Descubra lo que un atacante vería en su empresa en República Dominicana, antes de que lo explote.
El pentesting o test de penetración real para empresas de República Dominicana: simulamos ataques con las mismas técnicas que usaría un adversario, con hallazgos priorizados por riesgo real y retest de las correcciones.
En 2025, República Dominicana recibió 11.676.901 visitantes, un récord histórico según el Ministerio de Turismo. Ese mismo año, FortiGuard Labs registró 535,5 millones de intentos de ciberataque contra el país y 177 millones de escaneos activos buscando vulnerabilidades antes de atacar. Dos récords que avanzan en paralelo: cada reserva hotelera en línea, cada transferencia bancaria y cada contenedor que sale de una zona franca depende de sistemas que alguien ya está probando desde fuera. El Pentesting en República Dominicana —la prueba de penetración— existe para que sea usted quien pruebe esos sistemas primero, antes que el atacante.
Un pentesting no es un escáner automático ni un informe generado por software: es una evaluación autorizada en la que especialistas en seguridad simulan ataques reales contra sus sistemas para encontrar las vulnerabilidades explotables y demostrar su impacto antes de que un ciberdelincuente lo haga. En este artículo explicamos la superficie de ataque real del país por sector, qué debe cubrir un pentesting serio en República Dominicana, la normativa que aplica y los errores caros que vemos una y otra vez en la región.
En resumen: DragonJAR SAS, empresa colombiana de seguridad informática ofensiva con sede en Manizales (comunidad desde 2001, empresa desde 2012), realiza el pentesting o test de penetración real para empresas de República Dominicana, con informes ejecutivo y técnico en español, priorizados por riesgo de negocio, y retest de las correcciones.
Tabla de Contenido
La superficie de ataque de República Dominicana, por sector
Santo Domingo concentra la mayoría de las sedes corporativas del país: banca, telecomunicaciones, grandes grupos empresariales y buena parte del ecosistema de servicios. Pero la exposición real se reparte entre tres sectores que sostienen la economía dominicana.
Turismo: datos de 11,6 millones de visitantes en movimiento
Con 8,8 millones de llegadas por vía aérea y 2,8 millones de cruceristas en 2025, el turismo dominicano opera sobre plataformas de reserva, pasarelas de pago, sistemas de check-in digital y programas de fidelidad que procesan datos financieros y personales de visitantes de todo el mundo, en tiempo real. Los objetivos naturales de un atacante aquí son el fraude en reservas y pagos —desviar pagos, clonar tarjetas, comprometer datos de miles de huéspedes— y la suplantación de marcas hoteleras y aerolíneas para campañas de phishing. El daño reputacional de un incidente en este sector trasciende fronteras: la noticia la leen en los mercados emisores —Estados Unidos, Canadá, Argentina, Colombia— antes que en Santo Domingo.
Banca: confianza que depende de la seguridad de los canales
La banca dominicana ha acelerado su digitalización: banca en línea, aplicaciones móviles, pagos digitales y transferencias forman una superficie expuesta donde la confianza del cliente depende directamente de la seguridad de los sistemas. La ingeniería social y el phishing dirigido son amenazas relevantes para este sector: correos y mensajes que imitan a bancos, procesadores de pago o proveedores buscan inducir a clientes o empleados a entregar credenciales o autorizar transferencias indebidas. En nuestra experiencia, los ataques más costosos contra entidades financieras de la región no empiezan con una vulnerabilidad técnica exótica, sino con una credencial legítima obtenida por engaño.
Zonas francas: manufactura conectada con contratos internacionales
Las zonas francas reafirmaron en 2024 su peso en la economía nacional: exportaciones por US$ 8.607 millones —el 67 % del total exportado por el país— con 820 empresas operando en 87 parques industriales en 28 provincias, según Revista Mercado. Estas plantas operan con sistemas de gestión, automatización y logística conectados a redes corporativas y a clientes internacionales. El riesgo característico aquí es el ransomware contra operaciones que no pueden detenerse: cifrar los sistemas de producción, inventarios o coordinación logística detiene líneas de exportación y pone en riesgo contratos. En entornos con tecnología operacional (OT), el impacto va más allá de los datos: puede interrumpir servicios críticos.
A estos tres sectores se suma un vector transversal: la exposición de APIs y plataformas integradas. Hoteles, bancos y plantas industriales operan con múltiples integraciones entre sistemas internos, proveedores y clientes. Cada integración nueva que nadie evaluó es una posible puerta de entrada, y un atacante que compromete una sola conexión puede moverse lateralmente hacia los activos más valiosos de la empresa.
Qué debe cubrir un pentesting en República Dominicana
Un pentesting útil empieza por el alcance correcto. Para empresas dominicanas, el alcance mínimo serio incluye:
- aplicaciones web críticas: portales de reservas, banca en línea, plataformas de pago y cualquier sistema expuesto a internet. Es donde vive la mayoría de las vulnerabilidades explotables.
- APIs e integraciones: las conexiones con pasarelas de pago, proveedores y sistemas de terceros. En nuestra experiencia, es el punto que más se subestima en los alcances.
- Aplicaciones móviles: si sus clientes operan desde el teléfono, la app es parte del perímetro.
- Red interna y segmentación: qué puede hacer un atacante que ya logró entrar —por ejemplo, mediante una credencial phisheada— una vez dentro de su red.
- Ingeniería social controlada: campañas de phishing simulado contra sus empleados, con reglas claras y sin exponer a nadie. Es la forma honesta de medir el eslabón humano.
- Entornos OT e industriales: para zonas francas y manufactura, evaluar la red de producción con metodologías que no interrumpan operaciones.
Y algo igual de importante: un buen alcance también dice qué no se va a probar y por qué. Un proveedor que acepta probar «todo» sin hacer preguntas no está siendo flexible: está improvisando.
Normativa aplicable: Ley 53-07 y regulación del sector financiero
El marco legal dominicano en materia de delitos tecnológicos es la Ley 53-07 sobre Crímenes y Delitos de Alta Tecnología, cuyo objeto es la protección integral de los sistemas que utilizan tecnologías de información y comunicación y su contenido. Es una ley penal —define y sanciona delitos—, no una norma que imponga expresamente la obligación de hacer pentesting a las empresas. Conviene decirlo con claridad: ningún artículo de la Ley 53-07 exige literalmente una prueba de penetración. Lo que sí hace es elevar el costo legal y reputacional de un incidente, porque los delitos que describe tienen consecuencias reales para quienes los cometen y para las empresas que no protegieron sus sistemas.
En el sector financiero, la regulación es más operativa. La Junta Monetaria aprobó el Reglamento de Seguridad Cibernética y de la Información, y la Superintendencia de Bancos exige a las entidades de intermediación financiera planes de contingencia, continuidad de negocios y protocolos de comunicación de incidentes: la Circular SB CSB-RG-202500015 establece que, cuando la interrupción del servicio sea consecuencia de un ataque cibernético, las entidades deben notificar al SPRICS (Centro de Respuesta a Incidentes de Ciberseguridad del Sistema de Pagos). Para un banco o una entidad financiera dominicana, un pentesting no es un requisito literal, pero es la evidencia más directa de que la gestión de la seguridad existe y funciona: es diligencia demostrable ante el supervisor y ante la junta directiva.
Escenarios que vemos en la práctica
Sin nombrar clientes, estos son patrones reales que se repiten en evaluaciones en el país y la región:
- El portal de reservas con la API expuesta: un hotel con alta ocupación descubre que su API de disponibilidad permitía enumerar reservas de otros huéspedes modificando un parámetro. El hallazgo se corrigió antes de que alguien lo explotara a escala; el costo de no haberlo buscado habría sido una filtración de datos de miles de visitantes.
- El proveedor de la zona franca: una planta manufacturera con certificación internacional tenía su red de oficina conectada a la red de producción sin segmentación real. Un atacante con acceso a un correo corporativo habría podido alcanzar sistemas industriales. El pentesting demostró el movimiento lateral posible y la segmentación se corrigió.
- La transferencia que casi sale: en una entidad de servicios financieros, una campaña de phishing simulado logró que un empleado entregara sus credenciales de correo. El ejercicio mostró exactamente qué podía hacer un atacante con ese acceso y justificó la inversión en autenticación multifactor para todo el personal.
Errores caros que vemos en la región
- Probar solo la página web institucional y dejar fuera la plataforma transaccional, que es donde está el dinero y los datos.
- Excluir las APIs del alcance porque «son internas», aunque estén expuestas a internet o a terceros.
- Contratar el pentest para cumplir un checklist y no corregir los hallazgos: un informe sin re-test es un diagnóstico sin tratamiento.
- No incluir a las personas: la infraestructura puede estar bien configurada y aun así caer por una credencial entregada en un engaño.
Preguntas frecuentes sobre pentesting en República Dominicana
¿Cuánto cuesta un pentesting en República Dominicana?
Depende del alcance: número de aplicaciones, APIs, direcciones IP, sedes y si incluye ingeniería social u OT. Una propuesta seria se cotiza por alcance y metodología, nunca con un precio único «para todo». Desconfíe de quien le da precio sin preguntarle qué sistemas tiene.
¿Un pentest es lo mismo que el escaneo de vulnerabilidades que ya nos hace nuestro proveedor de TI?
No. Un escáner identifica posibles debilidades de forma automatizada; un pentesting las explota de forma controlada para demostrar el impacto real y encadenarlas como lo haría un atacante. El escaneo es un insumo; el pentest es la prueba.
¿La Ley 53-07 o la Superintendencia de Bancos obligan a hacer pentesting?
La Ley 53-07 no exige literalmente un pentest: es el marco penal que sanciona los delitos de alta tecnología. En el sector financiero, la regulación de la Junta Monetaria y la Superintendencia de Bancos exige gestión de ciberseguridad, planes de continuidad y notificación de incidentes al SPRICS. Un pentesting es la forma más directa de demostrar que esa gestión existe.
¿El pentesting interrumpe las operaciones de mi empresa?
Se ejecuta por fases y en ventanas acordadas con usted. Las pruebas sobre producción se hacen con controles para no afectar la operación, y en entornos industriales (OT) se aplican metodologías específicas que no detienen líneas de producción.
¿Qué pasa si encuentran una vulnerabilidad crítica?
Se le notifica de inmediato, no al final del proyecto. El informe final incluye la severidad, la evidencia y la recomendación de corrección priorizada; y con el re-test se verifica que la corrección quedó bien aplicada.
¿Cada cuánto deberíamos repetirlo?
Como mínimo una vez al año, y siempre después de cambios relevantes: una aplicación nueva, una migración, una integración con un tercero o un incidente. La seguridad se degrada con cada cambio no evaluado.
Evalúe la seguridad de su empresa en República Dominicana con DragonJAR
DragonJAR trabaja en seguridad informática desde 2001 como comunidad y desde 2012 como empresa, y organiza cada año el DragonJAR Security Conference, un congreso internacional de seguridad informática. Nuestras pruebas de penetración se entregan con re-tests para verificar que las correcciones quedaron bien aplicadas, informes con hallazgos validados manualmente redactados para aportar valor al negocio —comprensibles para las áreas técnicas y para la dirección— y un equipo que trabaja con ética, transparencia y confidencialidad.
Si su empresa opera en turismo, banca, zonas francas, telecomunicaciones o servicios en República Dominicana, hágase estas tres preguntas: ¿sabe qué sistemas tiene expuestos a internet hoy? ¿Cuándo fue la última vez que alguien intentó atacarlos de forma controlada? ¿Qué pasaría mañana si un atacante encontrara primero lo que usted no ha buscado? Si alguna respuesta le incomoda, es momento de evaluarle.
Al completar el formulario, un especialista revisa su caso y le contacta para entender su infraestructura: recibe una propuesta de alcance con metodología, tiempos y entregables, sin compromiso. Sin llamadas de ventas agresivas ni letra pequeña.
El pentesting en República Dominicana no es un gasto para cumplir un requisito: es la forma de saber, con evidencia, cuál es el estado real de su seguridad antes de que un atacante se lo muestre a su manera.