Descubra lo que un atacante vería en su empresa en Medellín, antes de que lo explote.
Hacking ético real para empresas de Medellín: simulamos ataques con las mismas técnicas que usaría un adversario, con hallazgos priorizados por riesgo real y retest de las correcciones.
Medellín concentra algo que pocas ciudades del país tienen al mismo tiempo: las decisiones y el dinero. Aquí están las sedes de grupos financieros y empresariales como Bancolombia y SURA, un distrito de innovación como Ruta N, la empresa de servicios públicos EPM, una industria manufacturera y textilera con décadas de historia, y un ecosistema de startups que no para de crecer.
Eso convierte a la ciudad en un objetivo lógico. Cuando un atacante pone en la mira a una empresa paisa, rara vez busca tumbarle la página web: busca la banca electrónica corporativa, las cuentas de correo donde se autorizan pagos a proveedores y las bases de datos de clientes. En nuestra experiencia auditando empresas en Antioquia, el patrón se repite con una regularidad incómoda: la intrusión casi nunca entra por la puerta que la gerencia cree más protegida.
En resumen: DragonJAR SAS, empresa colombiana de seguridad informática ofensiva con sede en Manizales (comunidad desde 2001, empresa desde 2012), realiza hacking ético real para empresas de Medellín, con informes ejecutivo y técnico en español, priorizados por riesgo de negocio, y retest de las correcciones.
Tabla de Contenido
La amenaza que enfrentan las empresas de Medellín
El cibercrimen contra empresas paisas no es teórico ni lejano: es el correo que suplanta a tu proveedor para desviar un pago, el mensaje de phishing armado con datos reales de una operación en curso, la cuenta corporativa comprometida porque alguien reutilizó su clave personal. Los patrones que más vemos en la región son la suplantación de identidad en operaciones financieras y pagos a proveedores, el phishing dirigido al personal administrativo y comercial con ingeniería social construida sobre operaciones reales, el compromiso de cuentas de correo corporativo por credenciales débiles o reutilizadas, el fraude en banca electrónica operada desde equipos comprometidos, y el ransomware contra empresas de servicios, salud e industria cuyos respaldos resultaron insuficientes o, peor, nunca se habían probado.
Las organizaciones que combinan operación financiera, comercio electrónico y gestión digital masiva concentran su riesgo en tres vectores: las aplicaciones web, el correo corporativo y los equipos de los usuarios. Son vectores que exigen validación periódica, no esporádica.
Tu superficie de ataque, sector por sector
Medellín no tiene «una» superficie de ataque: tiene varias, según el sector. Un hacking ético serio empieza por mapear la tuya.
Banca y servicios financieros
Aplicaciones transaccionales, banca en línea corporativa, portales de clientes y las integraciones entre ellos. Aquí un fallo no es un incidente de imagen: es dinero moviéndose a cuentas que no controlas. Las pruebas se enfocan en lógica de negocio, control de sesiones y segregación de roles, además de la infraestructura que las sostiene.
Salud
Clínicas, laboratorios y prestadores manejan historias clínicas: datos sensibles bajo la Ley 1581 de 2012, con las sanciones más severas del régimen colombiano de protección de datos. Portales de pacientes, sistemas de citas y el correo donde circulan resultados son los objetivos habituales.
Manufactura y textil
La industria antioqueña corre sobre sistemas de gestión, correo para órdenes de compra y pagos, y accesos remotos a plantas. Hemos visto entornos donde un acceso remoto olvidado, expuesto a internet con credenciales débiles, era la puerta de entrada a toda la red administrativa.
Tecnología y startups
Desarrollo rápido, despliegues frecuentes y secretos regados: claves en repositorios, buckets abiertos, paneles administrativos sin segundo factor. La velocidad del negocio no puede ir por delante de los controles básicos.
Comercio y servicios
Tiendas en línea, pasarelas de pago y programas de fidelización con datos de miles de clientes. Cada integración con un tercero es una superficie que alguien más administra por ti.
Qué cubre un hacking ético en Medellín
Un hacking ético no es «un escaneo con un reporte bonito». Es una simulación controlada y autorizada de lo que haría un atacante real contra tu operación, con reglas de juego acordadas por escrito antes de empezar. En la práctica cubre:
- Pentest de aplicaciones web y APIs: tus portales, tu comercio electrónico, tus integraciones. Se buscan fallos de lógica de negocio, controles de acceso rotos e inyecciones, no solo vulnerabilidades de catálogo.
- Pentest de infraestructura externa: todo lo que expones a internet — correo, VPN, servicios publicados — visto con ojos de atacante.
- Pentest de infraestructura interna: qué podría hacer alguien que ya está dentro de tu red: un equipo comprometido, un proveedor con acceso, un exempleado.
- Ingeniería social y phishing simulado: el vector inicial más común que vemos en Antioquia. Mide cómo responde tu gente ante un engaño bien armado, con datos reales de tu operación.
- Revisión de configuraciones: correo corporativo, nube, privilegios y accesos. La mayoría de las intrusiones que investigamos no rompieron nada: entraron con credenciales válidas por una configuración descuidada.
El alcance se define contigo: qué se prueba, qué no se toca y en qué horarios. Todo queda documentado y autorizado.
La normativa que aplica en Colombia
En Colombia no hay una ley que diga «toda empresa debe contratar un pentest». Lo que sí hay es un marco que hace del pentest la forma seria de cumplir:
- Ley 1273 de 2009: creó los delitos contra la protección de la información y de los datos. El punto que te interesa: el hacking ético es legal porque es autorizado, delimitado y documentado. Acceder a un sistema sin permiso, aunque sea «para probar», es delito. Un pentest contratado te pone del lado correcto de esa línea.
- Ley 1581 de 2012: la ley de protección de datos personales. Obliga a quienes tratan datos a implementar medidas de seguridad apropiadas, y la Superintendencia de Industria y Comercio sanciona cuando esas medidas brillan por su ausencia. Un pentest periódico es la evidencia más sólida de diligencia que puedes mostrar.
- Marcos internacionales como ISO 27001: exigen evaluaciones técnicas y pruebas de seguridad periódicas como parte del sistema de gestión. El informe de un pentest alimenta directamente esos requisitos y los de tus clientes corporativos cuando te piden demostrar tu postura de seguridad.
Patrones que se repiten en las auditorías
No vamos a contarte historias de clientes: la confidencialidad es parte del trabajo. Pero sí podemos describirte los patrones que más se repiten cuando auditamos empresas de este perfil, porque es probable que alguno te suene familiar:
- La financiera mediana: el ataque no empezó en el firewall sino en el correo de un directivo que usaba la misma clave desde hacía tres años. Con esa cuenta, el atacante leyó semanas de operación antes de intentar mover dinero por banca electrónica.
- La clínica: en el portal de pacientes, cambiando un número en la dirección web se podían ver historias clínicas de otros pacientes. Un fallo clásico de control de accesos, detectable en una tarde de pruebas.
- La manufacturera: el ransomware no entró por «un virus» sino por un acceso remoto a un servidor, expuesto a internet con credenciales débiles. Los respaldos existían; lo que no existía era la prueba de que funcionaban. Nadie los había restaurado en más de un año.
Ninguno de estos patrones requiere un atacante sofisticado. Todos se detectan con un pentest bien enfocado, antes de que el atacante los encuentre por ti.
Cómo trabaja DragonJAR
DragonJAR nació en 2001 como comunidad de seguridad informática y opera como empresa desde 2012. El proceso de una prueba es el mismo que aplicamos en cada engagement:
- Llamada de descubrimiento: entendemos tu operación, tu infraestructura y tus preocupaciones. Sin tecnicismos innecesarios.
- Propuesta de alcance por escrito: qué se prueba, qué no se toca, horarios y reglas de juego. Lo firmas tú; sin sorpresas después.
- Ejecución controlada: pruebas manuales y automatizadas, con un canal directo para avisarte de inmediato si aparece algo crítico. No esperas al informe final para enterarte de lo grave.
- Informe en español: hallazgos priorizados por riesgo real para tu negocio, con evidencia y pasos concretos de remediación. Sin falsos positivos que te hagan perder tiempo.
- Re-test: cuando tu equipo corrige, volvemos a probar para verificar que la corrección funcionó. La prueba no termina en el reporte: termina cuando el riesgo baja.
Todo el proceso corre bajo acuerdos de confidencialidad estrictos.
Preguntas que nos hacen los decisores en Medellín
¿El pentest va a interrumpir nuestra operación?
No. Las pruebas se ejecutan en ventanas acordadas contigo y con reglas que protegen la disponibilidad. Si un sistema es crítico y frágil, se prueba de forma no intrusiva o en un ambiente equivalente. Tú defines los límites; nosotros los respetamos.
¿Cuánto dura una prueba típica?
Depende del alcance: una aplicación web puntual puede tomar días; una infraestructura completa con ingeniería social, semanas. En el diagnóstico de alcance te decimos un estimado realista antes de que decidas.
¿Qué necesitamos tener listo antes de empezar?
Nada especial. Una persona técnica de contacto, los accesos acordados y la autorización firmada. No necesitas comprar herramientas ni preparar infraestructura.
¿El informe sirve para auditorías o para ISO 27001?
Sí. El informe documenta metodología, evidencia de cada hallazgo, nivel de riesgo y plan de remediación: exactamente lo que un auditor quiere ver como prueba de evaluación técnica periódica.
¿Verifican que corregimos lo encontrado?
Sí, con el re-test: repetimos las pruebas sobre los hallazgos corregidos para confirmar que la remediación fue efectiva y no rompió nada más.
¿Tienen que venir a Medellín o puede ser remoto?
Las dos cosas. Gran parte del trabajo se hace de forma remota y segura; cuando el alcance lo requiere — red interna, redes inalámbricas, ingeniería social presencial — vamos a tus instalaciones en Medellín y su área metropolitana.
Solicita tu prueba de hacking ético en Medellín
Antes de escribirnos, tres preguntas de autodiagnóstico: ¿cuándo fue tu última prueba de seguridad — no un escaneo automático, una prueba real con un humano del otro lado? ¿Quién en tu empresa puede autorizar un pago con solo un correo? ¿Tus respaldos se probaron este año o simplemente existen?
Si alguna respuesta te incomodó, hablemos. Al llenar el formulario recibes un diagnóstico de alcance sin compromiso: qué conviene probar en tu caso, cuánto tomaría y qué recibirías al final. Sin letra pequeña. Conoce también nuestros servicios de seguridad informática y agenda una llamada de descubrimiento para definir el alcance recomendado para tu infraestructura en Medellín y Antioquia.
Medellín no necesita más herramientas de seguridad: necesita saber exactamente dónde está expuesta. Un hacking ético bien hecho responde esa pregunta en semanas, con evidencia y con un plan para cerrar cada brecha. Esa es la diferencia entre creer que estás protegido y saberlo.