En el primer trimestre de 2025, Nicaragua recibió US$1.441,3 millones en remesas familiares, un 26,3% más que en el mismo periodo de 2024, y Managua captó el 25,7% de ese flujo como principal destino interno, según el Banco Central de Nicaragua. Ese dinero entra al país por aplicaciones móviles, ventanillas bancarias y redes corporativas que operan desde la capital. El pentesting en Managua comprueba, con ataques controlados, si esos canales resisten a un atacante real.
Tabla de Contenido
A continuación: la superficie de ataque por sector, qué debe cubrir un pentesting, la normativa aplicable y cómo definir el alcance correcto.
Managua: contexto empresarial y superficie de ataque
Managua concentra la banca, las operadoras de telecomunicaciones, el comercio y los servicios del país, además de corredores industriales y zonas francas en su periferia. Las exportaciones de las zonas francas totalizaron US$3.581 millones en 2025, según Bloomberg Línea con datos oficiales, y al cierre de 2025 operaban 12 proveedores autorizados de servicios de pago de remesas, según el Banco Central. Esa densidad de dinero en movimiento convierte a la capital en el punto donde se concentra la mayor parte de la infraestructura tecnológica crítica del país.
- Banca y finanzas: banca en línea, apps móviles, APIs de pago y transferencias. El sector con la regulación tecnológica más exigente y el objetivo más rentable para el fraude electrónico.
- Comercio y comercio electrónico: tiendas en línea, pasarelas de pago y puntos de venta conectados. En nuestra experiencia, un panel de administración con credenciales débiles basta para instalar un skimmer que roba tarjetas durante meses.
- Telecomunicaciones: portales de autogestión y datos de millones de suscriptores.
- Zonas francas e industria: redes donde conviven sistemas de oficina con sistemas de producción, y accesos VPN de proveedores que nadie revisa.
- Agroexportación y logística: pagos internacionales autorizados por correo corporativo, objetivo directo del fraude por suplantación.
Qué amenaza enfrenta una empresa en Managua
Los patrones más frecuentes contra organizaciones de la capital son el phishing con páginas clonadas de banca en línea, el fraude contra pasarelas y apps de pago manipulando las APIs, el ransomware que entra por un acceso remoto mal protegido y se mueve hasta los respaldos, y el robo silencioso de bases de datos de clientes para venderlas o extorsionar. Un pentesting reproduce esas rutas —con autorización y alcance pactado— para mostrar qué tan lejos llega un atacante antes de que usted lo descubra.
Qué cubre un pentesting para una empresa en Managua
Un pentesting no es «pasar un escáner»: es intentar vulnerar sus sistemas con las técnicas de un atacante, documentando cada paso. El alcance suele combinar:
- aplicaciones web y móviles: banca en línea, tienda virtual o app de pagos. Se prueban inyección, control de acceso roto y manipulación de la lógica de negocio: los fallos que un escáner automático no entiende.
- APIs: los endpoints que conectan su app con pasarelas y proveedores de pago. En nuestra experiencia, aquí aparecen los hallazgos de mayor impacto financiero.
- Red interna y Active Directory: qué puede hacer un atacante que ya está dentro: un proveedor con VPN, un equipo comprometido por phishing.
- Red externa: servicios expuestos, paneles administrativos visibles desde internet, certificados vencidos.
- Phishing simulado: medir si su personal detecta un correo de suplantación antes de entregar credenciales.
- Segmento industrial (cuando aplica): separación entre la red de oficinas y la de planta en zonas francas, sin interrumpir la producción.
Análisis de vulnerabilidades vs. pentesting: cuál necesita primero
El análisis de vulnerabilidades identifica fallos conocidos de forma automatizada; el pentesting los explota de forma controlada para medir el daño real. Son complementarios, pero el orden importa. Sea honesto con este punto: si su empresa nunca ha hecho un inventario de activos, no aplica parches con regularidad o no tiene quién corrija lo que se encuentre, un pentesting todavía no es su mejor inversión. Empiece por un análisis de vulnerabilidades con plan de remediación y pase al pentesting cuando exista una base mínima que poner a prueba. Un proveedor serio se lo dirá antes de venderle.
Normativa aplicable en Nicaragua
Ninguna norma ordena literalmente «haga un pentest cada X meses»: exigen medidas de seguridad proporcionales a los datos que usted trata, y el pentesting es la forma más directa de demostrar que esas medidas funcionan.
- Ley N.º 787, Ley de Protección de Datos Personales (aprobada el 21 de marzo de 2012, publicada en La Gaceta N.º 61 del 29 de marzo de 2012): protege frente al tratamiento de datos en ficheros públicos y privados, incluidos los datos personales informáticos, los tratados por medios electrónicos. Texto de la ley.
- Decreto N.º 36-2012, Reglamento de la Ley 787 (aprobado el 17 de octubre de 2012, publicado en La Gaceta N.º 200 del 19 de octubre de 2012): exige medidas de seguridad técnicas con resultado medible: acceso a las bases de datos solo por usuarios identificados y autorizados, y adquisición, operación y mantenimiento de sistemas seguros. Texto del reglamento.
- La Norma de Riesgo Tecnológico de la SIBOIF (Resolución N.º CD-SIBOIF-500-1-SEP19-2007, del 19 de septiembre de 2007, publicada en La Gaceta N.º 208 del 30 de octubre de 2007): criterios mínimos de administración de riesgos de TI para instituciones supervisadas. Norma en el sitio de la SIBOIF.
La ley crea la DIPRODAP y reconoce los derechos ARCO de los titulares, según el análisis de la Red Iberoamericana de Protección de Datos. En la práctica: si trata datos de clientes o empleados, necesita evidencia técnica de que están protegidos.
Escenarios: cómo se ven estos ataques en la práctica
- El monto que sí se podía cambiar. La API de la app móvil de una entidad financiera aceptaba el monto como parámetro editable: una transferencia de prueba de 10 unidades se registraba por 10.000. Ningún escáner lo detectó; solo apareció manipulando la lógica de negocio como un defraudador.
- La tienda que regalaba tarjetas. Un comercio en línea tenía su panel de administración expuesto con la contraseña de fábrica, y un código instalado copiaba cada tarjeta procesada. El pentesting lo encontró en la primera semana; sin la prueba, habría operado hasta que los contracargos lo delataran.
- La VPN que nadie apagó. Una planta en zona franca mantenía accesos VPN permanentes para proveedores que ya no prestaban servicio. Con credenciales filtradas de uno de ellos se llegó a la red de oficinas con visibilidad sobre producción. La remediación tomó una tarde; el incidente que evitó, meses.
DragonJAR: pentesting para empresas en Managua
DragonJAR nació como comunidad en 2001 y opera como empresa desde 2012. Su equipo figura en el top 100 mundial de hackers en plataformas especializadas, y cada proyecto incluye re-test sin costo tras la remediación, reportes verificados manualmente sin falsos positivos, informes en español priorizados por riesgo de negocio y alcance definido en evaluación previa según su sector y normativa.
Preguntas frecuentes sobre el pentesting en Managua
¿El pentesting puede hacerse 100% remoto?
Sí para aplicaciones web, móviles, APIs y red externa. La presencia en sitio solo se justifica para red inalámbrica, ingeniería social presencial o segmentos industriales. DragonJAR atiende a Managua de forma remota y presencial según el alcance.
¿Cuánto dura y cada cuánto se repite?
Una app puntual toma de una a dos semanas; una entidad financiera con app, APIs y red interna, de tres a seis. Se repite ante cambios relevantes —nueva app, migración, incidente— y al menos una vez al año en banca y comercio con pagos en línea.
¿El informe sirve ante la SIBOIF o para la Ley 787?
Como evidencia técnica: documenta las medidas de seguridad aplicadas y su efectividad real, que es lo que exigen la Norma de Riesgo Tecnológico de la SIBOIF y el Decreto 36-2012. No sustituye una auditoría de cumplimiento formal, pero es el insumo técnico que esa auditoría va a pedir.
¿Qué pasa si encuentran una vulnerabilidad crítica?
Se le notifica de inmediato por el canal acordado, antes del informe final, para que pueda contenerla. En nuestra experiencia, las críticas suelen tener mitigaciones temporales aplicables en horas mientras se prepara la corrección definitiva.
Agende una llamada de descubrimiento sin costo
El primer paso no es contratar un pentesting a ciegas: es una llamada de descubrimiento sin costo donde revisamos su superficie de ataque, la normativa que le aplica y le recomendamos un alcance concreto, sin compromiso. Si concluimos que primero necesita un análisis de vulnerabilidades o hardening básico, se lo diremos así.
También puede escribirnos a través de nuestros servicios de seguridad informática.