Descubra lo que un atacante vería en su empresa en el Salvador, antes de que lo explote.
Pentesting continuo real para empresas de el Salvador: simulamos ataques con las mismas técnicas que usaría un adversario, con hallazgos priorizados por riesgo real y retest de las correcciones.
En septiembre de 2021, El Salvador hizo algo que ningún país había intentado: darle curso legal al bitcoin. La medida duró poco más de tres años —una reforma de enero de 2025 volvió voluntaria su aceptación—, pero dejó una huella permanente: billeteras digitales, exchanges, pasarelas de pago y fintechs operando las 24 horas, y un país entero en el radar de la industria financiera digital (Ley Bitcoin, Decreto Legislativo N.º 57).
Esa es la primera razón por la que aquí hablamos de Pentesting continuo en El Salvador y no de una auditoría puntual. Cuando sus sistemas transaccionales no se detienen, una evaluación hecha una vez al año queda obsoleta en semanas: cada despliegue y cada integración nueva abre una puerta que antes no existía. La pregunta no es si le van a probar, sino si le enteras antes o después de que lo haga un atacante.
En resumen: DragonJAR SAS, empresa colombiana de seguridad informática ofensiva con sede en Manizales (comunidad desde 2001, empresa desde 2012), realiza pentesting continuo real para empresas de el Salvador, con informes ejecutivo y técnico en español, priorizados por riesgo de negocio, y retest de las correcciones.
Tabla de Contenido
La superficie de ataque salvadoreña, por sector
Banca y servicios financieros. San Salvador concentra la banca, las aseguradoras y las administradoras de fondos del país. Sus canales digitales —banca en línea, apps móviles, APIs para comercios— procesan dinero real a toda hora. Un fallo en la autenticación o en la lógica de una transferencia no es un «hallazgo menor»: es pérdida directa.
Remesadoras y plataformas de pago. En 2025 El Salvador recibió US$ 9.987,9 millones en remesas familiares, un récord histórico con un crecimiento del 17,8 % interanual; esas transferencias representan cerca del 24 % del PIB y más del 92 % proviene de Estados Unidos (datos del Banco Central de Reserva). Cada una de esas transferencias es una transacción digital que alguien puede intentar interceptar, duplicar o desviar. Las empresas que las procesan son, por volumen, de los objetivos más rentables del país.
Fintech, billeteras y criptoactivos. El experimento bitcoin dejó instaladas plataformas que siguen operando: custodia de activos digitales, casas de cambio, pasarelas que aceptan cripto. Son sistemas jóvenes, construidos rápido, y en nuestra experiencia los sistemas construidos rápido son los que más agradecen una revisión continua.
Comercio y pymes digitalizadas. Tiendas en línea, distribuidoras con pedidos por WhatsApp y sistemas de facturación conectados a internet. Muchas digitalizaron su operación sin un esquema de seguridad que evolucione al mismo ritmo: el clásico caso donde un pentest puntual de hace dos años ya no describe la realidad.
Qué cubre un pentesting continuo (y en qué se diferencia de uno puntual)
Un pentest puntual es una fotografía: le dice cómo estaba el día de la prueba. Un pentesting continuo es acompañamiento: ciclos de prueba recurrentes que se disparan con cada cambio relevante —un release, una API nueva, una migración a la nube— más ventanas programadas de evaluación profunda. Cuando su equipo despliega el viernes, el lunes ya sabe si ese despliegue abrió algo.
En la práctica, el modelo continuo combina tres cosas: pruebas de penetración manuales contra sus activos críticos, re-verificación de cada hallazgo hasta confirmar su cierre (los re-tests), y vigilancia de su superficie expuesta para detectar a tiempo ese servidor o subdominio que alguien levantó sin avisarle a seguridad. No es tener a alguien «atacándole 24/7» —eso lo aclaramos en las preguntas frecuentes—; es que la validación siga el ritmo de sus cambios en lugar de ir un año por detrás.
Riesgos de ciberseguridad frecuentes en empresas de El Salvador
Uno de los riesgos más habituales es el phishing y el robo de credenciales, que aprovecha el uso intensivo del correo electrónico y la mensajería en la operación diaria de empresas y entidades financieras. Un colaborador que entrega sus credenciales puede abrir la puerta a accesos no autorizados en sistemas críticos, desde plataformas bancarias hasta herramientas internas de gestión.
El fraude en pagos y la suplantación comercial también representan una amenaza relevante en un país con alto flujo de transacciones digitales y remesas. Los atacantes se hacen pasar por proveedores, entidades financieras o contactos de confianza para desviar transferencias o engañar a clientes y empleados con sitios y comunicaciones falsificadas.
El ransomware en pymes digitalizadas es otro riesgo creciente. Muchas empresas locales han digitalizado sus procesos sin contar con un esquema de seguridad que evolucione al mismo ritmo, lo que las deja expuestas a ataques que cifran su información operativa y las dejan inoperantes hasta recuperar los sistemas.
Finalmente, la exposición de datos de clientes es un riesgo transversal: bases de datos de clientes bancarios, comerciales o de servicios quedan accesibles por configuraciones débiles o software sin actualizar, con consecuencias reputacionales y legales para la empresa afectada.
La normativa que le aplica si opera en El Salvador
Ley para la Protección de Datos Personales (Decreto Legislativo N.º 144, noviembre de 2024). Aplica a empresas privadas que traten datos personales —si vende en línea, los trata—. Crea la Agencia de Ciberseguridad del Estado (ACE) como ente rector y reconoce los derechos ARCO-POL de los titulares: acceso, rectificación, cancelación, oposición, portabilidad, olvido y limitación (análisis de la ley). Cumplirla exige estructura —delegado de protección de datos, mecanismos de atención de solicitudes—, no buenas intenciones. Un pentesting continuo es la forma de demostrar, con evidencia, que los datos que custodia están protegidos de verdad.
Ley Especial contra los Delitos Informáticos y Conexos (Decreto Legislativo N.º 260, 2016). Tipifica el acceso indebido a sistemas informáticos, el fraude y la estafa informática, los daños a sistemas y la interceptación de datos, entre otras conductas (texto oficial). El mensaje es doble: el ataque que sufra tiene nombre y pena en la ley, pero la ley no le protege sola. La prevención —y la evidencia de que hizo lo razonable para prevenir— corre por su cuenta.
Ninguna de las dos normas dice literalmente «contrate un pentest». Lo que hacen es subir el costo de no poder demostrar diligencia cuando algo sale mal.
Escenarios que se repiten (nombres omitidos, patrones reales)
La pasarela que cambió un viernes. Una fintech salvadoreña actualizó su API de pagos antes de un fin de semana largo. El ciclo de pentesting continuo detectó el lunes un endpoint sin autenticación que exponía saldos y movimientos. Tiempo de exposición: horas, no meses. Con un esquema puntual, ese endpoint habría vivido hasta la próxima auditoría anual.
El correo del «proveedor». Una empresa comercial recibió instrucciones de pago de un supuesto proveedor, con membrete y firmas correctas. Era suplantación: los atacantes habían comprometido el correo de un empleado meses atrás y estudiado su operatoria. El fraude en pagos es el delito que más duele porque no requiere vulnerabilidades técnicas, solo un descuido humano bien explotado.
La banca en línea clonada. Una entidad financiera detectó un sitio réplica de su banca en línea circulando por mensajería, cosechando credenciales de clientes reales. El ataque no era contra su infraestructura sino contra la confianza de sus usuarios —y la contención empezó por saber exactamente qué datos podían haberse expuesto.
Los tres patrones tienen algo en común: ninguno se detecta con una auditoría anual. Se detectan con validación permanente.
Cómo trabaja DragonJAR el pentesting continuo
DragonJAR nació como comunidad de seguridad informática en 2001 y opera como empresa desde 2012. Cada ejercicio se entrega con un informe accionable: detallado para su equipo técnico y legible para su dirección, con cada hallazgo priorizado por riesgo real y con recomendaciones concretas de corrección. Todos los profesionales firman acuerdos de confidencialidad y el manejo de su información sigue políticas estrictas. Y con los re-tests ilimitados, cada brecha se da por cerrada cuando se verifica cerrada, no cuando alguien dice que la cerró.
Evalúe la seguridad de su empresa en El Salvador con DragonJAR
Si su empresa opera en San Salvador o en cualquier parte de El Salvador —banca, fintech, remesas, comercio digital—, el momento de evaluar su seguridad es ahora, no después de un incidente. Un esquema de pentesting continuo le da lo que una auditoría puntual no puede: la certeza de que cada cambio que despliega fue validado antes de que un atacante lo pruebe por usted.
Complete el formulario y cuéntenos qué sistemas quiere evaluar. Recibe una propuesta de alcance ajustada a su operación —qué se prueba, cómo, en qué tiempos y a qué precio cerrado—, además de una llamada de descubrimiento para entender su superficie de ataque. Sin compromiso: si después de ver la propuesta decide que un pentest puntual le basta, se lo diremos también.
Solicite hoy una propuesta de los servicios de seguridad informática de DragonJAR y convierte la ciberseguridad en una ventaja competitiva para su empresa en El Salvador.
Preguntas frecuentes sobre pentesting continuo en El Salvador
¿Qué significa exactamente «continuo»? ¿Tienen a alguien atacando mis sistemas 24/7?
No. «Continuo» no significa un atacante permanente ni un centro de monitoreo mirando sus pantallas —eso es un SOC, otro servicio—. Significa ciclos de prueba recurrentes que se ejecutan ante cada cambio relevante de sus sistemas, más ventanas programadas de evaluación profunda y re-verificación de cada hallazgo hasta su cierre. La validación sigue su ritmo de cambios en lugar de llegar una vez al año.
¿Cada cuánto se ejecutan las pruebas en un esquema continuo?
Depende de su ritmo de despliegues. Si su equipo libera cambios cada semana, las pruebas se alinean a ese ciclo; si sus sistemas son estables, se programan ventanas periódicas (por ejemplo mensuales o trimestrales según la criticidad de cada activo) y cualquier cambio mayor dispara una prueba adicional. En la llamada de descubrimiento definimos ese calendario con usted, no es una plantilla fija.
¿El pentesting continuo reemplaza al análisis de vulnerabilidades?
No, lo complementa. El análisis de vulnerabilidades automatizado es el termómetro: rápido, barato y bueno para detectar lo conocido. El pentesting es el diagnóstico: manual, profundo y capaz de encadenar fallos para demostrar impacto real. Un buen esquema continuo usa ambos: el escáner para la vigilancia permanente y el pentester para lo que el escáner no ve.
¿Qué pasa si encuentran una vulnerabilidad crítica? ¿Tengo que esperar al informe final?
No. Los hallazgos críticos se notifican de inmediato por el canal acordado, con evidencia y recomendación de contención, en cuanto se confirman. El informe final documenta todo con el detalle técnico y ejecutivo, pero lo urgente no espera al cierre del ciclo.
¿Mi empresa es muy pequeña para un pentesting continuo?
Puede ser. Si sus sistemas cambian poco —una web institucional que se actualiza dos veces al año, sin transacciones en línea—, un pentest puntual anual probablemente le basta y se lo diremos de frente. El modelo continuo se justifica cuando despliega con frecuencia, maneja pagos o datos sensibles de forma permanente, o está bajo presión regulatoria. Pagar por continuidad que no necesita es tan mal negocio como no tenerla cuando sí la necesita.
¿Cómo se garantiza la confidencialidad de mi información durante las pruebas?
Con acuerdos de confidencialidad firmados por todo el equipo, un alcance pactado por escrito que define exactamente qué se puede y qué no se puede tocar, y políticas estrictas de manejo y borrado de la información obtenida durante las pruebas. Sus datos de prueba no salen de su entorno ni se conservan más de lo necesario.
El pentesting continuo en El Salvador no es una moda: es la respuesta a una realidad donde los sistemas que sostienen el dinero y los datos del país no se detienen nunca. Si los suyo tampoco se detienen, su validación de seguridad tampoco debería.