil y de manufactura orientada a la exportación, con cadenas de proveeduría que coordinan producción, embarques y pagos a través de sistemas digitales, más un sector de comercio y servicios corporativos —distribuidoras, retailers, firmas de servicios profesionales— que gestiona ventas y operaciones regionales en plataformas electrónicas.
Esta combinación hace que la seguridad informática en Ciudad de Guatemala tenga una dimensión estratégica: un incidente en un banco, en un BPO que custodia datos de clientes extranjeros o en una exportadora puede trascender a la empresa y afectar contratos, reputación y relaciones comerciales en toda la región. La confianza que proyecta una empresa protegida es, en este contexto, un activo competitivo directo.
La superficie de ataque, sector por sector
En banca y servicios financieros, el punto caliente son las plataformas de banca electrónica, las pasarelas de pago y los sistemas de transferencias. En nuestra experiencia, los atacantes no suelen ir contra el core bancario de frente: buscan las integraciones —APIs con terceros, portales de clientes corporativos, accesos de proveedores— donde los controles son más laxos y donde una operación fraudulenta se mezcla con miles de operaciones legítimas al día.
En el BPO y los call centers, la superficie es humana y masiva: cientos o miles de agentes, rotación de personal alta, accesos a CRMs y sistemas de clientes extranjeros, y trabajo remoto o híbrido. El phishing dirigido a empleados es el vector de entrada más rentable contra estas operaciones: un correo que se hace pasar por el cliente internacional o por la gerencia, y un solo acceso comprometido abre la puerta a la red que custodia los datos de terceros.
En la maquila y la manufactura exportadora, el riesgo está en la coordinación digital: órdenes de compra, pagos a proveedores y logística que cruzan fronteras. La suplantación de identidad en operaciones de comercio es una amenaza seria aquí: con equipos distribuidos y operaciones que cruzan jurisdicciones, un atacante que imita a un ejecutivo o a un proveedor puede inducir transferencias indebidas o extraer información de contratos en curso.
Y el ransomware es el riesgo de continuidad para todos: cifrar las plataformas de un BPO, de una exportadora o de una empresa comercial puede detener la actividad durante días y poner en riesgo contratos con clientes internacionales que no esperan excusas, esperan servicio.
Qué cubre un pentest bien planteado en Ciudad de Guatemala
Un test de penetración serio no es «pasarle un escáner a la red». Para una empresa de la capital guatemalteca, el alcance mínimo que recomendamos cubre:
- aplicaciones web y banca en línea: pruebas sobre portales de clientes, banca electrónica, pasarelas de pago y APIs expuestas, buscando fallas de autenticación, control de acceso y lógica de negocio que un escáner automatizado no detecta.
- Infraestructura interna y segmentación: qué puede hacer un atacante —o un empleado descontento— una vez dentro de la red. En BPOs con cientos de puestos, la segmentación deficiente es el hallazgo más común y el más caro.
- Ingeniería social y phishing controlado: campañas simuladas contra el personal real, con reglas claras, para medir la exposición humana antes de que un atacante la mida por su cuenta.
- Configuraciones en la nube y accesos remotos: VPNs, escritorios remotos y consolas cloud mal configuradas son la puerta de entrada favorita en empresas con operación distribuida.
- Re-test con evidencia: volvemos a probar cada hallazgo después de que su equipo lo corrige, para confirmar el cierre con pruebas, no con promesas.
El entregable no es un PDF de 200 páginas que nadie lee: es un informe ejecutivo para la dirección —riesgo en lenguaje de negocio, qué puede pasar y cuánto cuesta no actuar— más un informe técnico con evidencias, severidades y pasos de remediación que su equipo puede ejecutar.
La normativa guatemalteca: lo que sí existe y lo que no
Aquí hay que ser honestos, porque este punto se presta al humo comercial. Guatemala no tiene una ley general de protección de datos personales vigente. El proyecto de ley 6103, que crearía un Consejo Nacional de Protección de Datos Personales, tiene dictamen en el Congreso pero no ha sido aprobado (dictamen, congreso.gob.gt). Lo que sí existe es un marco disperso: los artículos 30 y 31 de la Constitución (publicidad de los actos administrativos y acceso a archivos estatales, con la figura del hábeas data), la Ley de Acceso a la Información Pública (Decreto 57-2008) y las disposiciones del Código Penal sobre delitos informáticos.
En la práctica, lo que mueve a las empresas guatemaltecas a contratar un pentest no es una ley local, sino tres fuerzas reales: los contratos —los clientes norteamericanos de los BPO exigen evidencias de seguridad, y un contrato grande se pierde por no tenerlas—; los estándares de pago —si procesa tarjetas, PCI DSS le aplica vivas donde vivas—; y el sector financiero, supervisado por la Superintendencia de Bancos, donde los examinadores esperan ver gestión de riesgos tecnológicos documentada. Ninguna de esas tres fuerzas se satisface con un escáner automatizado: piden pruebas hechas por personas, con metodología y evidencias.
Casos y escenarios: lo que ya pasó cerca
El caso del Ministerio de Educación no fue un accidente aislado: fue un ransomware operado por un grupo profesional, con exfiltración masiva antes del cifrado. El patrón es el que vemos una y otra vez en empresas privadas de la región: el atacante entra por una credencial débil o un sistema sin parchear, se mueve lateralmente durante semanas y cuando cifra, ya tiene copia de todo.
La campaña de FamousSparrow añade una capa distinta: no es cibercrimen buscando rescate, es espionaje buscando información estratégica en instituciones del Estado. Las empresas que proveen al Estado o que operan infraestructura crítica quedan en la zona de salpicadura de ese tipo de operaciones.
Y hay un escenario que hemos visto repetirse en operaciones de BPO: una campaña de phishing bien dirigida compromete dos o tres cuentas de agentes, el atacante accede al CRM del cliente extranjero, y el incidente termina en una llamada del cliente preguntando por qué sus datos están en un foro. El costo no fue el rescate —fue el contrato. Un pentest con componente de ingeniería social mide exactamente esa exposición, con sus reglas y sin sorpresas.
Cómo trabaja DragonJAR en un pentest
DragonJAR es una firma de seguridad ofensiva con comunidad activa desde 2001 y operación como empresa desde 2012. Nuestros pentests se ejecutan con reglas de compromiso claras —alcance, horarios, canales de comunicación y qué está fuera de límites—, informe con hallazgos validados manualmente (cada hallazgo se valida manualmente), re-tests ilimitados para verificar correcciones y confidencialidad contractual sobre todo lo encontrado. Si quiere profundizar en la diferencia entre un escáner y una prueba real, nuestra formación y los servicios de seguridad informática de DragonJAR describen la metodología que aplicamos en cada ejercicio.
Preguntas frecuentes sobre el pentesting o test de penetración en Ciudad de Guatemala
¿Cuánto tiempo toma un pentest?
Depende del alcance. Una aplicación web o una red pequeña de oficina: una a dos semanas. Una infraestructura con varias sedes, múltiples aplicaciones y pruebas de ingeniería social: de cuatro a seis semanas. Lo definimos en la llamada de alcance, antes de cotizar, para que el tiempo responda a su realidad y no a una plantilla.
¿El pentest va a interrumpir mi operación?
No, si se hace bien. Las pruebas se ejecutan con reglas de compromiso: ventanas de horario acordadas, exclusión de sistemas críticos en producción durante horas pico y un canal directo con su equipo para detener cualquier prueba al instante. Los ataques de denegación de servicio no se ejecutan salvo que los pida explícitamente y en un entorno controlado.
¿Necesito un pentest o basta un análisis de vulnerabilidades?
Son cosas distintas. El análisis de vulnerabilidades identifica y clasifica debilidades de forma automatizada; el pentest simula ataques reales para comprobar cuáles son explotables y qué daño causarían. Si necesita cumplir un requisito contractual o entender su riesgo real, el análisis solo no alcanza: le dice qué podría fallar, no qué fallaría.
¿Alguna ley guatemalteca me obliga a hacer un pentest?
Ninguna ley general lo exige hoy. Lo que sí existe: exigencias contractuales de clientes internacionales, PCI DSS si procesa tarjetas, y expectativas de gestión de riesgo tecnológico en el sector financiero supervisado. En nuestra experiencia, el 90% de las contrataciones en Guatemala vienen de esas tres fuerzas, no de una norma.
¿Qué recibo al final del ejercicio?
Un informe ejecutivo para la dirección, un informe técnico con evidencias y pasos de remediación priorizados por impacto real, y re-tests que confirman que cada vulnerabilidad quedó cerrada. Todo bajo acuerdo de confidencialidad.
¿Cómo garantizan la confidencialidad de lo que encuentran?
Con contrato de confidencialidad firmado antes de empezar, equipo propio (no subcontratistas anónimos), manejo mínimo de datos —trabajamos con cuentas de prueba y datos anonimizados siempre que es posible— y eliminación de la información de prueba al cerrar el proyecto.
¿Su operación en Ciudad de Guatemala pasaría una prueba real?
Hágase cuatro preguntas: ¿cuándo fue la última vez que alguien intentó entrar a sus sistemas con permiso para contarle cómo lo hizo? ¿Qué cambió en su infraestructura desde entonces? ¿Cuántas personas tienen acceso a sus sistemas críticos, y cuántas deberían tenerlo? ¿Qué pasaría con sus contratos si mañana un cliente le pide evidencia de sus controles de seguridad?
Si alguna respuesta le incomoda, un pentest es el paso lógico. Y seamos directos sobre cuándo NO lo necesita: si sus sistemas aún no están en producción, espera a que lo estén; si lo que busca es «cumplir un check» barato, un escáner automatizado no es un pentest y no se lo vamos a vender como tal; y si su equipo no tiene capacidad para corregir hallazgos en los próximos tres meses, primero ordena la casa y luego mide.
Al llenar el formulario recibe, sin compromiso: una llamada de alcance con un consultor que entiende la operación de banca, BPO o comercio regional; una propuesta técnica con alcance, metodología y tiempos definidos para su caso; y una conversación honesta sobre qué necesita y qué no. Cada ejercicio produce un informe accionable con hallazgos priorizados por impacto en el negocio y re-tests que confirman cada corrección con evidencia.
Conozca los servicios de DragonJAR y solicite una evaluación adaptada a la realidad de su empresa en Ciudad de Guatemala.
Conclusión
El pentesting o test de penetración en Ciudad de Guatemala no es un lujo corporativo: es la forma de saber, con evidencia, qué vería un atacante de sus sistemas antes de que lo descubra por su cuenta. En una ciudad donde la banca regional, el BPO que custodia datos de clientes extranjeros y la maquila exportadora comparten la misma infraestructura digital, la pregunta no es si está expuesto, sino si ya lo midió. Los casos del Ministerio de Educación y de la campaña FamousSparrow muestran que los atacantes no están esperando a que se prepare. Mida primero, corrige después, y convierte la seguridad en el argumento comercial que sus contratos internacionales ya están pidiendo.