Descubra lo que un atacante vería en su empresa en el Perú, antes de que lo explote.
Pentesting real para empresas de el Perú: simulamos ataques con las mismas técnicas que usaría un adversario, con hallazgos priorizados por riesgo real y retest de las correcciones.
El Perú mueve su economía con la minería, la agroexportación, la pesca y una banca que atiende a millones de personas —y desde 2011 la Ley N.º 29733 de Protección de Datos Personales obliga a las empresas a proteger la información de sus clientes con medidas de seguridad reales, no declarativas (texto oficial, Congreso). Esa combinación —sectores que no pueden parar y una ley con una autoridad que sanciona— explica por qué el pentesting en el Perú crece como demanda: no es moda, es la forma más directa de demostrar que sus defensas existen y funcionan.
En resumen: DragonJAR SAS, empresa colombiana de seguridad informática ofensiva con sede en Manizales (comunidad desde 2001, empresa desde 2012), realiza pentesting real para empresas de el Perú, con informes ejecutivo y técnico en español, priorizados por riesgo de negocio, y retest de las correcciones.
Tabla de Contenido
Perú: minería, banca y agroexportación con cadenas digitales críticas
La economía peruana se apoya en sectores con operación digital intensiva: la minería y sus proveedores, la banca y los servicios financieros, la agroexportación, la pesca, el retail y el comercio electrónico, y las telecomunicaciones. Operaciones mineras, sucursales bancarias, plantas de proceso, plataformas de venta en línea y redes de proveedores funcionan hoy sobre sistemas de gestión, redes industriales y aplicaciones conectadas con clientes, bancos y organismos públicos.
Esa digitalización de sectores críticos amplía la superficie de ataque del país. El pentesting es especialmente valioso en este entorno: valida de forma controlada que los cambios en aplicaciones, infraestructura y accesos de terceros no abran nuevas puertas, algo crítico donde una interrupción detiene producción, despachos o transacciones financieras.
Por qué las empresas del Perú son objetivo
No es casualidad que los atacantes miren al Perú con interés. Tres razones concretas:
- El dinero está en movimiento: banca, agroexportación y comercio electrónico mueven pagos y transferencias todos los días. El fraude en pagos —suplantación de proveedores, alteración de cuentas de destino— es uno de los delitos informáticos con más denuncias en el país.
- La operación física depende de lo digital: una mina, una planta pesquera o una cadena de retail no paran porque se caiga un servidor: paran porque sus sistemas de gestión, sus redes industriales y sus plataformas de despacho están conectados. Detener una operación minera o una planta de proceso cuesta por hora, no por día.
- Los datos personales tienen valor y una ley los protege: millones de peruanos entregan sus datos a bancos, retailers, clínicas y operadores de telecomunicaciones. La Ley N.º 29733 convierte una filtración en un problema legal y económico, no solo reputacional.
Errores típicos que vemos en empresas de la región
Después de años auditando empresas en Latinoamérica, los patrones en el Perú se repiten con una regularidad que ya no sorprende:
- El proveedor como puerta de entrada: contratistas mineros, agencias de carga y terceros con acceso VPN permanente a los sistemas. Se les da acceso una vez y nadie lo revoca nunca.
- La tienda en línea lanzada sin revisión: el retail y el comercio electrónico peruano crecen rápido, y las plataformas salen a producción con APIs sin control de acceso probado. Un atacante no necesita romper su firewall si su API le entrega los datos.
- Respaldos que nadie probó: empresas que pagan rescates no porque no tuvieran copia de seguridad, sino porque la copia no se restauraba. El ransomware contra proveedores y empresas de servicios con respaldos insuficientes sigue siendo el incidente más caro que vemos.
- OT y TI en la misma red: en minería e industria, las redes de oficina terminan conectadas a sistemas de control industrial sin segmentación. Un phishing al área administrativa puede terminar en la red de planta.
- Credenciales débiles en accesos remotos: el trabajo remoto y las sucursales multiplicaron los accesos expuestos a internet con contraseñas que no resisten un ataque de diccionario.
Riesgos de ciberseguridad para las empresas en el Perú
De forma cualitativa: ransomware contra empresas de servicios y proveedores mineros con respaldos insuficientes, phishing dirigido al personal administrativo y de operaciones, fraude en pagos y transferencias comerciales, filtración de datos de clientes y proveedores, y accesos remotos a sistemas de gestión y a redes de control industrial sin el endurecimiento adecuado. Las organizaciones que combinan operación física —plantas, minas, sucursales— con plataformas digitales concentran su riesgo en el correo corporativo, los accesos de terceros y los sistemas de pago, vectores que exigen validación periódica y no esporádica.
Tipos de prueba recomendados según su operación
No toda empresa necesita el mismo pentest. Según el sector, esto es lo que una propuesta seria debería incluir:
- Minería e industria: pentesting de infraestructura y, donde aplique, evaluación de la convergencia IT/OT —redes de oficina frente a sistemas de control industrial—. Aquí el riesgo no es solo el dato: es la continuidad operativa.
- Banca y servicios financieros: pruebas sobre aplicaciones y APIs de canales digitales, más revisión de autenticación y gestión de sesiones. La SBS viene fortaleciendo sus exigencias de seguridad de la información y ciberseguridad para las entidades que supervisa.
- Retail, agroexportación y servicios: pentesting de aplicaciones web y móviles, pruebas de phishing al personal administrativo y revisión de accesos de terceros —proveedores, agencias, contratistas—.
- Telecomunicaciones: infraestructura de red y plataformas de clientes, donde una filtración expone datos de millones de usuarios de una sola vez.
En todos los casos, exige por escrito: alcance definido, reglas de juego que protejan la operación, informe ejecutivo y técnico en español, y re-test para confirmar que lo corregido quedó corregido.
Normativa peruana: qué le exige la ley a su empresa
La Ley N.º 29733, Ley de Protección de Datos Personales (texto oficial, Congreso) impone a quien administra un banco de datos el deber de adoptar las medidas técnicas, organizativas y legales necesarias para protegerlos. Su reglamento exige implementar medidas de seguridad técnico-administrativas para proteger los datos personales, lo cual puede incluir la realización de pentesting para verificar que esas medidas funcionan en la práctica.
Y esto no es letra muerta: la Autoridad Nacional de Protección de Datos Personales investiga activamente filtraciones y ha advertido que una filtración de datos personales constituye una infracción muy grave (gob.pe, Minjus). Además, si opera en banca o seguros, la SBS supervisa su gestión de seguridad de la información. Un pentesting periódico es la evidencia más directa de que sus controles existen y funcionan, no solo en el papel.
Cómo trabaja DragonJAR
DragonJAR nace como comunidad de seguridad informática en 2001 y se consolida como empresa en 2012, con operaciones en Colombia y Latinoamérica. Nuestro trabajo en un pentesting sigue un proceso que puede auditar:
- Alcance con usted, no por usted: definimos juntos qué se prueba —aplicaciones, infraestructura, redes, factor humano— y qué queda fuera. Sin alcance claro no hay prueba seria.
- Prueba real, no escaneo: intentamos explotar lo que encontramos para mostrarle hasta dónde llegaría un atacante, con reglas de juego que protegen su operación.
- Informes que sirven para decidir: ejecutivo en español para la gerencia —qué riesgo corre el negocio— y técnico con evidencia y pasos de remediación para su equipo. con hallazgos validados, para que su equipo no pierda tiempo en alertas falsas.
- Re-test incluido: volvemos a probar lo corregido para verificar que la vulnerabilidad quedó cerrada de verdad.
- Confidencialidad por contrato: acuerdo de confidencialidad antes de empezar; los hallazgos solo los ven las personas que designe.
Y la honestidad de practitioner: si después de la llamada de descubrimiento vemos que su caso se resuelve con endurecer configuraciones o con un análisis de vulnerabilidades más simple, se lo decimos. Preferimos un cliente que vuelva por una recomendación honesta que uno que pague una prueba que no necesitaba.
Preguntas frecuentes sobre el pentesting en el Perú
¿La Ley N.º 29733 me obliga a hacer un pentesting?
No lo dice con esas palabras: la ley exige adoptar medidas de seguridad para proteger los datos personales, y su reglamento pide medidas técnico-administrativas. Un pentesting es la forma más directa de demostrar ante la Autoridad —y ante sus clientes— que esas medidas funcionan. Si maneja datos de miles de peruanos, es la evidencia que le van a pedir.
Mi operación incluye sistemas industriales (OT/SCADA). ¿Pueden probarlos sin detener la planta?
Sí, con reglas de juego específicas: se prueban las redes de oficina y los puntos de convergencia con OT, y cualquier prueba sobre sistemas de control se coordina con sus ingenieros en ventanas acordadas. Los ataques destructivos se excluyen por defecto.
¿Trabajan con empresas fuera de Lima?
Sí. La mayor parte del trabajo se hace de forma remota y las fases que requieren presencia se coordinan en Arequipa, Trujillo, Cusco y el resto del país. La ubicación no cambia la metodología ni el informe.
¿En qué se diferencia un análisis de vulnerabilidades de un pentesting?
El análisis identifica debilidades potenciales; el pentesting intenta explotarlas para mostrarle hasta dónde llegaría un atacante real. Uno le da una lista, el otro le da el impacto. Para decisiones de inversión en seguridad, el segundo vale más.
¿Qué pasa si ya tuvimos un incidente o sospechamos una intrusión?
Entonces lo primero no es un pentesting sino una evaluación del estado actual: revisar qué pasó, contener y luego probar. En la llamada de descubrimiento le decimos con honestidad qué secuencia aplica a su caso en lugar de venderle la prueba más cara.
¿El informe sirve para presentar a la gerencia o a un auditor?
Sí. El informe ejecutivo explica el riesgo en lenguaje de negocio —qué está expuesto y qué costaría no corregirlo— y el técnico documenta cada hallazgo con evidencia. Ambos en español, con hallazgos validados manualmente.
En el Perú, donde una mina no puede parar, un banco no puede filtrar y la ley no perdona la negligencia con los datos personales, la pregunta no es si le van a probar: es si será usted quien lo haga primero, o un atacante. El pentesting existe para que la respuesta sea la primera.
¿Cuánto cuesta y cuánto tarda un pentesting en el Perú?
Depende del alcance: cuántas aplicaciones, APIs, direcciones IP o sedes entran, la profundidad de la prueba y las ventanas disponibles. El costo y el plazo se confirman en la propuesta que recibe tras solicitarla. Solicitar cotización.
Solicite su pentesting en el Perú con DragonJAR
Si su empresa opera en el Perú —minería, banca, agroexportación, pesca, retail, telecomunicaciones o servicios—, un pentesting adaptado a su operación muestra con precisión dónde está expuesto: aplicaciones, infraestructura, redes industriales y el factor humano. El servicio incluye informes en español con hallazgos priorizados por riesgo, recomendaciones prácticas de remediación y verificación de que las vulnerabilidades fueron corregidas.
DragonJAR ejecuta pruebas de pentesting para empresas en todo el Perú, con cobertura remota y presencial en Lima, Arequipa, Trujillo y Cusco. Complete el formulario: recibe una llamada de descubrimiento sin costo donde definimos el alcance recomendado para su infraestructura. Sin compromiso: la recomendación es la misma aunque no contrate nada.