Descubra lo que un atacante vería en su empresa en León, antes de que lo explote.
Ethical Hacking real para empresas de León: simulamos ataques con las mismas técnicas que usaría un adversario, con hallazgos priorizados por riesgo real y retest de las correcciones.
León produce el calzado que calza a México: Guanajuato concentra el 74,3 % del valor nacional del subsector cuero-calzado, con más de 108.000 empleos vinculados, y León es el principal productor de calzado del país (Gobierno de Guanajuato). La cámara del sector, la CICEG, agrupa 3.394 empresas en León y municipios vecinos, con un impacto del 17,69 % en el PIB municipal (Digital Plural). A eso se suma el corredor automotriz del Bajío —GM en Silao, Mazda en Salamanca, Honda en Celaya, Toyota en Apaseo el Grande— con récord de 913.000 vehículos ligeros producidos en Guanajuato en 2024. Miles de pymes manufactureras, exportadoras y proveedoras moviendo pedidos, pagos y diseños por sistemas que nadie ha probado nunca: ese es el terreno del Ethical Hacking en León.
Esta página explica la amenaza tal como se ve desde León, la superficie de ataque por sector, qué cubre una prueba de ethical hacking, la normativa mexicana que aplica y las preguntas que un empresario debería hacer antes de contratar.
En resumen: DragonJAR SAS, empresa colombiana de seguridad informática ofensiva con sede en Manizales (comunidad desde 2001, empresa desde 2012), realiza ethical hacking real para empresas de León, con informes ejecutivo y técnico en español, priorizados por riesgo de negocio, y retest de las correcciones.
Tabla de Contenido
La amenaza en León: pymes industriales en el punto de mira
El cibercrimen que afecta a León no busca a las armadoras —tienen ejércitos de seguridad—: busca a su cadena de suministro. Una pyme de calzado que exporta a Estados Unidos, un proveedor de autopartes de segundo nivel, una curtiduría con pedidos por correo: todos manejan anticipos, órdenes de compra y datos bancarios, y casi ninguno tiene personal de seguridad. El fraude por suplantación de proveedor —un correo que parece del comprador cambiando la cuenta de destino— es el incidente más común y el más caro, y no requiere vulnerabilidades técnicas: requiere un buzón comprometido.
El contexto nacional confirma el riesgo: México sufrió el ataque de ransomware DoppelPaymer contra PEMEX en 2019 y el fraude masivo vía el sistema de pagos SPEI en 2018, y el Banco de México publica su registro oficial de incidentes del sistema financiero con casos recientes de ransomware como LockBit y Qilin (Banxico). Si la infraestructura nacional es objetivo, la pyme proveedora es la puerta lateral.
Superficie de ataque por sector en León y el Bajío
Calzado y curtiduría. 3.394 empresas, la mayoría pymes familiares: ERPs de inventarios, tiendas en línea, catálogos digitales y correo como sistema de pedidos. Diseños y listas de precios circulando sin cifrado; accesos de vendedores y distribuidores que nadie revoca.
Automotriz y manufactura. Proveedores de primero y segundo nivel con EDI, portales de cliente de las armadoras y planos técnicos. Las armadoras exigen cada vez más evidencia de seguridad a su cadena: el proveedor que no la tenga pierde cotizaciones.
Comercio y servicios. El corredor comercial de León —de la Zona Piel a los outlets— vive del punto de venta y del e-commerce: terminales, inventarios en la nube y datos de tarjetas. Un TPV comprometido filtra los datos de cada cliente que pagó ahí.
Logística. El Bajío es nudo logístico nacional: transportistas y operadores con sistemas de rastreo, documentación y facturación. Un ransomware aquí no solo cifra datos: detiene flotas.
Qué cubre un ethical hacking en León
Lo que un atacante vería: aplicaciones web (tienda en línea, portal de pedidos, área de distribuidores), infraestructura expuesta (correo, VPN, accesos remotos, escritorios publicados), red interna (qué alcanza alguien que ya está dentro: un empleado, un equipo infectado, un proveedor conectado) y revisión de correo y fraude (configuración antiphishing, doble factor, procedimientos de verificación de pagos). Todo con explotación real y reporte de impacto demostrado.
Para proveedores de la industria automotriz, además: revisión de los controles que las armadoras le van a pedir en sus cuestionarios de seguridad. Hacerlo antes de que se lo exijan le pone por delante en la próxima licitación.
La normativa mexicana que aplica (sin inventos)
La Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) —reexpedida con texto vigente publicado en el DOF el 20 de marzo de 2025 (texto vigente)— obliga a los particulares a adoptar medidas de seguridad administrativas, técnicas y físicas para proteger los datos personales. Si maneja datos de clientes, empleados o proveedores, le aplica.
Si opera en el sector financiero, la CNBV exige que la seguridad de la información forme parte del control interno y que las contingencias operativas se notifiquen en 60 minutos, con análisis de causas en 15 días hábiles —y sanciones por ocultarlas. Ninguna norma dice literalmente «contrata un ethical hacking», y desconfíe de quien afirme lo contrario; lo que sí hacen es convertir un incidente evitable en un problema legal y económico. Una prueba con informe y retest es la evidencia más sólida de diligencia.
Escenarios típicos que encontramos
El anticipo desviado: correo del «comprador estadounidense» con nueva cuenta para el anticipo del pedido. La pyme transfiere; el comprador real nunca cambió de cuenta. Sin doble factor en el correo ni procedimiento de verificación de cambios bancarios, el dinero se pierde. Es el caso que más vemos en empresas exportadoras.
La tienda en línea que filtra tarjetas: e-commerce de calzado con el checkout vulnerable; los datos de pago de cada cliente quedan expuestos durante meses sin que nadie lo note. El costo no es solo técnico: es la pasarela que le suspende y los clientes que no vuelven.
El proveedor que pierde la cotización: armadora que pide evidencia de seguridad en su cuestionario; el proveedor no tiene nada que mostrar más allá de «tenemos antivirus». Un informe de ethical hacking con retest es exactamente la evidencia que esos cuestionarios piden.
Preguntas frecuentes sobre el ethical hacking en León
¿Mi empresa es muy pequeña para esto?
No: el alcance se ajusta. Una prueba acotada a su tienda en línea, su correo y su perímetro cubre el grueso del riesgo real de una pyme y cuesta menos que un solo fraude por suplantación.
¿Qué diferencia hay con un análisis de vulnerabilidades?
El análisis automatizado lista posibles fallos; el ethical hacking los explota y le demuestra el impacto: «con esta cuenta llegué a sus pedidos», no «existe una vulnerabilidad teórica».
¿La prueba interrumpe mi producción?
No. Se definen reglas antes de empezar: qué se prueba, en qué horarios y con qué intensidad. Los hallazgos críticos se reportan de inmediato con recomendación de contención.
¿El informe me sirve para la LFPDPPP?
La ley exige medidas de seguridad sobre los datos personales. Un ethical hacking con informe y retest es la evidencia más sólida de que esas medidas existen y funcionan —no un documento, una prueba.
¿Cada cuánto repetirlo?
Al menos una vez al año y tras cada cambio relevante: nueva tienda, nuevo ERP, integración con un cliente grande. La seguridad de hace un año sobre sistemas que ya cambiaron es historia.
Lo que pasa cuando nos escribe
Cuéntenos en el formulario de contacto a qué se dedica su empresa en León o el Bajío y qué sistemas sostienen su operación. Le respondemos en menos de 24 horas hábiles con una llamada de descubrimiento sin costo donde definimos el alcance que realmente necesita. Sin compromiso.
DragonJAR es una empresa de seguridad informática ofensiva —comunidad desde 2001, empresa desde 2012—: pruebas reales con explotación y encadenamiento de hallazgos, informes que su dirección entiende, hallazgos validados manualmente y retest incluido. En una ciudad donde el negocio se cierra por correo y se cobra por transferencia, saber por dónde le pueden entrar no es un lujo: es parte del costo de exportar.