Descubra lo que un atacante vería en su empresa en Armenia, antes de que lo explote.
Hacking ético real para empresas de Armenia: simulamos ataques con las mismas técnicas que usaría un adversario, con hallazgos priorizados por riesgo real y retest de las correcciones.
El 25 de junio de 2011, la UNESCO inscribió el Paisaje Cultural Cafetero —47 municipios de Caldas, Quindío, Risaralda y el norte del Valle del Cauca— en la Lista de Patrimonio Mundial (Ministerio de las Culturas). En Armenia, capital del Quindío, ese reconocimiento se tradujo en negocio: el Parque del Café, a doce kilómetros en Montenegro, recibe visitantes desde 1995; Panaca hace lo propio con la cultura agropecuaria en Quimbaya; la Universidad del Quindío tiene su sede principal en la ciudad; y hoteles, fincas, restaurantes y comercios venden todos los días por internet. Armenia es una ciudad donde casi todo el negocio pasa por una pantalla. Y eso —no el tamaño de la empresa— es lo que la pone en el radar de un atacante.
Si está evaluando contratar hacking ético en Armenia, esta página es una guía de compra: qué pedir en el alcance, qué preguntar antes de firmar y qué señales deberían hacerle desconfiar de una propuesta. Úsela con nosotros o con cualquier proveedor: un buen pentest se reconoce por el método, no por el logo.
En resumen: DragonJAR SAS, empresa colombiana de seguridad informática ofensiva con sede en Manizales (comunidad desde 2001, empresa desde 2012), realiza hacking ético real para empresas de Armenia, con informes ejecutivo y técnico en español, priorizados por riesgo de negocio, y retest de las correcciones.
Tabla de Contenido
Cómo elegir un proveedor de hacking ético en Armenia
La mayoría de empresas en Armenia que nos contactan lo hacen por primera vez. Esto es lo que debería exigirle a cualquier proveedor, seamos nosotros u otro:
- Alcance por escrito. Qué sistemas se prueban, qué queda explícitamente fuera, en qué ventana horaria y qué protocolo se sigue si algo se cae. Si la propuesta no dice qué no incluye, no es una propuesta seria.
- Quién ejecuta la prueba. El que vende no es el que prueba. Pida saber quién va a estar frente al teclado y qué experiencia tiene; un informe lo firma alguien, no un escáner.
- Evidencia por hallazgo. Cada vulnerabilidad debe venir con pasos reproducibles. Si el informe no le permite replicar el problema, no puede verificar la solución.
- Re-test incluido. Pregunte si verifican que sus correcciones funcionaron. Un proveedor que entrega el PDF y desaparece le deja la mitad del trabajo.
- Autorización y confidencialidad firmadas. Sin autorización escrita no hay pentest serio —y esa autorización también es su protección legal. Los datos que se toquen durante la prueba deben estar cubiertos por acuerdo de confidencialidad.
Señales de alerta: precio cerrado sin preguntar qué sistemas tiene; un «escaneo de vulnerabilidades» vendido como pentest; promesas de «acceso garantizado»; ausencia de reglas de compromiso; informes sin priorización por riesgo de negocio. Si ve dos o más de estas, sigue buscando.
Armenia: café, turismo y comercio en el Eje Cafetero
Armenia, capital del Quindío y corazón del Eje Cafetero, combina la tradición cafetera con una economía diversificada en turismo, comercio, servicios y educación superior. El Paisaje Cultural Cafetero fue inscrito por la UNESCO en la Lista de Patrimonio Mundial el 25 de junio de 2011 (Ministerio de las Culturas), y ese reconocimiento sostiene buena parte de la economía local.
Fincas cafeteras que hoy venden en línea, hoteles y operadores turísticos con reservas digitales, comercios locales con pagos electrónicos y universidades con plataformas académicas: el tejido empresarial quindiano opera cada vez más sobre infraestructura digital. El Parque del Café —inaugurado el 24 de febrero de 1995 en Montenegro, a doce kilómetros de Armenia (Wikipedia)— y Panaca en Quimbaya (Wikipedia) venden entradas, reservas y experiencias por internet, igual que muchos negocios más pequeños que dependen de esos mismos canales. Ese perfil —empresas turísticas y comerciales con alta exposición digital pero equipos de tecnología pequeños— define una superficie de ataque donde los sistemas nuevos conviven con procesos informales.
Riesgos de ciberseguridad para las empresas en Armenia
De forma cualitativa, los riesgos que concentran las empresas armenias:
- Compromiso de sitios de reservas y tiendas en línea. El atacante no necesita robarle: le basta modificar datos de pago o redirigir reservas para cobrar él.
- Phishing dirigido al personal administrativo y comercial. Correos que suplantan bancos, proveedores o plataformas de reserva.
- Ransomware contra pymes sin respaldos formales. En Colombia ya pasó a escala nacional: en noviembre de 2022, el grupo Keralty (EPS Sanitas, Colsanitas) sufrió un ataque de ransomware que tumbó sus plataformas digitales y expuso datos de usuarios (Colnodo). Si le pasó a un grupo de ese tamaño, imagina a una pyme sin copias probadas.
- Filtración de datos de clientes y huéspedes. Nombres, documentos, tarjetas: todo lo que pide un formulario de reserva, y todo lo que protege la ley.
- Redes WiFi de establecimientos sin endurecer. La red que usan los huéspedes no debería ser la misma desde la que se opera el negocio.
El contexto no ayuda: Colombia registró 7.100 millones de intentos de ciberataque en el primer semestre de 2025 —unos 39 millones al día— según FortiGuard Labs (ACIS), y las pymes están entre los blancos preferidos por sus menores niveles de protección y su alta dependencia operativa de los sistemas.
Qué le exige la ley (y qué no)
Seamos claros: no existe una norma de Armenia ni del Quindío que obligue a hacer pentesting. Pero sí hay dos leyes nacionales que le alcanzan haga lo que haga:
- Ley 1581 de 2012, de Protección de Datos Personales (texto de la ley). Si maneja datos de huéspedes, clientes o empleados —y si vende por internet, los maneja—, debe conservarlos bajo condiciones de seguridad que eviten su adulteración, pérdida o acceso no autorizado. La Superintendencia de Industria y Comercio sanciona su incumplimiento: ha impuesto multas por no acreditar medidas de seguridad (SIC) y sanciones de cientos de millones de pesos a empresas que trataron datos sin autorización (caso Movistar, 670 millones).
- Ley 1273 de 2009, de delitos informáticos (texto de la ley). Tipifica el acceso abusivo a sistemas, la interceptación de datos, el daño informático y —relevante para el phishing— la suplantación de sitios web para capturar datos personales (artículo 269G). Cuando le atacan, el delito ya existe; la pregunta es si podrá demostrar que hizo su parte.
Un pentest no es un requisito legal, pero es la evidencia más directa de que tomó medidas de seguridad sobre sus sistemas. En una investigación de la SIC, esa evidencia pesa.
Cuándo un pentesting no es lo que necesita
Honestidad de practitioner: hay casos donde venderle un pentest sería un error. Si no tiene inventario de sus activos digitales, si no existen copias de seguridad probadas, si busca un «certificado» para un trámite —un pentest no es una certificación—, o si el sistema aún no está en producción, primero hay que ordenar eso. Un informe que documenta el desorden no le hace más seguro; le hace más consciente del desorden. Prefiero decírselo aquí que cobrárselo después.
Autodiagnóstico: cinco preguntas antes de firmar con quien sea
- ¿Sabe exactamente qué sistemas tiene su empresa expuestos a internet?
- ¿Cuándo fue la última vez que se probó la seguridad de su sitio de reservas o tienda en línea?
- Si hoy se filtra la base de datos de sus clientes, ¿a quién le avisa primero y qué le dice?
- ¿Tiene copias de seguridad probadas —probadas de verdad, restaurando— de lo que le mantiene operando?
- ¿Su proveedor actual le entrega alcance por escrito, evidencia reproducible y re-test?
Preguntas frecuentes sobre el hacking ético en Armenia
¿Qué debe incluir una propuesta seria de pentesting?
Alcance detallado (qué se prueba y qué no), metodología, perfiles de quien ejecuta, entregables con fechas, reglas de compromiso, acuerdo de confidencialidad y re-test para verificar correcciones. Si la propuesta cabe en media página, no es seria.
¿Cuánto dura una prueba?
Depende del alcance: una aplicación web típica toma de una a tres semanas entre prueba, informe y re-test. Cualquier cronograma honesto empieza con una evaluación previa de sus sistemas.
¿Necesitan acceso a mis sistemas en producción?
Se acuerda caso por caso. Lo ideal es probar primero en ambientes de prueba; lo que deba probarse en producción se hace en ventanas definidas y con precauciones adicionales. Todo queda en las reglas de compromiso firmadas.
¿Qué pasa con mis datos durante la prueba?
Se trabaja con acceso mínimo necesario y bajo acuerdo de confidencialidad. No se extraen más datos de los estrictamente necesarios para demostrar cada hallazgo, y la evidencia se maneja con cadena de custodia.
¿Cada cuánto debería repetir el pentesting?
Como mínimo una vez al año, y después de cada cambio relevante: nuevo sitio de reservas, nueva pasarela de pagos, migración de sistemas o un incidente de seguridad.
¿DragonJAR atiende en Armenia de forma presencial?
Sí. DragonJAR —comunidad desde 2001, empresa desde 2012— ejecuta pruebas para empresas en Armenia y todo el Eje Cafetero, con cobertura remota y presencial. Conozca nuestros servicios de seguridad informática.
¿Cuánto cuesta y cuánto tarda un hacking ético en Armenia?
Depende del alcance: cuántas aplicaciones, APIs, direcciones IP o sedes entran, la profundidad de la prueba y las ventanas disponibles. El costo y el plazo se confirman en la propuesta que recibe tras solicitarla. Solicitar cotización.
Solicite su hacking ético en Armenia
Complete el formulario contándonos qué sistemas quiere evaluar. Le devolvemos una llamada de descubrimiento sin costo: le ayudamos a definir el alcance mínimo que sí le sirve, le decimos qué pedirle a cualquier proveedor —incluso si no somos nosotros— y, si detectamos que lo que necesita no es un pentest, se lo diremos antes de cotizarle. Sin compromiso.