Descubra lo que un atacante vería en su empresa en Paraguay, antes de que lo explote.
Pentesting continuo real para empresas de Paraguay: simulamos ataques con las mismas técnicas que usaría un adversario, con hallazgos priorizados por riesgo real y retest de las correcciones.
En mayo de 2025, Paraguay vivió uno de los ciberataques más graves de su historia: más de diez instituciones del Estado —incluidas la Presidencia, la Cámara de Diputados y el Ministerio de Salud— vieron comprometidos sus sistemas y se filtraron datos de más de 7,2 millones de ciudadanos, entre cédulas, domicilios, fechas de nacimiento y hasta registros electorales. El propio MITIC tuvo que reconocerlo en un comunicado. Ese episodio, documentado por ESET, dejó una lección incómoda: en Paraguay nadie está demasiado lejos del objetivo, y la seguridad que se revisa una vez al año queda obsoleta al mes siguiente. Ahí es donde el pentesting continuo en Paraguay deja de ser un lujo y pasa a ser una necesidad operativa.
En resumen: DragonJAR SAS, empresa colombiana de seguridad informática ofensiva con sede en Manizales (comunidad desde 2001, empresa desde 2012), realiza pentesting continuo real para empresas de Paraguay, con informes ejecutivo y técnico en español, priorizados por riesgo de negocio, y retest de las correcciones.
Tabla de Contenido
Paraguay: un contexto económico que exige seguridad continua
Paraguay es una economía donde la agroindustria ocupa un lugar central: la producción y exportación de soja, carne y otros productos agropecuarios conecta a las empresas del sector con compradores, logísticas y entidades financieras de todo el mundo, y cada eslabón de esa cadena deja registros digitales que deben protegerse. Asunción concentra la banca, las casas de cambio, las empresas de servicios y la administración pública; es el punto donde se cruza la mayor parte del dinero y la información sensible del país.
El comercio fronterizo y la actividad de reexportación generan un flujo constante de operaciones electrónicas entre empresas paraguayas y socios de países vecinos, mientras los servicios financieros y de pagos digitales amplían su cobertura año a año. El resultado es una superficie de exposición digital que crece sin pausa: más portales, más aplicaciones, más integraciones con terceros. Cada cambio en un sistema es una ventana donde una vulnerabilidad puede nacer y pasar desapercibida hasta que un atacante la encuentre. Un pentesting puntual la evalúa una vez; el continuo la vigila cada vez que algo cambia.
Los riesgos no se reparten igual: qué mira un atacante en Paraguay
Agroindustria y comercio exterior. Los exportadores manejan contratos, cartas de crédito y datos de contrapartes en varios países. Un compromiso del correo corporativo o del portal de gestión comercial puede traducirse en desvío de pagos o robo de información de mercado. El fraude por suplantación en operaciones de comercio exterior es uno de los esquemas más caros que vemos en la región.
Banca, casas de cambio y pagos digitales. Asunción concentra el movimiento financiero del país. La banca electrónica y las aplicaciones de pago son objetivos permanentes: el phishing dirigido a clientes y empleados sigue siendo la puerta de entrada más común, y una aplicación con controles débiles de sesión o autenticación convierte cada transacción en una apuesta.
Comercio fronterizo y reexportación. Operaciones rápidas, alto volumen, múltiples intermediarios: el caldo de cultivo perfecto para órdenes de pago manipuladas y facturas falsas. Las pymes de este sector suelen operar con respaldos insuficientes y sin monitoreo, lo que las convierte en blancos rentables del ransomware.
Sector público y proveedores del Estado. El ataque de mayo de 2025 demostró que las instituciones públicas paraguayas son objetivo directo. Y hay un detalle que muchos subestiman: un informe de la Contraloría General reveló que más de la mitad de los organismos estatales están en alto riesgo de sufrir incidentes informáticos. Si su empresa provee al Estado o integra sistemas con entidades públicas, hereda parte de ese riesgo.
Qué pide la regulación en Paraguay
A diferencia de lo que ocurría hace unos años, Paraguay ya tiene un marco de protección de datos con nombre y apellido. El 27 de noviembre de 2025 se promulgó la Ley N.° 7593/2025 de Protección de Datos Personales, el primer régimen integral del país para el tratamiento de datos personales en el sector público y el privado. La ley crea la Agencia Nacional de Protección de Datos Personales (ANPDP), adscrita al MITIC, con facultades de supervisión y sanción, y establece obligaciones de seguridad, confidencialidad, aviso de privacidad y registro de actividades de tratamiento.
Hay un detalle operativo que importa: la norma fijó un período de adecuación de 24 meses, con vigencia plena prevista para noviembre de 2027. Es decir, las empresas paraguayas están ahora mismo en la ventana de adecuación. Y la adecuación exige medidas de seguridad demostrables —no declaraciones de intención—, lo que convierte al pentesting periódico en una de las evidencias más directas de diligencia que una organización puede presentar ante la ANPDP.
Además, sigue vigente la Ley 6534/2020 de Protección de Datos Crediticios, que ya imponía obligaciones de seguridad sobre los datos crediticios y cuyo rol de supervisión pasará a la nueva ANPDP. Si su empresa maneja historiales crediticios, reportes de riesgo o bases de clientes con datos financieros, el doble marco regulatorio la deja sin margen para la improvisación.
Qué cambia con un pentesting continuo (frente a una auditoría puntual)
Una prueba puntual responde a la pregunta «¿qué tan expuestos estábamos ese día?». El pentesting continuo responde a «¿qué cambió desde entonces y qué se rompió con el cambio?». En nuestra experiencia, la mayoría de las vulnerabilidades graves que encontramos en re-test no estaban en el informe inicial: aparecieron con un despliegue nuevo, una integración con un tercero o una configuración que alguien «ajustó temporalmente».
Lo que un programa continuo bien diseñado le entrega, de forma medible:
- Cada ciclo identifica vulnerabilidades nuevas con severidad clasificada, prueba de concepto y pasos de remediación concretos.
- Re-test de cada hallazgo: la vulnerabilidad solo se da por cerrada cuando se verifica que la corrección funciona, no cuando alguien dice que la aplicó.
- Trazabilidad por versión: sabe exactamente qué cambio introdujo cada hallazgo y puede demostrarlo ante la ANPDP o un auditor.
- Cobertura sobre la superficie real: aplicaciones web y móviles, infraestructura, entornos en la nube y las integraciones con terceros que crecen con su operación.
Y una honestidad de practitioner: si su empresa despliega una vez al año y nada cambia entre despliegues, el continuo no le aporta frente a una prueba bien hecha. El continuo paga cuando sus sistemas viven en movimiento.
¿Su empresa necesita esto? Autodiagnóstico rápido
Si responde sí a dos o más de estas preguntas, un programa continuo tiene sentido para usted:
- ¿Lanzan cambios en sus aplicaciones o infraestructura más de una vez al trimestre?
- ¿Manejan datos de clientes, datos crediticios o información de operaciones comerciales con contrapartes en otros países?
- ¿Integran sistemas con proveedores, bancos o entidades públicas?
- ¿Su última prueba de seguridad tiene más de seis meses o no recuerde cuándo fue?
El costo de la inacción tiene una referencia pública reciente: la brecha de mayo de 2025 afectó a 7,2 millones de ciudadanos y a más de diez instituciones del Estado. Para una empresa privada, un incidente equivalente se traduce en interrupción operativa, responsabilidad ante la ANPDP y pérdida de confianza de clientes y socios comerciales. Un programa de pentesting continuo cuesta una fracción de cualquiera de esos tres escenarios.
Al completar el formulario, un especialista de DragonJAR —comunidad de seguridad desde 2001, empresa desde 2012— revisa su caso y le propone un alcance ajustado a su operación en Paraguay: qué se evalúa, con qué frecuencia y qué recibe en cada ciclo. Sin compromiso y sin letra pequeña.
Preguntas frecuentes sobre pentesting continuo en Paraguay
¿En qué se diferencia el pentesting continuo de una auditoría de seguridad puntual?
La auditoría puntual evalúa su seguridad en un momento dado; el continuo repite las pruebas cada vez que sus sistemas cambian —nuevos despliegues, integraciones o configuraciones—. En Paraguay, donde la Ley 7593/2025 exige medidas de seguridad sostenidas y demostrables, la diferencia práctica es que el continuo genera evidencia permanente de diligencia, no un informe que caduca a los pocos meses.
¿Qué necesita mi empresa para empezar un programa continuo?
Menos de lo que cree: acceso acordado a los sistemas en alcance, un contacto técnico que valide los ciclos y la autorización formal para ejecutar las pruebas. Nosotros definimos el calendario de ciclos, las reglas de juego y los canales de reporte. La operación diaria de su empresa no se interrumpe.
¿Cómo se verifica que una vulnerabilidad quedó realmente corregida?
Con re-test: cada hallazgo se vuelve a probar después de la remediación y solo se cierra cuando la prueba confirma que la corrección funciona. En DragonJAR los re-test no tienen límite dentro del programa; una vulnerabilidad abierta es una vulnerabilidad, no una línea tachada en un informe.
¿El pentesting continuo reemplaza a mi equipo de seguridad o a mis herramientas?
No; las complementa. Las herramientas automatizadas detectan lo conocido; el pentesting manual y recurrente encuentra lo que la automatización no ve: lógica de negocio rota, encadenamiento de hallazgos menores y configuraciones que cambiaron sin que nadie lo notara. Si ya tiene equipo interno, el programa funciona como su segunda línea de verificación independiente.
¿Qué pasa con la confidencialidad de nuestra información durante las pruebas?
Todo el personal firma acuerdos de confidencialidad y se aplican políticas estrictas de manejo de información: solo se accede a lo necesario para el alcance acordado, los datos se tratan con el mismo rigor que exige la Ley 7593/2025 y nada sale del circuito del proyecto.
Conclusión
El ataque de mayo de 2025 y la entrada en vigor del período de adecuación de la Ley 7593/2025 marcan un antes y un después para la seguridad en Paraguay: las empresas que tratan datos personales tienen fecha límite y un regulador nuevo vigilando. El pentesting continuo en Paraguay es la forma práctica de llegar a noviembre de 2027 con la casa en orden —vulnerabilidades encontradas a tiempo, correcciones verificadas y evidencia de diligencia en cada ciclo—. DragonJAR ejecuta estos programas con cobertura para el mercado paraguayo, desde Asunción hasta el interior del país.