Descubra lo que un atacante vería en su empresa en Uruguay, antes de que lo explote.
El Pentesting o test de penetración real para empresas de Uruguay: simulamos ataques con las mismas técnicas que usaría un adversario, con hallazgos priorizados por riesgo real y retest de las correcciones.
En febrero de 2025, la propia agencia que coordina la transformación digital del Estado uruguayo terminó investigando un incidente de seguridad en sus sistemas.
La firma de ciberseguridad Birmingham alertó que un actor de amenazas vendía una base de datos supuestamente de Agesic con 574.600 registros, incluidos más de 400.000 correos electrónicos únicos.
Si el organismo que fija el estándar de gobierno digital del país puede verse expuesto así, la pregunta para cualquier empresa es directa: cuándo fue la última vez que alguien intentó romper sus sistemas con su permiso.
Eso es exactamente lo que hace un test de penetración en Uruguay: una prueba puntual, con alcance y reglas de juego definidas, donde un equipo de especialistas intenta explotar sus sistemas como lo haría un atacante real.
Antes de que el atacante lo haga sin pedir permiso. Este artículo explica qué cubre esa prueba en el contexto uruguayo, qué normativa la vuelve relevante y qué mirar antes de contratarla.
En resumen: DragonJAR SAS, empresa colombiana de seguridad informática ofensiva con sede en Manizales (comunidad desde 2001, empresa desde 2012), realiza el pentesting o test de penetración real para empresas de Uruguay, con informes ejecutivo y técnico en español, priorizados por riesgo de negocio, y retest de las correcciones.
Tabla de Contenido
Pentesting: una prueba puntual, no un diagnóstico eterno
El pentesting, también llamado test de penetración, es una evaluación acotada en el tiempo y en el alcance. Se define qué se va a probar, un portal web, una app móvil, la red interna, una API.
El equipo atacante intenta llegar hasta donde pueda: robar datos, escalar privilegios, moverse lateralmente. El entregable no es una lista de sospechas, es evidencia de qué se pudo explotar, con qué impacto y cómo corregirlo.
Conviene distinguirlo de dos cosas que se le parecen. El análisis de vulnerabilidades es un escaneo automatizado que lista debilidades posibles, pero no confirma si son explotables ni qué daño real causan.
Y el Ethical Hacking amplio es otra cosa: un programa continuo de seguridad ofensiva, con red team recurrente y monitoreo permanente. Esta página habla de la primera opción, la prueba puntual.
La que se contrata para responder una pregunta concreta en un momento concreto, por ejemplo antes de lanzar un producto, después de un cambio mayor en la infraestructura o cuando un cliente corporativo o un regulador pide evidencia.
La amenaza ya mide a Uruguay en millones
El Centro Nacional de Respuesta a Incidentes de Seguridad Informática, el CERTuy que depende de Agesic, detectó y respondió 17.015 incidentes de ciberseguridad solo en el primer semestre de 2025, un 256% más que en el mismo período de 2024.
El propio CERTuy lo atribuye a cuatro factores: el crecimiento global de los ataques, mejores capacidades de detección en los organismos, nuevos casos de uso y sistemas de monitoreo fortalecidos. No es solo que haya más ataques, es que ahora se ven más.
A esa cifra se suma la del Reporte Global de Amenazas 2025 de Fortinet, que registró 146 millones de intentos de ciberataques contra Uruguay en el primer semestre del año.
Y los incidentes ya no son abstractos: además del caso de Agesic, el Ministerio de Desarrollo Social comunicó en marzo de 2025 que investigaba junto al CERTuy un incidente con exposición de información.
Lo hizo siguiendo los protocolos de Agesic y la normativa de la Unidad Reguladora y de Control de Datos Personales. En un país de 3,4 millones de habitantes, la superficie digital es pequeña y los atacantes lo saben.
Montevideo concentra la superficie de ataque
Montevideo reúne el centro de negocios, financiero y tecnológico del país. Uruguay se consolidó como hub regional de servicios globales y software de exportación, con más de 500 empresas tecnológicas exportadoras según Uruguay XXI.
Son empresas apalancadas en zonas francas, talento calificado y conectividad de primera línea. A ese tejido se suman la banca y los servicios financieros.
También la agroexportación digitalizada: carne, soja y lácteos que se mueven con sistemas de trazabilidad y comercio exterior en línea, y un Estado que digitalizó trámites y servicios para millones de ciudadanos.
Esa combinación crea una superficie de ataque muy particular: empresas que desarrollan software para clientes internacionales con repositorios y pipelines en la nube, e instituciones financieras con canales digitales masivos.
A eso se agregan cadenas logísticas que se detienen si un ransomware cifra el sistema de despacho, y bases de datos estatales y privadas con datos personales de casi toda la población.
En nuestra experiencia, el punto de entrada más frecuente no es la tecnología exótica, es lo básico descuidado: un panel administrativo expuesto, una API sin control de autorización, credenciales filtradas en un repositorio.
Por sector: dónde duele un pentest en Uruguay
En el sector financiero, el foco está en los canales digitales. La Superintendencia de Servicios Financieros del Banco Central del Uruguay reforzó las exigencias de seguridad para los emisores de instrumentos electrónicos.
Extendió la autenticación de doble factor al acceso a los canales digitales y a la modificación de datos sensibles. Un pentest aquí valida que esos controles existen de verdad: sesiones, flujos de autenticación, APIs de banca en línea y apps móviles.
En software y servicios globales, el riesgo vive en el ciclo de desarrollo. Empresas montevideanas que entregan producto a clientes de Estados Unidos o Europa necesitan demostrar seguridad en cada release: pentest de aplicación web y API, revisión de configuraciones cloud y de los entornos de integración continua.
Un hallazgo típico que vemos en este sector es un endpoint de API que expone datos de otros clientes por falta de control de autorización, algo que ningún escáner automatizado confirma sin explotarlo.
En agroexportación y logística, el objetivo es la continuidad operativa. Los ataques de ransomware contra empresas de comercio exterior buscan parar la operación para cobrar el rescate, y el fraude por correo corporativo, el BEC, apunta a los equipos que autorizan pagos a proveedores internacionales.
Un pentest con componente de ingeniería social y de prueba de la red interna muestra si un correo malicioso puede convertirse en acceso real a los sistemas de gestión.
Qué cubre un pentesting hecho en serio
Una prueba profesional sigue un orden: reconocimiento externo para mapear qué ve un atacante desde internet, explotación controlada de las vulnerabilidades encontradas e intentos de escalamiento y movimiento lateral.
Cada hallazgo se clasifica por severidad, con evidencia y pasos de remediación concretos. Después de que el cliente corrige, se hace un re-test para verificar que la corrección funcionó.
En la práctica uruguaya, los escenarios se repiten con matices locales: una fintech montevideana que descubre que su flujo de recuperación de contraseña permite tomar cuentas ajenas, o una software house que encuentra credenciales por defecto en un servicio expuesto del portal de un cliente del exterior.
Una empresa de logística cuyo servidor de correo acepta reenvíos que facilitan el fraude. Ninguno de esos casos se resuelve con un escáner: se resuelven intentando explotarlos con permiso y documentando el camino.
La normativa uruguaya que le toca
La Ley 18.331 de Protección de Datos Personales y Acción de Habeas Data aplica a las bases de datos de los ámbitos público y privado, y su cumplimiento lo fiscaliza la Unidad Reguladora y de Control de Datos Personales.
Si su empresa trata datos de clientes, empleados o ciudadanos, la ley le exige protegerlos, y un pentest es la forma de demostrar con evidencia que las medidas de protección funcionan, no solo que existen en un documento.
Para el sector financiero, el marco regulatorio se endureció por dos vías. Por un lado, la ley de prevención y represión de la ciberdelincuencia le dio herramientas penales al país frente a estos delitos.
Por otro, la Superintendencia de Servicios Financieros del BCU elevó las exigencias de seguridad para emisores de instrumentos electrónicos, con autenticación reforzada obligatoria en el acceso a canales digitales y en operaciones sensibles.
Así lo informó la prensa especializada sobre la nueva normativa del BCU. Cumplir en papel sin probar en la práctica es la forma más cara de enterarse de una brecha.
Por qué DragonJAR para este pentest
DragonJAR nació como comunidad de seguridad informática en 2001 y opera como empresa desde 2012. Esa trayectoria se nota en el tipo de informe que entregamos.
Hallazgos validados, para que su equipo no pierda tiempo en alertas falsas a su equipo, con cada hallazgo verificado por explotación real y recomendaciones priorizadas por impacto en el negocio, no por puntaje genérico.
Además, los re-test son ilimitados: una vez que su equipo aplica las correcciones, volvemos a probar sin costo adicional hasta confirmar que la vulnerabilidad quedó cerrada.
Todo el trabajo se rige por acuerdos de confidencialidad estrictos, porque en una prueba de penetración vemos lo más sensible de su infraestructura.
Si está comparando proveedores, la pregunta que le sugerimos hacerles a todos, incluidos nosotros, es simple: muéstrenme un informe de ejemplo anonimizado y díganme cuántos de sus hallazgos fueron verificados por explotación real.
Preguntas que nos hacen los compradores en Uruguay
¿La Ley 18.331 me obliga a hacer un pentesting?
La ley no dice la palabra pentesting, pero sí exige proteger los datos personales que trata y la URCDP puede fiscalizarlo. Cuando hay un incidente con datos personales, la primera pregunta del regulador y de sus clientes es qué controles tenía y cómo los probabas. Un pentest periódico es la evidencia más sólida para responderla.
¿Cada cuánto conviene repetir la prueba?
En nuestra experiencia, una vez al año como mínimo, y siempre después de cambios relevantes: un rediseño del portal, una migración a la nube, el lanzamiento de una app o la integración con un sistema de pagos. Las empresas de software que entregan a clientes internacionales suelen hacerlo por release mayor o por exigencia contractual.
¿La prueba puede tumbar mis sistemas o interrumpir la operación?
Un pentest profesional está diseñado para no hacerlo. Se acuerdan reglas de juego, ventanas de prueba y límites de explotación antes de empezar, y las pruebas más agresivas se hacen en horarios de bajo tráfico o en ambientes de prueba. Si un proveedor no le propone reglas de juego por escrito, ese es un motivo para no contratarlo.
¿El informe sirve frente a un auditor, un banco o un cliente corporativo?
Sí, siempre que sea un informe técnico con evidencia y plan de remediación, no un PDF de escáner. Nuestros informes se usan para responder auditorías, cuestionarios de seguridad de clientes y procesos de debida diligencia, porque cada hallazgo viene con prueba de explotación y severidad justificada.
¿Qué pasa si encuentran algo crítico a mitad de la prueba?
Se le avisa de inmediato, no al final. Las vulnerabilidades críticas se reportan en el momento para que pueda contenerlas, y la prueba continúa con el resto del alcance. Esa alerta temprana es parte del servicio, no un extra.
¿Cuánto cuesta y cuánto tarda un el Pentesting o test de penetración en Uruguay?
Depende del alcance: cuántas aplicaciones, APIs, direcciones IP o sedes entran, la profundidad de la prueba y las ventanas disponibles. El costo y el plazo se confirman en la propuesta que recibe tras solicitarla. Solicitar cotización.
Evalúe la seguridad de su empresa en Montevideo
Si su empresa opera en Montevideo o presta servicios desde Uruguay, el momento de probar sus defensas es ahora, con sus reglas, no después de un incidente con las del atacante.
Al completar el formulario, un especialista en seguridad ofensiva le contacta para entender su infraestructura y definir el alcance de la prueba, sin compromiso y sin letra pequeña. Empiece con una conversación técnica honesta sobre dónde está parado.