Descubra lo que un atacante vería en su empresa en Popayán, antes de que lo explote.
Hacking ético real para empresas de Popayán: simulamos ataques con las mismas técnicas que usaría un adversario, con hallazgos priorizados por riesgo real y retest de las correcciones.
Popayán administra un departamento y forma a miles de universitarios al mismo tiempo. Cada trámite en línea, cada matrícula y cada reserva turística pasa por sistemas con datos de ciudadanos, estudiantes y visitantes — que, en la mayoría de los casos, nadie ha intentado atacar de forma controlada. El hacking ético en Popayán existe para eso: para que la primera persona que pruebe la resistencia de esos sistemas sea un profesional autorizado, no un delincuente.
La amenaza no es abstracta. En 2024, Colombia registró 77.666 denuncias por delitos informáticos (+23% interanual) y el 74% de los ciberataques se originó en un simple correo fraudulento (ACIS, noviembre de 2025, con datos de Policía Nacional y Fortinet). En una ciudad donde el sector público y las universidades concentran la actividad económica, el correo institucional y los portales web son la puerta de entrada más probable.
En resumen: DragonJAR SAS, empresa colombiana de seguridad informática ofensiva con sede en Manizales (comunidad desde 2001, empresa desde 2012), realiza hacking ético real para empresas de Popayán, con informes ejecutivo y técnico en español, priorizados por riesgo de negocio, y retest de las correcciones.
Tabla de Contenido
Popayán: ciudad universitaria, administrativa y de servicios del Cauca
Popayán, capital del Cauca, es una ciudad universitaria —con la Universidad del Cauca como referente académico del suroccidente colombiano— y sede de la administración departamental y municipal, lo que le da un fuerte peso del sector público. A eso se suma un comercio de servicios sólido, turismo histórico y cultural, y actividades agrícolas y agroindustriales en su zona de influencia.
Ese perfil genera una exposición digital particular: las entidades públicas manejan trámites y servicios en línea con datos de ciudadanos; las universidades operan plataformas académicas, correo institucional y sistemas de matrícula con miles de usuarios; y el comercio local gestiona ventas, pagos y banca electrónica. En las organizaciones de la región, la seguridad suele recaer en equipos pequeños o en proveedores externos, la validación independiente es poco frecuente y la superficie expuesta —portales web institucionales, correo corporativo y redes de usuarios— rara vez se pone a prueba de forma controlada.
Por qué las organizaciones de Popayán son un objetivo atractivo
Un atacante elige por retorno, no por simpatía. Y Popayán ofrece un retorno interesante por tres razones verificables.
Primero, el sector público. Gobernación, alcaldía y entidades descentralizadas operan trámites en línea con datos de miles de ciudadanos. Esos portales suelen desarrollarse por contratación externa, con presupuestos ajustados y pocas actualizaciones. Para un atacante, un portal institucional desactualizado es una vitrina: propaganda por defacement, robo de bases de datos o puerta a la red interna.
Segundo, las universidades. La Universidad del Cauca —pública, campus principal en Popayán, 187 años de trayectoria— y las demás instituciones manejan decenas de miles de cuentas de correo, plataformas de matrícula y sistemas académicos. Miles de usuarios, contraseñas reutilizadas y WiFi abiertas: el escenario clásico donde el phishing rinde más.
Tercero, el turismo y el comercio. Popayán, la «ciudad blanca» por su arquitectura colonial, es uno de los destinos culturales más significativos del país (Universidad del Cauca), y el turismo es un pilar de la economía del Cauca que se busca fortalecer con herramientas digitales (Unicauca, 2022). Hoteles, agencias y restaurantes dependen cada vez más de reservas y pagos en línea: cada plataforma cruza el dinero con los datos de los clientes.
Riesgos de ciberseguridad para las empresas y organizaciones en Popayán
Esto es lo que encontramos al evaluar organizaciones de la región: phishing dirigido a funcionarios y personal administrativo con ingeniería social sobre trámites, nóminas y facturación; cuentas de correo institucional comprometidas por credenciales débiles o reutilizadas; defacement o intrusión en portales web institucionales y comerciales con controles básicos; fraude en banca electrónica por equipos comprometidos; y ransomware contra entidades y pymes con respaldos insuficientes o sin probar.
Donde hay trámites ciudadanos, plataformas académicas y comercio digital, el Pentesting ofrece evidencia objetiva de la exposición antes de que se convierta en incidente. Y en el sector público un incidente no solo cuesta dinero: cuesta confianza ciudadana.
Errores típicos que vemos en la región
El más común: «el proveedor lo maneja». La web, el correo o el sistema están tercerizados, nadie dentro sabe qué versión corre ni cuándo se actualizó, y el proveedor asume que la seguridad «es cosa del cliente». Resultado: tierra de nadie.
El segundo: el antivirus como estrategia completa. Necesario, pero no detecta una aplicación web vulnerable a inyección ni a un funcionario que entrega su contraseña en un correo falso.
El tercero: respaldos que nunca se probaron. Casi todos dicen tener backup; pocos han intentado restaurar uno. El día del ransomware es un mal momento para descubrir que la copia estaba corrupta.
Y el cuarto, típico del sector público y educativo: cuentas que nadie da de baja. Contratistas de hace dos años, egresados, funcionarios trasladados: sus cuentas siguen activas porque nadie tiene el proceso —ni el tiempo— de depurarlas.
Qué tipo de prueba necesita cada caso
No todas necesitan lo mismo, y decirlo de frente es parte del trabajo. Una entidad pública con portales de trámites necesita una prueba de aplicaciones web: su cara visible y mayor exposición. Una universidad o empresa con red interna amplia necesita además una prueba de infraestructura interna, que simula lo que haría un atacante con una cuenta válida. Y casi todas necesitan ingeniería social controlada, porque el 74% de los ataques del país empieza en un correo.
La honestidad profesional: si nunca han hecho ni un análisis de vulnerabilidades, conviene empezar por ahí. El análisis da el mapa; el pentesting comprueba qué tan explotable es cada punto. Y si busca «un papel para la auditoría», dígalo desde el inicio: el alcance para cumplir un requisito formal no es el mismo que para dormir tranquilo.
Cómo trabaja DragonJAR
DragonJAR nació como comunidad de seguridad informática en 2001 y opera como empresa desde 2012. Nuestro proceso: llamada de descubrimiento para definir qué se prueba y qué no; propuesta con objetivos, límites y reglas de juego por escrito; ejecución controlada —remota o presencial— en horarios acordados; informe en español con hallazgos priorizados, remediación accionable y re-test de verificación.
Todo bajo autorización expresa y documentada: esa es la diferencia práctica entre hacking ético y un incidente. Además ofrecemos formación y sensibilización en seguridad informática: en organizaciones con equipos pequeños, lo que más reduce incidentes no es una herramienta nueva, sino personal que reconoce un correo malicioso.
La normativa que aplica: sin inventos
No existen normas «de Popayán» ni «del Cauca» que obliguen al pentesting; afirmarlo sería falso. Aplica el marco nacional: la Ley 1273 de 2009 tipifica los delitos informáticos —acceso abusivo a sistemas, interceptación de datos, daño informático, hurto por medios informáticos— con penas de 48 a 96 meses de prisión, y es la ley con la que la Policía registra y persigue el cibercrimen.
Y la Ley 1581 de 2012 —reglamentada por el Decreto 1377 de 2013— obliga a proteger los datos personales de ciudadanos, estudiantes y clientes. Para una entidad con trámites de miles de payaneses o una universidad con decenas de miles de registros, un pentesting periódico es la evidencia técnica más directa de que esas medidas existen — y de diligencia si algo sale mal.
Preguntas frecuentes sobre el hacking ético en Popayán
¿Puede afectar la operación de mi entidad o empresa?
No, con reglas claras: horarios definidos, sistemas críticos identificados y técnicas que evitan tumbar servicios. Lo demasiado sensible se prueba primero en un ambiente de respaldo.
¿Cuánto tarda?
Un portal institucional o sitio comercial: una o dos semanas. Una red completa con varias aplicaciones: más. El cronograma real se define en la llamada de descubrimiento.
¿Qué sistemas pueden evaluarse?
Aplicaciones web y móviles, infraestructura interna y externa, redes inalámbricas, correo institucional y el factor humano mediante ingeniería social controlada.
¿Qué pasa si aparecen hallazgos graves durante la prueba?
De inmediato, no al final. Si encontramos algo crítico —acceso no autorizado a datos de ciudadanos, por ejemplo—, usted lo sabrá el mismo día, con evidencia y recomendación de contención.
¿Cada cuánto debería hacerse?
Mínimo una vez al año, y tras cambios relevantes: portal nuevo, migración, cambio de proveedor o un incidente. En el sector público conviene alinearlo con los ciclos de contratación.
¿Cuánto cuesta y cuánto tarda un hacking ético en Popayán?
Depende del alcance: cuántas aplicaciones, APIs, direcciones IP o sedes entran, la profundidad de la prueba y las ventanas disponibles. El costo y el plazo se confirman en la propuesta que recibe tras solicitarla. Solicitar cotización.
Solicite su prueba de hacking ético en Popayán
Si su organización opera en Popayán o en el Cauca, una prueba adaptada a su realidad muestra con precisión dónde está expuesto: informe en español con hallazgos priorizados, remediación accionable y re-test de verificación.
Complete el formulario y recibirá una llamada de descubrimiento sin costo: revisamos su caso, le decimos con franqueza si un pentesting es lo que necesita (y si no, también) y le proponemos el alcance mínimo sensato. Sin compromiso. Vea nuestros servicios de seguridad informática.
Popayán concentra en pocos kilómetros trámites ciudadanos, miles de cuentas universitarias y una economía turística en digitalización. Todo eso ya está en el radar de los atacantes; la única decisión es quién prueba primero sus defensas: que sea un equipo ético, con autorización firmada y resultados accionables.