Descubra lo que un atacante vería en su empresa en Panamá, antes de que lo explote.
El pentesting o test de penetración real para empresas de Panamá: simulamos ataques con las mismas técnicas que usaría un adversario, con hallazgos priorizados por riesgo real y retest de las correcciones.
Más de 4.000 millones de intentos de ataque digital recibió la empresa panameña en el último año, y sin embargo el 64% de esas empresas no tiene un plan formal de respuesta a incidentes. El dato viene del primer Estudio de Madurez de Ciberseguridad Empresarial de Panamá, presentado por Tigo Business con la colaboración de Cloudflare, Fortinet y Microsoft, y sitúa la madurez promedio del país en apenas un 46% (Panorama Económico).
Esa brecha entre exposición y preparación es la que decide si el Pentesting o test de penetración en Panamá será una inversión o un trámite. Si dirige un banco en la capital, opera logística en Panamá Pacífico o mueve comercio exterior desde Colón, este artículo no es para convencerle de que «necesita un pentest»: es para que sepa qué pedirle, cómo evaluar las propuestas que recibas y qué errores caros evitar antes de firmar.
En resumen: DragonJAR SAS, empresa colombiana de seguridad informática ofensiva con sede en Manizales (comunidad desde 2001, empresa desde 2012), realiza el pentesting o test de penetración real para empresas de Panamá, con informes ejecutivo y técnico en español, priorizados por riesgo de negocio, y retest de las correcciones.
Tabla de Contenido
Ciudad de Panamá: contexto económico y superficie digital
Ciudad de Panamá, capital del país, concentra el Centro Bancario Internacional (CBI), uno de los centros financieros más importantes de América Latina, junto con una economía fuertemente orientada a los servicios, el comercio y la logística. El Canal de Panamá y su clúster portuario, sumados a zonas francas y parques logísticos como Panamá Pacífico, hacen del país un nodo de interconexión comercial y financiera que opera las 24 horas.
Esa posición estratégica implica que bancos, aseguradoras, operadores logísticos y empresas de comercio exterior gestionan volúmenes constantes de transacciones electrónicas y datos sensibles de contrapartes internacionales. Cada sistema conectado, cada API de integración bancaria y cada plataforma de gestión portuaria amplía la superficie de exposición que una empresa panameña debe proteger. Cuando compras un pentest aquí, no está evaluando una oficina: está evaluando infraestructura que sostiene operaciones internacionales.
Qué pedirle al alcance: lo mínimo que debe cubrir un pentest en Panamá
En nuestra experiencia, la mayoría de las propuestas deficientes no fallan por precio: fallan por alcance incompleto. Antes de pedir cotizaciones, defina qué se evalúa. Como mínimo, el alcance debería cubrir:
- aplicaciones web y portales de clientes. Banca en línea, portales de autogestión y plataformas de comercio exterior. Aquí es donde se materializan el fraude y la exposición de datos de contrapartes.
- Aplicaciones móviles. Si opera con aplicaciones móviles de banca o pagos, exigen pruebas propias: el malware bancario migró hacia los móviles como vector principal de fraude financiero.
- APIs e integraciones con terceros. Pasarelas de pago, procesadores, corresponsales bancarios y proveedores logísticos. Los ataques a la cadena de suministro representan una de las amenazas más frecuentes contra el sector.
- Infraestructura expuesta a internet. No solo los servidores «importantes»: el ejercicio debe descubrir todo lo que está publicado y que su inventario no registra. En nuestra experiencia, siempre aparece algo que nadie recordaba.
- Ingeniería social y phishing dirigido. En una economía donde se mueven pagos internacionales, el phishing y el fraude por compromiso de correo empresarial (BEC) son la forma más rentable de interceptar transferencias.
Si es una entidad regulada por la Superintendencia de Bancos de Panamá, añade a la lista la validación de los controles que el regulador supervisa en gestión de riesgo tecnológico. Y si su operación depende de disponibilidad continua —puertos, logística, pagos—, exige que el alcance incluya pruebas sobre los sistemas cuya caída le dejaría fuera de operación: el ransomware vive exactamente de eso.
Cómo evaluar una propuesta antes de firmarla
La diferencia entre un pentest útil y uno decorativo está en el contrato, no en el precio. Exija por escrito:
- Alcance definido con sistemas y exclusiones. «Toda la infraestructura» no es un alcance: es una excusa para cobrar sin mirar lo crítico.
- Reglas de compromiso firmadas. Qué está permitido, qué no, ventanas horarias para las pruebas agresivas, canales de comunicación directa con su equipo durante el ejercicio y el procedimiento si se detecta una brecha real en curso.
- Metodología explicada antes de empezar. El proveedor debe poder describir cómo trabaja, no limitarse a «hacemos hacking ético».
- Informe con evidencia de explotación. Cada hallazgo crítico debe traer prueba de concepto: qué se logró, con qué acceso y qué impacto tendría. Un reporte que solo enumera alertas de un escáner no es un pentest.
- Re-tests incluidos. Las correcciones se verifican con nuevas pruebas, no con la suposición de que el parche funcionó.
- Acuerdo de confidencialidad. Todo el equipo involucrado firma NDA, y el manejo de la evidencia queda documentado.
Señales de alerta: cuándo desconfiar de un proveedor
Desconfíe si el proveedor: entrega únicamente el reporte de un escáner automatizado sin validación manual; no documenta pruebas de concepto; promete «cero vulnerabilidades» o alguna certificación de invulnerabilidad (ningún sistema serio se certifica así); cotiza por número de IPs sin preguntar qué hay detrás; no ofrece re-tests o los cobra como un proyecto nuevo; o evade explicar quién ejecuta las pruebas y con qué experiencia. Un pentest barato que no encuentra nada porque no buscó bien es el más caro de todos: le deja la falsa tranquilidad de haber «cumplido».
Panorama de amenazas en Panamá: lo que dicen los datos
Panamá no es un objetivo secundario. Kaspersky registró 6,3 millones de ataques de phishing en el país en el último año —unos 17 mil al día— y encontró que el 53% de los panameños ya ha sido víctima de fraudes que aprovechan impulsos de compra (Vida Digital). En ransomware, el país encabeza Centroamérica con 22 mil intentos de ataque en el mismo periodo (Vida Digital).
Las estafas y los ciberdelitos crecieron un 14% en Panamá durante los primeros ocho meses de 2026, según reportes de la Policía Nacional (Revista Factor de Éxito), y la propia banca está ajustando controles: la Superintendencia de Bancos emitió el Acuerdo 8-2026, que obligará a los bancos a mostrarle al cliente quién recibirá su transferencia antes de autorizarla, como medida directa contra estafas y errores (SNIP Noticias). En economías centradas en servicios financieros y comercio internacional, los riesgos más frecuentes siguen siendo el phishing dirigido y el fraude por compromiso de correo empresarial (BEC), que buscan interceptar transferencias y órdenes de pago, mientras el ransomware amenaza a operadores logísticos y portuarios, donde una interrupción de sistemas detiene operaciones críticas.
La regulación panameña que le obliga a tomarlo en serio
Contratar un pentest en Panamá no es solo prevención: es la forma de generar evidencia técnica frente a un marco regulatorio que ya existe y se está endureciendo.
La Ley 81 de 26 de marzo de 2019, sobre Protección de Datos Personales, vigente desde marzo de 2021, obliga a quien trate datos personales a adoptar medidas técnicas para protegerlos, bajo la supervisión de la ANTAI (Autoridad Nacional de Transparencia y Acceso a la Información), con multas de entre B/. 1.000 y B/. 10.000 (IPANDETEC). Si su empresa maneja bases de clientes, esa ley le aplica directamente.
En el plano penal, el Código Penal (Ley 14 de 2007), en su Título VIII sobre delitos contra la seguridad jurídica de los medios electrónicos, tipifica en sus artículos 289 a 292 el ingreso indebido a sistemas, el apoderamiento o alteración de datos y la obstaculización de sistemas informáticos, con penas agravadas cuando el objetivo son bancos, aseguradoras u oficinas públicas. Y en agosto de 2025 se promulgó la Ley 478, que actualizó el Código Penal contra la ciberdelincuencia, tipificando la sextorsión y el ciberacoso. El detalle de esta legislación está publicado por el centro nacional de ciberseguridad del país (Panamá Cibersegura).
Si es entidad bancaria, el Acuerdo 3-2012 de la Superintendencia de Bancos de Panamá (22 de mayo de 2012) establece los lineamientos para la gestión del riesgo de la tecnología de la información, incluyendo funciones de la unidad de seguridad de la información y la notificación de incidentes al regulador (SBP). Además, Panamá depositó en marzo de 2014 su adhesión al Convenio de Budapest sobre ciberdelincuencia, siendo el segundo país latinoamericano en hacerlo (Panamá Cibersegura): un ataque contra su operación puede investigarse con cooperación internacional, pero también significa que sus contrapartes extranjeras esperan de usted un estándar equivalente.
Evalúe la seguridad de su empresa en Ciudad de Panamá
Si su empresa opera en el sector financiero, logístico o comercial panameño, conocer el estado real de su seguridad es el primer paso para proteger sus operaciones. Un pentesting profesional le muestra exactamente qué vería un atacante antes de que lo haga, con hallazgos validados manualmente y hallazgos priorizados por impacto real en el negocio.
DragonJAR es una empresa de seguridad informática con comunidad activa desde 2001, constituida como empresa en 2012, y organizadora de la DragonJAR Security Conference anual. Cada ejercicio que ejecutamos incluye alcance definido por escrito, reglas de compromiso firmadas, informe con evidencia de explotación y re-tests ilimitados para verificar que cada vulnerabilidad quedó efectivamente cerrada.
Qué pasa cuando llena el formulario: recibe el contacto de un consultor que entiende el contexto panameño, una propuesta técnica con alcance, metodología y tiempos adaptados a su operación, y una conversación honesta sobre qué necesita y qué no. Sin compromiso y sin tecnicismos de relleno.
Conozca los servicios de seguridad informática de DragonJAR y solicite una evaluación adaptada a la realidad de su empresa en Panamá.
Preguntas frecuentes sobre el pentesting o test de penetración en Panamá
¿La Ley 81 de protección de datos me obliga a hacer un pentest?
La Ley 81 de 2019 no usa la palabra «pentest», pero exige adoptar las medidas técnicas necesarias para proteger los datos personales que trata, y la ANTAI puede sancionar incumplimientos con multas de hasta B/. 10.000. Un test de penetración es la evidencia técnica con la que demuestra que esas medidas funcionan frente a un ataque real, no solo en el papel.
Mi banco ya tiene auditorías de la SBP: ¿para qué un pentest adicional?
Las auditorías regulatorias verifican que sus controles existan y estén documentados. El pentest verifica que resistan un ataque real: encadena vulnerabilidades, prueba la lógica de negocio de sus aplicaciones y descubre superficie expuesta que la auditoría no toca. Son complementarios. Además, el Acuerdo 3-2012 de la SBP exige gestión del riesgo de TI, y el pentest es cómo valida técnicamente esa gestión.
¿El pentest puede tumbar mis sistemas o interrumpir operaciones?
No, si está bien diseñado. Las reglas de compromiso firmadas definen qué se prueba, en qué horarios y con qué canales de comunicación con su equipo. En entornos críticos —banca, logística portuaria— las pruebas más agresivas se programan en ventanas de bajo tráfico y con monitoreo permanente. Un proveedor serio jamás deja un sistema caído sin aviso.
¿Cuánto cuesta un pentest en Panamá y de qué depende el precio?
Depende del alcance: número y tipo de sistemas (web, móviles, APIs, infraestructura), la complejidad de la lógica de negocio y si incluye ingeniería social. Desconfíe de quien cotiza por IP sin preguntar qué hay detrás: un precio honesto sale de un alcance definido, no de una tabla. Lo que sí es predecible es el costo de no hacerlo: una interrupción en un operador logístico o un fraude por BEC se mide en días de operación detenida.
¿Qué hago si durante el pentest encuentran una brecha real o un incidente en curso?
Las reglas de compromiso incluyen el procedimiento: el hallazgo crítico se reporta de inmediato a su contacto designado para que contenga el riesgo, y luego se documenta en el informe. Por eso su plan de respuesta a incidentes debe existir antes del pentest, no después: recuerde que el 64% de las empresas panameñas no tiene uno.
¿El informe sirve para mostrarle a la junta directiva o a un auditor?
Sí, si está bien hecho. Exija que el informe tenga dos niveles: el técnico, con evidencia de explotación y recomendaciones de remediación aplicables por su equipo, y el ejecutivo, con los hallazgos priorizados por impacto al negocio. Un informe que solo su equipo técnico entiende no sirve para tomar decisiones.
Conclusión
El pentesting o test de penetración en Panamá no es un gasto de cumplimiento: es la forma más honesta de medir su exposición real en un país donde el dinero y la mercancía de la región pasan por sus sistemas. Con la Ley 81 fiscalizando el tratamiento de datos, la SBP endureciendo la gestión del riesgo tecnológico y los ataques creciendo en volumen y sofisticación, la pregunta ya no es si un atacante probará sus defensas, sino si lo sabrá antes que él. Defina bien el alcance, exija evidencia y re-tests, y elija un proveedor que le muestre qué vería un atacante: eso es exactamente lo que un pentest bien comprado le entrega.