En abril de 2026, la ASFI —la autoridad que supervisa todo el sistema financiero boliviano, con oficina central en la plaza Isabel la Católica de La Paz— tuvo que advertir sobre una plataforma fraudulenta que usaba su nombre e imagen institucional, con vídeos y voces clonadas por inteligencia artificial, para captar recursos del público. El ataque ni siquiera tocó su infraestructura: bastó con suplantarla. Es una muestra fiel del momento que vive La Paz: la presión delictiva contra las organizaciones paceñas ya no depende de vulnerar servidores, sino de engañar personas y explotar los canales digitales que mueven el dinero y los trámites del país.
Esta página es una guía práctica para gerentes, directores de tecnología y responsables de cumplimiento en La Paz que están evaluando un pentesting o test de penetración: qué amenaza pesa sobre las organizaciones paceñas, qué fallos aparecen con más frecuencia en la región y qué tipo de prueba conviene según cada perfil.
Tabla de Contenido
Por qué las organizaciones paceñas son un objetivo atractivo
La Paz no es una ciudad más dentro del mapa de amenazas boliviano: es la sede de gobierno del país. En la plaza Murillo se concentran el Palacio Quemado —edificio oficial del Poder Ejecutivo—, el Palacio Legislativo y el Tribunal Supremo Electoral, además de los ministerios y la gran mayoría de las entidades públicas del Estado. Donde hay gobierno hay trámites digitales, bases de datos de ciudadanos, expedientes administrativos y contratistas que necesitan acceso a sistemas oficiales. Todo eso es objetivo.
Además de la sede política, La Paz es el centro financiero. La propia ASFI tiene su oficina central en esta ciudad y supervisa a las entidades de intermediación financiera, valores y seguros conforme a la Ley N.° 393 de Servicios Financieros. Bancos, cooperativas de ahorro y crédito, mutuales y proveedores de banca móvil operan canales digitales —aplicaciones, banca por internet, pagos QR— que concentran el dinero y la información sensible de millones de clientes. Una sola aplicación bancaria con una vulnerabilidad grave en La Paz pone en riesgo la confianza de todo un segmento del sistema.
El tercer bloque es el de los proveedores del Estado y el comercio. Las empresas que venden al gobierno manejan contratos, facturación y acceso a plataformas de contratación pública; su seguridad se convierte, por transitividad, en la seguridad de las propias entidades. A eso se suma el comercio con pagos electrónicos, las telecomunicaciones y las universidades privadas. Los datos públicos dan la escala: entre mayo de 2023 y abril de 2026 la ATT registró 16.821 denuncias relacionadas con posibles hechos de fraude en servicios de telecomunicaciones, y el informe de AppGate sobre fraude digital en América Latina reportó que Bolivia registró un crecimiento interanual del 170 % en 2025, con el sector financiero como el más afectado a nivel global.
Errores típicos que se repiten en la región
En evaluaciones sobre organizaciones bolivianas aparecen una y otra vez los mismos patrones. Revíselos con honestidad:
- Pagos y canales digitales sin verificación de integridad. El QR se volvió el medio de pago cotidiano en Bolivia, y con él llegaron el QR phishing y el «QR inverso»: códigos manipulados que en lugar de cobrar, generan solicitudes de pago al estafador.
- aplicaciones web con controles básicos ausentes. Portales de trámites e intranets publicados para «salir del paso»: sesiones sin expiración, credenciales por defecto, parámetros sin validación, mensajes de error que filtran detalles internos.
- Servicios corporativos expuestos sin segundo factor. VPN, escritorios remotos y correo accesibles desde internet protegidos solo con contraseña. El phishing paceño se dirige cada vez más a empleados públicos y privados, y una contraseña robada se convierte en acceso directo a la red.
- Respaldo de información improvisado. Copias que existen pero nunca se probaron, almacenadas en el mismo entorno que protegen o sin cifrado. Cuando llega el ransomware, la recuperación depende de un respaldo que quizá no funciona.
- Inventario ciego de activos digitales. Dominios, subdominios, API y servidores olvidados después de migraciones o proyectos. El atacante solo necesita un activo abandonado con software desactualizado; la organización ni siquiera sabía que existía.
Qué tipo de prueba conviene según su perfil
No todo «pentest» es igual. La prueba correcta depende de qué intentaría romper un atacante real en su caso:
- Pentesting de aplicaciones web. Para bancos, cooperativas, entidades públicas y comercios con portales de trámites, autogestión o comercio electrónico: lógica de negocio, control de sesiones, gestión de roles y exposición de datos.
- Pentesting de aplicaciones móviles. Para banca móvil, billeteras y apps de pago: almacenamiento local de datos sensibles, comunicación con el backend y protecciones contra manipulación del dispositivo.
- Pentesting de infraestructura. Para redes corporativas con sucursales, VPN y servicios expuestos: qué puede alcanzar un atacante desde internet y qué puede hacer una vez dentro.
- Ingeniería social y phishing controlado. Para entidades con alto volumen de personal administrativo, como ministerios y empresas públicas. El fraude paceño más dañino empieza con un correo o un WhatsApp creíble; esta prueba mide la resistencia del factor humano antes de que un delincuente lo haga.
- Evaluación para proveedores del Estado. Para contratistas que conectan sus sistemas con plataformas gubernamentales: un informe independiente de vulnerabilidades remediadas es evidencia concreta de diligencia frente a un cliente institucional.
El contexto normativo boliviano, con honestidad
Bolivia no cuenta con una ley general de protección de datos personales: a la fecha no existe una norma integral en la materia, y la protección se deriva de disposiciones dispersas —la Constitución, el Código Civil y la Ley N.° 164 de Telecomunicaciones—, según documenta la guía de Access Now sobre protección de datos en Bolivia. Esa ausencia de ley general no significa ausencia de obligación: las entidades financieras están sujetas a la normativa de la ASFI sobre gestión de riesgos y seguridad, y los contratos con el Estado y con clientes corporativos exigen cada vez más evidencias de seguridad verificables. Un pentesting independiente, con informe en español y re-test documentado, es una de las evidencias más directas de diligencia ante reguladores, socios y clientes.
Cómo trabaja DragonJAR un pentesting en La Paz
DragonJAR nació como comunidad en 2001 y opera como empresa desde 2012, con presencia en Hispanoamérica. Así se ejecuta una evaluación típica:
- Alcance y reglas por escrito antes de tocar nada. Qué sistemas se evalúan, qué técnicas están permitidas, horarios de prueba y canales de comunicación. Nada se ejecuta sin autorización documentada.
- Ejecución controlada por especialistas. Técnicas automatizadas combinadas con explotación manual: la diferencia entre un escáner que lista posibles fallos y un pentester que demuestra el impacto real de cada uno.
- Informe accionable en español. Cada hallazgo con evidencia de explotación, nivel de riesgo y pasos concretos de remediación priorizados por impacto en el negocio, más un resumen ejecutivo para la dirección.
- Re-test incluido. Aplicadas las correcciones, se verifican de nuevo las vulnerabilidades para confirmar que quedaron cerradas y que no se introdujeron nuevos problemas.
- Confidencialidad contractual. Acuerdos de confidencialidad con todo el equipo y manejo controlado de la información durante todo el proceso.
Preguntas frecuentes sobre pentesting en La Paz
¿Cuánto tiempo toma un pentest?
Una aplicación web típica toma de una a tres semanas entre ejecución e informe; una infraestructura con varias sedes puede extenderse más. En la llamada de descubrimiento se define un cronograma realista según sus sistemas.
¿Cuánto cuesta?
Depende del número de objetivos, la complejidad y el tipo de prueba. DragonJAR elabora propuestas con alcance y precio cerrados por escrito: usted sabe exactamente qué se evalúa y cuánto paga antes de firmar.
¿El pentest puede tumbar mis sistemas?
Es la preocupación más común y la más fácil de resolver con reglas claras: las pruebas que podrían afectar la disponibilidad se acuerdan por escrito, se ejecutan en horarios definidos y con un canal directo para detener cualquier actividad de inmediato si algo se comporta de forma inesperada.
¿Qué pasa si encuentran una vulnerabilidad crítica durante la prueba?
Se la notificamos de inmediato por el canal acordado, con la evidencia y una recomendación de contención temporal. Usted no espera al informe final para actuar sobre un riesgo grave.
¿El informe sirve frente a un regulador o un cliente corporativo?
Sí. El informe documenta metodología, alcance, hallazgos con evidencia y la verificación de remediación en el re-test. Es una evidencia técnica independiente del estado de seguridad de sus sistemas en una fecha concreta.
Empiece con una llamada de descubrimiento sin costo
Si su organización opera en La Paz —banca, entidad pública, proveedor del Estado, comercio con canales digitales o telecomunicaciones—, el primer paso no es comprar un pentest a ciegas: es conversar 30 minutos con un especialista, describir su infraestructura y recibir una recomendación de alcance honesta. Si la prueba no es lo que necesita, se lo diremos. Complete el formulario y agende su llamada de descubrimiento sin costo: alcance recomendado, cronograma y precio cerrado por escrito antes de empezar. Sin compromiso y sin presión comercial.