Cúcuta vive del movimiento. Mercancías que cruzan la frontera con Venezuela, calzado que sale para todo el país, carbón, divisas y pagos que entran y salen a toda hora. Esa actividad ya no corre solo sobre carreteras: corre sobre sistemas de inventario, portales de proveedores, ERPs y transferencias electrónicas. En nuestra experiencia, a las empresas cucuteñas no las atacan por ser famosas: las atacan porque mueven dinero, porque sus sistemas comerciales están expuestos a internet y porque sus equipos de TI suelen ser pequeños. El Pentesting continuo en Cúcuta es la respuesta práctica a esa realidad: probar de forma periódica los activos que sostienen el negocio, antes de que un atacante los pruebe por usted.
Tabla de Contenido
La amenaza que mueve dinero en Cúcuta
Una empresa fronteriza concentra tres cosas que un atacante aprecia: pagos frecuentes, proveedores externos y una operación que no puede detenerse. Cúcuta es la principal ciudad fronteriza de Colombia: el comercio binacional con Venezuela, la industria del calzado y las confecciones, el carbón y la logística mueven volúmenes diarios de facturación electrónica, pagos a proveedores y datos de clientes. Cada uno de esos flujos tiene un sistema detrás, y cada sistema expuesto es una puerta.
El phishing dirigido al personal administrativo y comercial es el punto de entrada más común que vemos en la región: un correo que parece de un proveedor, una factura que parece urgente, un clic y el atacante está dentro de la red. De ahí al ransomware o al fraude en transferencias hay pocos pasos. Por eso la pregunta no es si su empresa es «lo bastante grande para que la ataquen», sino si sus sistemas aguantarían un intento serio.
Cúcuta: comercio fronterizo y servicios en la frontera
Cúcuta es la principal ciudad fronteriza de Colombia: comercio binacional, logística, manufactura (calzado, confecciones) y servicios sostienen una economía dinámica y expuesta a flujos constantes de personas, mercancías y pagos. Comercios, distribuidoras, empresas de transporte y servicios gestionan inventarios, clientes y transacciones sobre sistemas que ya operan en línea.
Esa intensidad comercial y el movimiento fronterizo amplían la superficie de ataque de empresas que suelen operar con recursos limitados de seguridad. Un pentesting continuo en Cúcuta parte de esa realidad: mantener validados, prueba tras prueba, los activos que sostienen el comercio diario.
Superficie de ataque por sector en Cúcuta
El comercio y la distribución viven en su ERP y en su catálogo o tienda en línea: precios, inventarios, datos de clientes. La logística y el transporte dependen de portales donde los clientes consultan guías y estados: si ese portal se cae o se manipula, la operación se detiene. La manufactura de calzado y confecciones guarda diseños, listas de precios y datos de distribuidores que tienen valor para la competencia. Y los servicios —salud, educación, financieros— manejan datos personales de clientes y empleados, que la ley colombiana obliga a proteger.
Ninguno de estos sectores tiene, en Cúcuta, la costumbre de probar sus sistemas antes de que alguien más lo haga. El pentesting continuo cambia eso: cada ciclo revisa aplicaciones, infraestructura y el factor humano, y cada cambio importante —una tienda nueva, un sistema nuevo, un proveedor nuevo— se vuelve a probar.
Qué cubre un pentesting continuo en su operación
Continuo no significa eterno: significa programado. Acordamos un alcance —sus aplicaciones, su infraestructura, sus personas— y lo probamos en ciclos: una evaluación inicial completa y luego pruebas periódicas, más re-tests de cada hallazgo corregido. El re-test es lo que separa un informe bonito de seguridad real: verificamos que la vulnerabilidad quedó cerrada, no que alguien dijo que la cerró.
Usted recibe un informe en español, con cada hallazgo priorizado por riesgo y con recomendaciones que su equipo puede ejecutar, sin falsos positivos que le hagan perder tiempo. Antes de empezar, hágase tres preguntas: ¿cuándo fue la última vez que alguien intentó entrar a sus sistemas? ¿Qué pasaría si su ERP o su portal de clientes estuviera caído tres días? ¿Sabe qué datos de sus clientes están expuestos en internet? Si alguna respuesta le incomoda, un ciclo de pruebas es el siguiente paso lógico.
Qué exige la ley colombiana (y qué NO exige)
Seamos honestos: ninguna norma colombiana obliga a contratar un pentest. Lo que sí existe es un marco que vuelve imprudente no probar nada. La Ley 1581 de 2012 y el Decreto 1377 de 2013 obligan a quienes manejan datos personales a adoptar medidas de seguridad para protegerlos; la Ley 1273 de 2009 tipifica los delitos informáticos —acceso abusivo, interceptación de datos, daño informático— y la Ley 1928 de 2018 adhirió a Colombia al Convenio de Budapest contra la ciberdelincuencia.
Un programa de pentesting continuo no cumple la ley por sí solo, pero es la forma seria de demostrar diligencia cuando un incidente o una autoridad pregunta qué hizo usted para proteger los datos.
Escenarios que nos ha tocado ver en la región
Empresa comercializadora de calzado: el atacante entró por el correo de un asistente administrativo, encontró las credenciales del ERP en una hoja de cálculo compartida y estuvo dos semanas revisando precios y clientes antes de activar el ransomware. Distribuidora de la zona franca: facturas falsas enviadas desde el correo comprometido de un proveedor real; el área contable transfirió sin verificar por teléfono. Empresa de transporte: el portal de seguimiento de guías tenía un panel administrativo con contraseña por defecto; cualquiera podía ver rutas, clientes y valores asegurados.
Ninguna de estas empresas era «un objetivo importante». Todas movían dinero y tenían una puerta abierta. Los nombres y detalles están anonimizados, pero los patrones se repiten.
Preguntas frecuentes sobre el pentesting continuo en Cúcuta
¿Qué es exactamente el pentesting continuo?
Es un programa de pruebas de penetración que se repite en el tiempo: una evaluación inicial completa y luego ciclos periódicos de prueba sobre sus aplicaciones e infraestructura, más re-tests de cada vulnerabilidad corregida. La idea es simple: su empresa cambia —nuevos sistemas, nuevos proveedores, nuevo personal— y su superficie de ataque cambia con ella. Una prueba de hace un año no describe su seguridad de hoy.
¿Cada cuánto se hacen las pruebas?
Depende de su operación: lo habitual es un ciclo completo una o dos veces al año, con re-tests después de cada corrección y pruebas puntuales cuando despliega algo nuevo —una tienda en línea, un sistema de facturación, una integración con un banco—. En la llamada de descubrimiento definimos la cadencia que tenga sentido para su tamaño.
¿El re-test está incluido o se cobra aparte?
Incluido. Cada hallazgo que usted corrige lo volvemos a probar hasta confirmar que quedó cerrado. Un informe sin verificación de cierre es papel; el re-test es lo que convierte el pentest en seguridad real.
¿Las pruebas pueden tumbar mis sistemas?
Las pruebas se planifican con usted: horarios, ventanas de mantenimiento y reglas de juego claras. Trabajamos para encontrar fallas sin interrumpir su operación, y cualquier prueba con potencial de impacto se coordina antes. La regla es simple: primero, no romper nada.
Ya tengo un equipo de TI, ¿para qué necesito esto?
Su equipo de TI construye y mantiene; nosotros atacamos. Son roles distintos y se complementan: el pentest le muestra a su equipo lo que un atacante ve desde afuera, y después les entregamos recomendaciones concretas para cerrar cada brecha. Muchas empresas usan nuestros informes como la hoja de ruta de su área de TI.
¿Trabajan con empresas pequeñas de Cúcuta o solo con grandes?
Con empresas de todos los tamaños. El alcance se ajusta a su operación real: una comercializadora de 20 personas no necesita el mismo programa que un grupo logístico, y el precio lo refleja. La llamada de descubrimiento sirve justamente para dimensionar qué necesita y qué no.
Agende una llamada de descubrimiento
DragonJAR nació como comunidad en 2001 y opera como empresa desde 2012; llevamos más de una década haciendo pruebas de penetración para empresas en Colombia y Latinoamérica. Si su empresa opera en Cúcuta —comercio, logística, manufactura o servicios—, escríbanos y agendemos una llamada de descubrimiento sin costo: conversamos sobre su operación, definimos el alcance que tendría sentido probar y usted recibe una propuesta clara, sin compromiso.
