Entre el 18 y el 25 de abril de 2024, cinco transferencias electrónicas vaciaron 1.930 millones de pesos de las cuentas del Banco Agrario de la Alcaldía de Cáchira, aquí mismo en Norte de Santander. Era dinero de un convenio con Invías para arreglar vías rurales. El atacante, según denunció el propio alcalde, modificó las alertas de seguridad del banco para que nadie notara los retiros a tiempo. Un año después, la Policía capturó a cuatro personas señaladas del hurto informático.
El hacking ético en Ocaña existe para responder esa pregunta antes de que la responda un delincuente: profesionales que atacan tus sistemas con tu autorización, encuentran por dónde entrarían y te dicen cómo cerrarlo. Pero no todos los que venden «Pentesting» hacen lo mismo: esta guía te enseña a comprar bien.
Tabla de Contenido
Cómo elegir un proveedor de hacking ético en Ocaña (y no pagar por humo)
En nuestra experiencia, la diferencia entre una prueba que sirve y una que no está en el alcance que firmas antes de empezar. Esto es lo mínimo que deberías exigir:
- Alcance escrito y específico: qué activos se prueban (sitio web, correo corporativo, red interna, nube), qué técnicas se usarán y qué queda fuera de límites. Si te cotizan sin preguntarte nada sobre tu infraestructura, desconfía.
- Reglas de juego claras: ventanas de prueba acordadas, un contacto disponible durante la ejecución y un procedimiento si algo se comporta raro. Un proveedor serio protege tu operación, no la pone en riesgo.
- Informe en español, priorizado por riesgo de negocio: cada hallazgo debe explicar qué significa para tu empresa —no solo el detalle técnico—, con evidencia y pasos concretos de corrección.
- Re-test incluido: después de que corrijas, alguien debe verificar que la falla quedó cerrada de verdad. Sin esto, pagaste por un diagnóstico a medias.
- Acuerdo de confidencialidad firmado antes de que toquen un solo sistema.
Señales de alerta: informe que es solo la salida de un escáner automático con tu logo pegado; «garantizamos 100% de seguridad» (nadie serio promete eso); sin reunión de cierre para explicar los hallazgos; sin re-test; sin NDA. Y una honestidad que vale oro: si tu empresa no tiene ni inventario de activos ni parches al día, un buen proveedor te dirá que primero necesitas higiene básica, no un pentest. Quien te vende la prueba sin decirte eso, te está vendiendo humo.
Ocaña: nodo comercial, agroindustria y dinámica fronteriza
Ocaña, en Norte de Santander, es la segunda ciudad del departamento y el epicentro de la Provincia de Ocaña, una subregión de 17 corregimientos y 90 veredas. Fundada en 1570, fue sede de la histórica Convención de Ocaña de 1828, donde 64 delegados debatieron el rumbo de la Gran Colombia. Su economía combina la agricultura (cebolla, fríjol, café), la ganadería, el comercio, la pequeña industria y una dinámica marcada por la cercanía a la frontera con Venezuela, con municipios vecinos como Ábrego, Convención, Teorama y Hacarí en la zona del Catatumbo.
Ese perfil genera una superficie de ataque concreta: correo corporativo usado para coordinar operaciones comerciales y pagos —incluidas negociaciones con contrapartes al otro lado de la frontera—, plataformas web y sistemas de facturación electrónica, banca electrónica para mover el dinero del negocio y redes de pymes con controles de seguridad básicos. El hacking ético valida de forma controlada que esos entornos resistan un ataque real, algo crítico donde una intrusión compromete operaciones comerciales, pagos o datos de clientes y proveedores.
Panorama de amenazas: lo que ya pasó en la región
El caso de Cáchira no es una anécdota lejana: es el mismo departamento, el mismo tipo de banca electrónica que usan las empresas de Ocaña y el mismo patrón —transferencias no autorizadas que nadie detectó a tiempo porque las alertas fueron manipuladas—. Los delincuentes no necesitaron «hackear el banco»: les bastó comprometer el eslabón más débil, que suele ser el equipo o las credenciales del usuario.
Y no hace falta ir hasta Cáchira para ver el riesgo documentado. La propia Alcaldía de Ocaña publicó su matriz de riesgos de seguridad de la información, donde identifica como riesgos altos el phishing y la ingeniería social, las debilidades en la seguridad perimetral de su red de datos y la falta de conciencia en seguridad de la información. Si la entidad que administra la ciudad lo pone por escrito, tu empresa no debería asumir que está mejor.
Los vectores que más vemos aquí: suplantación en negociaciones comerciales (el clásico «cambio de cuenta del proveedor» por correo), phishing al personal administrativo con ingeniería social sobre operaciones reales, fraude en banca electrónica desde equipos comprometidos y ransomware contra pymes sin respaldos. En la provincia también se reportan extorsiones por mensajes de texto y WhatsApp: el chantaje digital no distingue lo rural de lo urbano.
Qué exige la regulación nacional (verificable)
Sin rodeos: ninguna norma exige hacking ético «en Ocaña». La obligación es nacional y depende de lo que hace tu empresa y los datos que maneja:
- Ley 1273 de 2009, de delitos informáticos: el caso de Cáchira encaja de lleno en sus tipos penales —hurto por medios informáticos y transferencia no consentida de activos—, además del acceso abusivo a sistemas, el uso de software malicioso y la suplantación de sitios web para capturar datos. Las penas van de 48 hasta 120 meses de prisión. Esta es la ley que respalda tu denuncia si te atacan.
- Ley 1581 de 2012, de protección de datos personales, reglamentada parcialmente por el Decreto 1377 de 2013: si tu empresa trata datos de clientes, proveedores o empleados —y toda empresa comercial lo hace—, debe contar con autorización previa y medidas de seguridad apropiadas. La Superintendencia de Industria y Comercio puede multar hasta con 2.000 salarios mínimos mensuales.
Un hacking ético no es un requisito legal en sí mismo, pero es la forma más directa de demostrar que tomaste medidas reales para proteger esos datos y esos activos, en lugar de limitarte a comprar un antivirus y cruzar los dedos.
Preguntas frecuentes sobre el hacking ético en Ocaña
¿Qué debe incluir como mínimo el alcance de un hacking ético?
aplicaciones web expuestas, correo corporativo, infraestructura perimetral y una prueba de ingeniería social controlada, porque el eslabón humano es el que más se explota en la región. Todo por escrito antes de empezar, con ventanas de prueba y límites claros.
¿Cómo sé si el informe que me entregan es bueno?
Un buen informe explica cada hallazgo en lenguaje que la gerencia entiende, lo clasifica por riesgo para el negocio, muestra la evidencia de cómo se explotó y detalla cómo corregirlo. Si recibes 200 páginas generadas por una herramienta sin priorización ni contexto de tu empresa, te vendieron un escaneo, no un pentest.
¿La prueba puede dejar mis sistemas fuera de servicio?
Con un proveedor serio, no. Las pruebas potencialmente disruptivas se acuerdan en ventanas de bajo tráfico, hay un canal de comunicación abierto durante la ejecución y existen reglas de parada si algo se comporta de forma inesperada. Pregunta por esto antes de firmar: la respuesta te dice mucho del proveedor.
¿Tiene que venir alguien a Ocaña o se puede hacer remoto?
La mayoría de las pruebas —aplicaciones web, infraestructura externa, correo— se ejecutan perfectamente en remoto. La presencia física solo suma valor en pruebas específicas como red interna, wifi corporativo o ingeniería social presencial. Desconfía de quien te cobre desplazamiento obligatorio para todo.
¿Cada cuánto debería repetir la prueba?
Una vez al año como base, y después de cada cambio importante: nuevo sistema de facturación, migración a la nube, cambio de proveedor tecnológico o un incidente. En comercio con pagos digitales constantes, la validación periódica no es un lujo: es mantenimiento.
Solicita tu hacking ético en Ocaña con DragonJAR
DragonJAR nació como comunidad de seguridad informática en 2001 y opera como empresa desde 2012. Hacemos hacking ético en Ocaña y en todo Norte de Santander, remoto y presencial. Llena el formulario y agenda una llamada de descubrimiento sin costo: revisamos tu operación, te decimos con franqueza si es lo que necesitas ahora —y si primero necesitas higiene básica, también— y te entregamos propuesta con alcance escrito, tiempos y entregables. Sin compromiso. Mira nuestros servicios de seguridad informática o escríbenos directamente.
Comprar seguridad sin saber qué comprar es la forma más cara de sentirse seguro. Empieza por saber por dónde entrarían: eso es exactamente lo que hace un hacking ético.