Descubra lo que un atacante vería en su empresa en Asunción, antes de que lo explote.
Ethical Hacking real para empresas de Asunción: simulamos ataques con las mismas técnicas que usaría un adversario, con hallazgos priorizados por riesgo real y retest de las correcciones.
En mayo de 2025, el Ministerio de Tecnologías de la Información y Comunicación del Paraguay (MITIC) confirmó que atacantes habían comprometido los sistemas informáticos de 18 instituciones públicas: Presidencia, varios ministerios, la Contraloría General y la Cámara de Diputados. El balance oficial: 13 sitios con su apariencia alterada (defacement), 2 extracciones de datos personales y 3 accesos no autorizados a servidores. El caso terminó en denuncia penal ante la Unidad Especializada en Delitos Informáticos, con el CERT-PY coordinando la contención.
Ese ataque ocurrió en Asunción, la ciudad donde están las sedes del Estado y del sistema financiero. Si los intrusos entraron ahí, la pregunta para una empresa asuncena no es si puede ser objetivo, sino cuánto tardaría en darse cuenta. El Ethical Hacking en Asunción —el hacking ético ejecutado por profesionales autorizados— responde esa pregunta antes que un atacante: simula intrusiones reales, documenta cada vía de entrada y entrega el plan para cerrarla.
En resumen: DragonJAR SAS, empresa colombiana de seguridad informática ofensiva con sede en Manizales (comunidad desde 2001, empresa desde 2012), realiza ethical hacking real para empresas de Asunción, con informes ejecutivo y técnico en español, priorizados por riesgo de negocio, y retest de las correcciones.
Tabla de Contenido
Por qué Asunción concentra el interés de los atacantes
Asunción es la capital financiera, comercial e institucional del Paraguay: allí está la sede del Banco Central del Paraguay (barrio Las Lomas), las casas matrices de bancos, financieras, aseguradoras y casas de bolsa, y la Bolsa de Valores y Productos de Asunción (BVPASA), el mercado de valores del país desde 1993. Desde la capital se coordinan importaciones, pagos internacionales y la logística de una economía anclada en la agroexportación.
Esa concentración tiene una consecuencia directa en el panorama digital: en Asunción circulan cada día banca en línea, transferencias internacionales, facturación electrónica y bases de datos de clientes de alto valor, y una parte importante de la fuerza laboral del país administra sistemas y accesos privilegiados desde la capital. Para un atacante, la ciudad es donde el botín es mayor —y donde una sola cuenta de correo comprometida puede convertirse en un fraude de alto impacto.
La superficie de ataque de la capital, sector por sector
Banca, financieras y seguros
El vector dominante es el phishing dirigido: correos que suplantan a ejecutivos, proveedores o entidades para desviar pagos internacionales o robar credenciales de banca electrónica. También vemos compromiso de cuentas de correo corporativo por credenciales débiles o reutilizadas, y fraude iniciado desde equipos infectados. No es casualidad que exista una ley específica para esto: la Ley 6534/2020 de Protección de Datos Personales Crediticios —fiscalizada por el propio Banco Central y la SEDECO— existe porque los datos crediticios de los paraguayos son un activo que ya se protege por ley.
Comercio exterior y agroexportación
Empresas que importan, exportan y distribuyen operan con facturas, órdenes de compra y pagos transfronterizos que llegan por correo: el escenario perfecto para la suplantación. En el ataque de mayo de 2025, entre las instituciones comprometidas estuvo la Administración Nacional de Navegación y Puertos (ANNP), que administra la infraestructura por donde sale buena parte del comercio exterior paraguayo. Si los atacantes miran los puertos del Estado, también miran a las empresas que los usan.
Sector público y sus proveedores
Los 18 organismos afectados en 2025 muestran que el Estado es objetivo permanente: datos de ciudadanos, expedientes, registros. Y cada proveedor tecnológico del Estado hereda ese riesgo: si su empresa le vende software o servicios a una institución pública, su seguridad es parte de su superficie de ataque.
Comercio, servicios y pymes
El ransomware no discrimina por tamaño: en empresas medianas de comercio y servicios puede detener la facturación, la logística y los despachos hasta que se restablezcan los sistemas. Las pymes, con equipos de TI reducidos, suelen ser las que menos visibilidad tienen sobre su exposición —y por eso un ejercicio de hacking ético les entrega, de una vez, el mapa priorizado de dónde invertir primero.
Qué cubre un ejercicio de hacking ético en Asunción
A diferencia del análisis de vulnerabilidades, que identifica debilidades de forma automatizada, el Pentesting simula un ataque real: un profesional intenta entrar, escalar privilegios y llegar a los datos críticos, exactamente como lo haría un intruso. Un alcance bien diseñado para una empresa asuncena suele incluir:
- aplicaciones web y banca en línea: portales de clientes, plataformas de pago, tiendas en línea.
- Infraestructura y perímetro: servidores expuestos, VPN, correo corporativo, red inalámbrica.
- Ingeniería social: phishing simulado al personal administrativo y financiero, que es donde empieza la mayoría de los incidentes reales.
- Accesos privilegiados y configuraciones: quién puede ver qué, y qué pasa si una cuenta se compromete.
El entregable no es una lista de hallazgos en crudo: es un informe en español, priorizado por riesgo real para el negocio, con pasos de remediación concretos y verificación posterior (re-test) de que cada vulnerabilidad quedó cerrada.
El error caro que más vemos: contratar el «pentest» más barato, que resulta ser un escaneo automatizado con el logo cambiado, o un alcance que excluye justo los sistemas críticos «para no interrumpir la operación». Un hacking ético serio se diseña alrededor de lo que más duele perder, no alrededor de lo más cómodo de probar.
La normativa paraguaya que ya aplica a su empresa
Paraguay no tiene una ley que diga «todas las empresas deben hacer pentesting cada año». Lo que sí tiene es un marco que exige proteger datos y sistemas, y que convierte un ejercicio de hacking ético en la evidencia más directa de diligencia:
- Ley N° 7593/2025 de Protección de Datos Personales: promulgada el 27 de noviembre de 2025, es la primera ley general de datos personales del país. Crea la Agencia Nacional de Protección de Datos Personales dentro del MITIC, da 24 meses de adecuación (vigencia plena en noviembre de 2027) y prevé multas de 20 a 2.500 jornales mínimos diarios, mayores para datos sensibles. Exige medidas de seguridad y protocolos ante incidentes: un pentest documentado es la prueba de que esas medidas existen y funcionan.
- Ley N° 6534/2020 de Protección de Datos Personales Crediticios: regula los datos crediticios de todas las personas en el país; la fiscalizan el Banco Central del Paraguay y la SEDECO. Si su empresa maneja información crediticia —bancos, financieras, comercios—, esta ley le aplica hoy.
- Ley N° 4439/2011: incorporó al Código Penal los delitos informáticos —acceso indebido a sistemas y datos, interceptación de datos, estafa mediante sistemas informáticos—, con penas de hasta 5 años de prisión. El hacking ético es legal porque se hace con autorización escrita y alcance firmado; sin ella, es delito.
- Convenio de Budapest: Paraguay se adhirió el 20 de diciembre de 2017 mediante la Ley 5994/17, alineando su legislación con el estándar internacional contra el cibercrimen.
En la práctica: si maneja datos de clientes, opera en finanzas o contrata con el Estado, ya tiene razones normativas para conocer su exposición. Y la Ley 7593 ya fue promulgada (27 de noviembre de 2025) y su vigencia plena llega en noviembre de 2027, así que conviene empezar a adecuarse desde ya.
Tres escenarios que se repiten en la capital
1. El correo del «gerente» que autoriza una transferencia
Un atacante estudia la web y las redes de una empresa de comercio exterior, suplanta al gerente financiero y pide a tesorería un pago «urgente» a un proveedor nuevo. Sin verificación por un segundo canal, el dinero sale. Este patrón —compromiso del correo corporativo más ingeniería social— es el inicio más común de los fraudes que investigamos en la región.
2. Credenciales robadas por un infostealer
El MITIC documentó accesos no autorizados a portales del Ministerio de Obras Públicas, DINAVISA, la Auditoría del Poder Ejecutivo y el Ministerio del Ambiente, logrados con credenciales filtradas de usuarios robadas por malware del tipo infostealer. La recomendación oficial fue la de siempre y la que menos se cumple: contraseñas únicas y robustas, doble factor de autenticación y sistemas actualizados. Un ejercicio de hacking ético prueba exactamente eso: qué puede hacer un atacante con una credencial válida.
3. El sitio institucional alterado
Trece defacements en un solo incidente masivo. Un sitio web desfigurado no es solo daño reputacional: demuestra que el atacante ya tenía acceso de escritura al servidor, y lo que hizo con él después rara vez se queda en la página principal.
DragonJAR: hacking ético con trayectoria verificable
DragonJAR nació como comunidad de seguridad informática en 2001 y opera como empresa desde 2012. Ha sido reconocida como la más influyente en seguridad informática de habla hispana, su equipo está en el top 100 mundial de hackers éticos en plataformas especializadas y organiza cada año el DragonJAR Security Conference, congreso internacional de seguridad informática. Ha auditado empresas de los sectores financiero, hidrocarburos, automovilístico, médico, gubernamental, telecomunicaciones y entretenimiento.
Lo que recibe el cliente: informes en español con hallazgos validados manualmente, hallazgos priorizados por impacto al negocio, recomendaciones de remediación accionables y re-test ilimitado para verificar el cierre. Todo bajo acuerdos de confidencialidad, con un equipo que trabaja con ética, transparencia y responsabilidad.
Preguntas frecuentes sobre el ethical hacking en Asunción
¿Es legal el hacking ético en Paraguay?
Sí, cuando se ejecuta con autorización escrita de la empresa y un alcance firmado. La Ley 4439/2011 tipifica como delitos el acceso indebido a sistemas y datos y la interceptación de datos: la autorización es la línea que separa al profesional del delincuente. Todo ejercicio serio parte de un contrato que define objetivos, sistemas incluidos y reglas de juego.
¿Mi empresa debe adecuarse a la Ley 7593/2025?
Si trata datos personales —clientes, empleados, proveedores—, sí. La ley aplica a personas físicas y jurídicas, públicas y privadas, y su vigencia plena llega en noviembre de 2027. Las empresas que empiezan ahora llegan con evidencia de medidas de seguridad reales; las que esperan, llegan con prisa.
¿Cuánto dura un ejercicio típico?
Entre una y tres semanas de pruebas, según el alcance: una aplicación web pequeña está en el rango bajo; una infraestructura completa, en el alto. El informe se entrega con hallazgos priorizados y sesión de presentación en español.
¿El hacking ético interrumpe la operación?
No. Las pruebas se ejecutan de forma controlada, con ventanas acordadas y reglas que protegen la disponibilidad. Si un sistema es tan frágil que una prueba controlada lo tumba, eso también es un hallazgo —y mejor descubrirlo así que con un ransomware.
¿Por qué no basta con un escáner de vulnerabilidades?
El escáner lista posibles debilidades; el hacking ético demuestra cuáles son explotables, por qué vía y con qué impacto. Un reporte con 500 hallazgos «medios» no sirve para decidir; un informe con 12 vías de ataque validadas y priorizadas, sí.
¿Cómo contrato los servicios de DragonJAR?
DragonJAR, visita su sitio web y complete el formulario de contacto. Un especialista agenda una llamada de descubrimiento sin costo para definir el alcance recomendado según sus sistemas críticos.
¿Cuánto cuesta y cuánto tarda un ethical Hacking en Asunción?
Depende del alcance: cuántas aplicaciones, APIs, direcciones IP o sedes entran, la profundidad de la prueba y las ventanas disponibles. El costo y el plazo se confirman en la propuesta que recibe tras solicitarla. Solicitar cotización.
Conclusión
El ethical hacking en Asunción dejó de ser un lujo de grandes corporaciones: con 18 instituciones públicas comprometidas en un solo incidente, una ley de datos personales en período de adecuación y una capital que concentra el dinero y los datos del país, conocer su exposición real es una decisión de negocio. DragonJAR lo ejecuta con la trayectoria que se puede verificar —comunidad desde 2001, empresa desde 2012, top 100 mundial— y con informes que sirven para actuar, no para archivar.
Solicite su servicio de hacking ético en Asunción
Si su empresa opera en Asunción —finanzas, seguros, comercio exterior, gobierno, comercio o servicios—, un ejercicio de hacking ético adaptado a su operación muestra con precisión dónde está expuesto: aplicaciones web, infraestructura, datos sensibles y el factor humano. Recibe informes en español con hallazgos priorizados por riesgo, recomendaciones prácticas de remediación y verificación de cierre con re-test ilimitado.
Conozca nuestros servicios de seguridad informática y complete el formulario: en la llamada de descubrimiento definimos juntos el alcance mínimo que su empresa necesita, sin compromiso y sin tecnicismos innecesarios.