Descubra lo que un atacante vería en su empresa en Tunja, antes de que lo explote.
Hacking Ético real para empresas de Tunja: simulamos ataques con las mismas técnicas que usaría un adversario, con hallazgos priorizados por riesgo real y retest de las correcciones.
Contratar hacking ético en Tunja no es comprar un servicio genérico: es encargar a un equipo externo que intente entrar en sus sistemas con reglas claras, para que sepa qué es explotable hoy y no cuando un atacante lo descubra por usted. Tunja concentra la Gobernación de Boyacá, decenas de entidades públicas, las universidades más grandes de la región y un tejido de pymes de comercio y servicios que mueven trámites, matrículas y pagos en línea todos los días. Esta guía explica cómo comprar bien un pentest, qué pedir en el alcance, cómo detectar a un mal proveedor, qué amenazas son reales en Boyacá y qué le exige la ley colombiana.
En resumen: DragonJAR SAS, empresa colombiana de seguridad informática ofensiva con sede en Manizales (comunidad desde 2001, empresa desde 2012), realiza hacking ético real para empresas de Tunja, con informes ejecutivo y técnico en español, priorizados por riesgo de negocio, y retest de las correcciones.
Tabla de Contenido
Cómo comprar hacking ético en Tunja: guía para no equivocarse
Un pentest serio empieza antes de la prueba: con un levantamiento de inventario. El proveedor debería preguntarle cuántas aplicaciones web tiene, cuántas direcciones IP y servidores, si hay aplicaciones móviles, APIs, y qué ventanas de horario toleran sus sistemas. Si le dan un precio sin preguntar nada de esto, no están cotizando un pentest: están vendiendo un paquete. Exija que el alcance quede escrito: objetivos a probar, tipo de prueba (caja negra, gris o blanca), ventanas de ejecución, sistemas excluidos y técnicas fuera de límites, como la denegación de servicio sin autorización explícita.
Para comparar cotizaciones, ponlas sobre el mismo alcance. Pregunte en cada una: ¿la explotación es manual o solo pasan un escáner? ¿El informe viene en español, con informe ejecutivo para la dirección y detalle técnico con pasos de reproducción? ¿Incluye re-test para verificar las correcciones? ¿Trabajan bajo acuerdo de confidencialidad y reglas de enfrentamiento firmadas? En nuestra experiencia, la cotización más barata casi siempre es la que omite la explotación manual y el re-test, que son precisamente las dos cosas que convierten un escaneo en un pentest de verdad.
Señales de alerta: cómo detectar un «pentest» que es solo un escáner
Hay un patrón que vemos repetirse: le entregan un PDF de 200 páginas generado por una herramienta automática, lleno de alertas sin contexto, sin una sola evidencia de explotación, y lo llaman prueba de penetración. Estas son las señales para detectarlo antes de pagar: el proveedor no pide contacto técnico ni ventanas de prueba; no hay reglas de enfrentamiento escritas; el informe no muestra pasos de reproducción de ningún hallazgo; nadie le presenta los resultados en una sesión; y no hay re-test incluido porque no hay nada que verificar. Otras banderas: prometen «cero vulnerabilidades» o «seguridad garantizada» —nadie serio garantiza eso— y el precio es tan bajo que no cubre ni dos días de un consultor.
Un escáner automático no es inútil, pero es una herramienta, no un servicio. Sirve como insumo dentro de una metodología, jamás como entregable final. Si lo que recibe es el reporte crudo de la herramienta con su logo pegado, pagó por un pentest y recibió un inventario de sospechas.
Panorama de amenazas para Tunja y Boyacá
Tunja es la capital de Boyacá y su centro administrativo y de gobierno: allí operan la Gobernación departamental, con sede principal en el Palacio de la Torre (Calle 20 No. 9-90, Tunja), y decenas de entidades públicas municipales y departamentales. Eso convierte a la ciudad en un objetivo natural para el cibercrimen dirigido al sector público: según un informe sectorial reciente, los gobiernos recibieron 3.343 ataques en un semestre, el sector más golpeado del país.
Tunja también es conocida como la Ciudad Universitaria. La Universidad Pedagógica y Tecnológica de Colombia (UPTC) tiene su sede y domicilio principal en Tunja, con ocho facultades, 52 programas de pregrado y 23 de posgrado y cerca de 15.000 estudiantes solo en la capital boyacense, lo que la convierte en un blanco clásico: a nivel mundial la educación es el sector más atacado, y en Colombia se registraron 4.422 ciberataques semanales por organización en agosto de 2025, un 44 % más que el año anterior.
El caso que debería preocupar a cualquier entidad tunjana es el del ransomware contra IFX Networks, que dejó sin servicios a la Superintendencia de Industria y Comercio, la Superintendencia de Salud, el Consejo Superior de la Judicatura y el Ministerio de Salud: un solo proveedor comprometido paralizó a varias entidades del Estado a la vez. Y en marzo de 2026 la Superintendencia Nacional de Salud confirmó un ciberataque de alta criticidad contra su sistema de gestión documental, con más de 23 millones de intentos de ciberataque detectados en un solo mes. Para las pymes tunjanas de comercio y servicios —una ciudad de 188.945 habitantes según proyecciones DANE 2025—, el riesgo típico es otro: compromiso del correo corporativo para fraudes a proveedores, phishing contra clientes y tiendas en línea publicadas sin una prueba de seguridad previa. En nuestra experiencia, el patrón más repetido en pymes es el mismo: nadie ha probado nunca lo que está expuesto a internet.
Qué exige la normativa colombiana
Esto hay que decirlo con claridad: ninguna norma colombiana exige contratar un Pentesting por ese nombre. Lo que sí exige la ley es proteger la información, y un test de intrusión es la evidencia más directa de que lo está haciendo. Estas son las normas que una organización tunjana debe tener en el radar:
- Ley 1273 de 2009 — creó los delitos informáticos en Colombia: acceso abusivo a sistemas informáticos, interceptación de datos, daño informático, uso de software malicioso y suplantación de sitios web para capturar datos, con penas de 48 a 96 meses de prisión. Es la norma que convierte un ataque contra sus sistemas en delito, y la que respalda sus denuncias ante la Fiscalía.
- Ley 1581 de 2012 — la ley de protección de datos personales. Exige medidas de seguridad apropiadas para los datos que trata, pero no menciona la palabra «pentesting». Un informe de intrusión con explotación demostrada es la prueba de diligencia que esta ley espera ver cuando algo sale mal.
- Decreto 1377 de 2013 — reglamenta la Ley 1581 en autorización del titular, políticas de tratamiento y responsabilidad demostrada. Si su entidad maneja bases de datos de ciudadanos, estudiantes o clientes, este decreto le aplica.
La lectura práctica: nadie le va a multar por no tener un pentest, pero si sufre una filtración y no puede demostrar que verificaba sus medidas de seguridad, la conversación con la Superintendencia de Industria y Comercio se pone difícil. Un pentest previo no le exime de nada, pero le da algo mejor: la posibilidad de corregir antes de tener que explicar.
Y una honestidad de practitioner: un pentest no siempre es lo adecuado. Si su organización nunca ha hecho un inventario de activos ni aplica parches con regularidad, primero necesita higiene básica y un análisis de vulnerabilidades; pagar por explotación manual sobre una infraestructura sin lo mínimo es pagar por confirmar lo obvio. El pentest brilla cuando ya tiene controles y quiere saber si aguantan.
Preguntas frecuentes sobre el hacking ético en Tunja
¿Cómo comparo dos cotizaciones de pentest?
Exija que ambas coticen el mismo alcance escrito: activos, tipo de prueba, horas de consultor, entregables y re-test. Si una cotización es notablemente más barata, casi siempre es porque omite la explotación manual o el re-test. Pida una llamada de descubrimiento antes de decidir: el proveedor serio la ofrece sin costo y sale de ella con su inventario levantado.
¿Cuál es el alcance mínimo que debería pedir?
Como mínimo: sus aplicaciones web públicas con explotación manual, su perímetro (IPs y servicios expuestos) y una revisión de configuraciones críticas como el correo. Si maneja datos personales de ciudadanos o estudiantes, suma las aplicaciones internas que los procesan. Todo debe quedar en reglas de enfrentamiento firmadas: qué se prueba, cuándo y qué está fuera de límites.
¿Cómo detecto si el «pentest» es solo un escáner automático?
Pida una muestra de informe anterior (anonimizada). Un pentest real muestra evidencia de explotación: capturas, pasos de reproducción, cadenas de ataque. Un escáner muestra listas de alertas genéricas sin contexto de su entorno.
¿Qué es el re-test y por qué debería exigirlo?
El re-test es una segunda pasada, después de que su equipo aplica las correcciones, para verificar que cada vulnerabilidad quedó realmente cerrada y no solo maquillada. Sin re-test, el proyecto termina con un PDF y una suposición. Exíjalo por escrito en la cotización: al menos una ronda incluida, con ventana de tiempo definida después de su remediación.
¿Cómo se maneja la confidencialidad de mis datos durante la prueba?
Con un acuerdo de confidencialidad firmado antes de empezar, reglas de enfrentamiento que definen qué datos pueden tocarse y cuáles no, y un informe que clasifica la información sensible. El equipo no debe extraer más datos de los necesarios para demostrar el hallazgo, y al cierre del proyecto debe confirmar la eliminación de la evidencia recolectada. Si el proveedor no propone el NDA él mismo, es una bandera roja.
¿Cuánto tarda un pentest y puede tumbar mis sistemas?
Una prueba típica para una pyme toma de una a tres semanas entre ejecución e informe; entornos grandes toman más. Cuando se hace bien, no tumba nada: las reglas de enfrentamiento definen ventanas de prueba, sistemas excluidos y técnicas fuera de límites. Si un hallazgo crítico aparece durante la prueba, se le avisa de inmediato en lugar de esperar al informe final.
¿Cuánto cuesta y cuánto tarda un hacking Ético en Tunja?
Depende del alcance: cuántas aplicaciones, APIs, direcciones IP o sedes entran, la profundidad de la prueba y las ventanas disponibles. El costo y el plazo se confirman en la propuesta que recibe tras solicitarla. Solicitar cotización.
Conclusión
Tunja concentra en pocos kilómetros cuadrados lo que el cibercrimen más busca en Colombia: entidades públicas con trámites en línea, universidades con miles de registros personales y pymes que viven del comercio digital. Los ataques al sector público ya demostraron que un solo proveedor comprometido puede paralizar a varias entidades a la vez, y ninguna norma le va a pedir el pentest por su nombre: le va a pedir que demuestre diligencia cuando algo salga mal. Un hacking ético en Tunja bien contratado —alcance escrito, explotación manual, informe en español y re-test incluido— convierte la incertidumbre en un plan: saber por dónde es vulnerable, cerrarlo y poder demostrarlo.
Solicite su hacking ético en Tunja con DragonJAR
Tres preguntas antes de decidir: ¿cuándo fue la última vez que alguien intentó entrar en sus sistemas con su permiso? ¿Qué tiene expuesto a internet ahora mismo, no lo que cree tener? Si sufre una filtración mañana, ¿podría demostrar que verificaba sus medidas de seguridad?
DragonJAR nació en 2001 como comunidad de seguridad informática y opera como empresa desde 2012, y organiza la DragonJAR Security Conference, su congreso anual de ciberseguridad. Atiende organizaciones en Tunja de forma remota, con cobertura en todo Boyacá y Colombia.
En la práctica: explotación manual —no solo escáneres—, informe ejecutivo y técnico en español con hallazgos priorizados por riesgo real y pasos de reproducción, recomendaciones de remediación que su equipo puede ejecutar, y re-test para verificar que las vulnerabilidades quedaron corregidas. Todo bajo acuerdo de confidencialidad y reglas de enfrentamiento claras desde el día uno. Complete el formulario y agende una llamada de descubrimiento sin costo: levantamos su inventario de activos y le recomendamos un alcance concreto —qué probar, con qué profundidad y en qué orden— sin compromiso.