Ethical Hacking en Bolivia

Por qué las empresas bolivianas son un objetivo atractivo

No se necesita ser una multinacional para estar en la mira. En nuestra experiencia, estos son los factores que ponen a las empresas que operan en Bolivia en el radar de los atacantes:

• Banca digital en expansión bajo supervisión formal: la ASFI aprobó en 2025 la reglamentación de las fintech (Resolución ASFI/540/2025) con un Entorno Controlado de Pruebas para innovaciones financieras (El Progreso de Pando). Más servicios financieros en línea significa más superficie atacable y más ojos regulatorios encima.
• Infraestructura crítica conectada: minería e hidrocarburos son sectores estratégicos del país, y el dato de Kaspersky —uno de cada cuatro equipos industriales bajo ataque— muestra que esa superficie ya está siendo probada por alguien.
• Un Estado en digitalización acelerada: la AGETIC centraliza el gobierno electrónico y la ciberseguridad del sector público, con un Centro de Gestión de Incidentes Informáticos (CGII) operativo. Cada trámite que se digitaliza es un sistema más que proteger.
• Pymes que digitalizan su operación: la facturación electrónica del SIN avanza por grupos de contribuyentes hasta cubrir a la mayoría de las empresas (La Razón). Digitalizar sin controles de seguridad es abrir puertas sin poner cerraduras.

La prueba de que el tamaño no protege llegó en mayo de 2024: el diario El Deber perdió el control de su gestor de contenidos y su web apareció con mensajes de odio e imágenes ofensivas, un incidente condenado por la Asociación de Periodistas de La Paz y la Asociación Nacional de Periodistas de Bolivia (Visión 360). Si un medio nacional puede perder su propia plataforma, cualquier empresa con sistemas expuestos a internet debería preguntarse qué encontraría un atacante en los suyos.

Contexto empresarial y económico de Bolivia: por qué la ciberseguridad es estratégica

La economía boliviana se apoya en sectores estratégicos como los hidrocarburos, la minería y la agroindustria —con fuerte presencia en Santa Cruz de la Sierra—, actividades que operan con infraestructura crítica y sistemas de gestión cada vez más conectados. A esto se suma un sector bancario en expansión y la presencia de empresas estatales, además de una amplia base de pymes que avanzan en la digitalización de sus operaciones y canales de venta, empujadas también por la obligatoriedad progresiva de la facturación electrónica del Servicio de Impuestos Nacionales.

El sector financiero merece un párrafo aparte: con más de 40 empresas de tecnología financiera operando en el eje Santa Cruz–Cochabamba–La Paz y una reglamentación ASFI que les exige autorización y controles de ciberseguridad, la banca digital boliviana crece con supervisión formal. Cada nuevo servicio financiero en línea nace con una expectativa de seguridad que alguien tiene que validar con pruebas reales.

Esta combinación de industria extractiva, banca, sector público y comercio digital genera una superficie de exposición diversa: desde plataformas de pago y banca electrónica hasta sistemas operativos industriales y datos sensibles de clientes y ciudadanos. En este escenario, el ethical hacking no es solo una medida técnica, sino una decisión estratégica para proteger la continuidad del negocio, el cumplimiento de obligaciones regulatorias y la confianza de los mercados con los que las organizaciones bolivianas operan.

Errores típicos que vemos en empresas de la región

Estos son los fallos que más se repiten cuando una empresa boliviana nos trae su caso, contrate con nosotros o no:

1. Comprar un escaneo y llamarlo pentest. Un análisis automatizado de vulnerabilidades es un inventario, no una prueba de intrusión. Si el «informe» es una lista de CVEs sin explotar y sin contexto de su negocio, pagó por un escaneo.
2. Probar la web y olvidar las APIs. En banca y fintech, el dinero se mueve por APIs móviles. Un pentest que no las incluye deja fuera justo el canal que más le interesa al atacante.
3. No probar el factor humano. Los informes del CGII de la AGETIC muestran que el phishing dirigido es la categoría dominante entre los incidentes gestionados en entidades públicas bolivianas (informe CGII). Si su prueba no incluye ingeniería social, está evaluando la mitad del problema.
4. Alcance vago, informe vago. «Probar la infraestructura» sin definir qué URLs, IPs, aplicaciones y rangos entran —y qué queda fuera— produce un informe que no sirve para decidir nada.
5. Saltarse el re-test. El valor del pentest está en verificar que la corrección funcionó. Sin re-test, el informe es una foto que envejece el día que se entrega.
6. Creer que sin ley de datos no hay riesgo. Bolivia todavía no cuenta con una ley integral de protección de datos personales (Fundación InternetBolivia). Eso no reduce su responsabilidad: la eleva, porque no existe un piso normativo mínimo al que acogerse y la reputación queda como el único colchón frente a una filtración.

Riesgos de ciberseguridad frecuentes en empresas de Bolivia

Las organizaciones que operan en Bolivia enfrentan un conjunto de riesgos que conviene tener claros. El phishing y el robo de credenciales son amenazas recurrentes, especialmente en entidades que gestionan transacciones, atienden público de forma masiva o administran datos sensibles de clientes: un correo falso a un cajero o a un ejecutivo puede ser la puerta de entrada a toda la red.

El fraude en pagos y los ataques dirigidos a plataformas de banca electrónica y comercio digital representan una preocupación particular para el sector financiero y para cualquier organización que procese cobros y pagos en línea. De igual forma, las pymes en proceso de digitalización, que muchas veces operan sin controles de seguridad consolidados, quedan expuestas al ransomware y a la suplantación en operaciones comerciales, con impacto directo en su continuidad: un cifrado de sus pocos sistemas administrativos puede detener la facturación por días.

Ninguna de estas amenazas es exclusiva de Bolivia, pero la combinación de sectores estratégicos, empresas estatales y digitalización acelerada las hace especialmente relevantes en el país.

Tipos de prueba que recomendamos en Bolivia

Según el sector, esto es lo que en nuestra experiencia debería cubrir una evaluación seria:

• Pentest externo de perímetro: todo lo expuesto a internet —sitios, VPN, correo, banca web, puertos y servicios—. La puerta más atacada y la más económica de revisar.
• aplicaciones web y móviles + APIs: banca electrónica, apps de clientes, APIs de transferencias y pagos. Aquí vive el dinero: se prueba la lógica de negocio, no solo el código.
• Red interna y Active Directory: asumiendo compromiso inicial —credencial filtrada, phishing exitoso, proveedor—, ¿qué tan lejos llega el atacante? Escalación de privilegios y movimiento lateral.
• Ingeniería social dirigida: campañas controladas de phishing a empleados. En el contexto boliviano, donde el phishing domina los incidentes reportados, omitir esta prueba es dejar el vector principal sin evaluar.
• Segmentación TI/OT para minería e hidrocarburos: verificar que la red de oficinas y la red de operaciones estén realmente separadas. Con uno de cada cuatro equipos industriales bajo ataque en el país, esta prueba no es opcional para el sector.
• Re-test posterior: verificación de que cada vulnerabilidad quedó cerrada según las recomendaciones del informe.

Qué normativa le toca según su sector en Bolivia

Seamos directos: Bolivia no tiene una ley que obligue a todas las empresas a hacer Pentesting. Quien le venda con ese argumento está inventando una obligación. Lo que sí existe son piezas regulatorias que, según su sector, lo vuelven difícil de eludir:

• Decreto Supremo 2514 (2015): creó la AGETIC y su Centro de Gestión de Incidentes Informáticos (CGII). Las entidades del sector público deben reportar incidentes informáticos al CGII en un plazo máximo de 24 horas y contar con un Plan Institucional de Seguridad de la Información (csirt.gob.bo). Si usted contrata con el Estado boliviano, esa es su línea base.
• Normativa ASFI para entidades financieras: las entidades de intermediación financiera deben efectuar al menos una prueba anual de su Plan de Contingencias Tecnológicas, con participación del auditor interno y resultados disponibles para inspección de la ASFI (infoleyes.com). Un pentest es la forma más directa de demostrar que ese plan se sostiene.
• Regulación fintech (2025): las Empresas de Tecnología Financiera requieren autorización de la ASFI y deben cumplir normas de seguridad que garanticen confidencialidad, integridad y autenticación. Si usted opera o lanza un servicio financiero digital, la expectativa regulatoria ya está escrita.
• Estándares internacionales y contratos: si procesa tarjetas (PCI DSS), reporta a una matriz extranjera o provee a empresas grandes, el pentest periódico suele ser requisito contractual o de cumplimiento, aunque la ley local no lo exija.

Cómo trabaja DragonJAR

DragonJAR nació como comunidad de seguridad informática en 2001 y opera como empresa desde 2012. No somos una comercializadora que subcontrata pruebas: somos practitioners que llevan más de dos décadas en seguridad ofensiva y que organizan la DragonJAR Security Conference.

Nuestro proceso, contrate en La Paz, Santa Cruz, Cochabamba o cualquier otra ciudad, es siempre el mismo:

1. Alcance escrito antes de firmar: qué se prueba, qué no se toca, ventanas de tiempo, reglas de compromiso y canales de comunicación. Si un proveedor cotiza sin preguntar por su infraestructura, está vendiendo una plantilla.
2. Ejecución con lógica de atacante: explotación manual, no solo herramientas automatizadas. Cada hallazgo se valida para eliminar falsos positivos.
3. Informe en español para dos públicos: resumen ejecutivo con riesgo para el negocio y prioridades (lenguaje de gerencia) más detalle técnico con evidencia reproducible por hallazgo: qué se hizo, cómo se reproduce, qué impacto tiene y cómo se corrige.
4. Re-test incluido: verificamos que cada vulnerabilidad quedó cerrada según nuestras recomendaciones.
5. Confidencialidad desde el día uno: acuerdo de confidencialidad firmado antes de cualquier prueba, manejo controlado de evidencias y destrucción de los datos del proyecto al cierre.

Al llenar el formulario usted recibe, sin compromiso: una primera conversación para entender su caso (qué opera, qué le preocupa, qué regulación o contrato le exige evidencia), y una propuesta de alcance cerrada con precio y tiempos fijos, en lenguaje claro. Si la propuesta no le convence, se queda con el diagnóstico inicial y no pasa nada.

Proteja su empresa en Bolivia con DragonJAR

Si su organización opera en Bolivia —sea una empresa del sector hidrocarburos o minero, una entidad financiera o fintech, una empresa estatal o una pyme en digitalización— el momento de evaluar su postura de seguridad es ahora. DragonJAR realiza pruebas de ethical hacking que simulan ataques reales sobre sus sistemas, identifican las vulnerabilidades críticas y entregan informes accionables enfocados en el valor para su negocio, con re-test para verificar que cada brecha quede cerrada según las recomendaciones.

Conozca el portafolio completo de servicios de seguridad informática de DragonJAR y solicite una propuesta adaptada a la realidad operativa de su empresa en Bolivia. Proteger sus activos digitales hoy es la mejor forma de sostener el crecimiento de su negocio mañana. Y si prefiere hablar primero con una persona, contáctenos aquí: le respondemos sin compromiso.