Descubra lo que un atacante vería en su empresa en Jamundí, antes de que lo explote.
Pentesting real para empresas de Jamundí: simulamos ataques con las mismas técnicas que usaría un adversario, con hallazgos priorizados por riesgo real y retest de las correcciones.
En junio de 2022, la Corporación Autónoma Regional del Valle del Cauca (CVC) confirmó un ransomware que cifró un esquema de servidores de aplicaciones y 23 estaciones de trabajo en Santiago de Cali, obligando al apagado preventivo de equipos en todas sus sedes (comunicado oficial de la CVC). La lección vale para toda la región: el ransomware no pregunta si es entidad pública o pyme. Un pentesting en Jamundí responde lo que ese comunicado deja en el aire: ¿qué habría pasado si el ataque hubiera entrado por la puerta que nadie revisó?
Jamundí ya no es el municipio dormitorio que muchos imaginan: en la consulta popular del 24 de noviembre de 2024 aprobó su ingreso a la primera fase del Área Metropolitana del Suroccidente, junto con Cali y Puerto Tejada (Alcaldía de Jamundí). Y Camacol Valle reporta que solo entre 2019 y 2021 se licenciaron más de 225.000 metros cuadrados, con un crecimiento superior al 80% en las ventas de vivienda nueva (Camacol Valle). Esa expansión deja una estela digital: portales de constructoras, tiendas en línea y agroindustria conectada, todo enumerable desde internet.
La caña de azúcar, que Belalcázar sembró en el siglo XVI en una estancia cercana a lo que hoy es Jamundí (Centro Virtual Isaacs, Universidad del Valle), sigue siendo identidad productiva del sur del Valle y hoy convive con una economía de comercio, servicios y logística que mira hacia Cali y el corredor del sur. Cada sistema nuevo que esa economía pone en línea amplía una superficie que conviene probar con permiso antes de que la pruebe otro sin él.
En resumen: DragonJAR SAS, empresa colombiana de seguridad informática ofensiva con sede en Manizales (comunidad desde 2001, empresa desde 2012), realiza pentesting real para empresas de Jamundí, con informes ejecutivo y técnico en español, priorizados por riesgo de negocio, y retest de las correcciones.
Tabla de Contenido
Por qué las empresas de Jamundí son objetivo
Ser objetivo no requiere ser grande; basta ser visible y descuidado:
Integración metropolitana. Con Jamundí en la primera fase del Área Metropolitana del Suroccidente, la operación empresarial se entrelaza cada vez más con Cali: proveedores compartidos, personal que se mueve entre municipios y cadenas de suministro que cruzan fronteras; las conexiones que nadie documenta son las que un atacante aprovecha.
El boom de la construcción. Con más de 225.000 m² licenciados en tres años y ventas de vivienda nueva creciendo por encima del 80%, constructoras e inmobiliarias manejan datos de miles de compradores: identidad, finanzas, contratos. Todo eso cae bajo la Ley 1581 de 2012, y un portal de clientes sin prueba de seguridad es una base de datos esperando su filtración.
Agroindustria y logística digitalizadas. La zona cañera y el corredor Cali–sur operan con inventarios, flotas con telemetría, facturación electrónica y plataformas de pedidos. En nuestra experiencia, esos sistemas se instalaron para operar, no para resistir: paneles expuestos, accesos remotos de proveedores nunca revocados y redes de planta y oficina sin segmentación.
Comercio que vive en línea. Pymes que venden por redes sociales y tiendas en línea manejan datos de pago con la misma infraestructura de sus promociones. Y el contexto nacional no invita a la calma: FortiGuard Labs identificó 41 víctimas de ransomware en Colombia durante 2025 (reporte presentado en ANDICOM 2026); la mayoría no eran grandes corporaciones.
Errores típicos que vemos en la región
Auditando empresas del suroccidente colombiano vemos repetirse los mismos patrones. Ninguno requiere un atacante sofisticado:
Lo expuesto que nadie probó. Una comercializadora del sur del Valle tenía su inventario accesible desde internet con credenciales de fábrica; lo abrimos en la primera hora. El patrón más repetido en pymes de la región sigue siendo el mismo: nadie ha probado nunca lo que está publicado en internet.
Correo sin doble factor. El fraude al proveedor con un mensaje «del gerente» pidiendo un pago urgente sigue funcionando porque muchas empresas protegen su correo solo con contraseña. Un ejercicio de ingeniería social lo demuestra en una tarde; un atacante lo explota en una mañana.
Copias de seguridad que no son copias. El «plan de respaldo» de varias empresas es un disco conectado a la misma red que producción. El ransomware cifra primero lo que está al alcance: si nunca restauró desde su copia, no tiene copia, tiene esperanza.
Proveedores con llave permanente. El técnico del software contable, el soporte de las cámaras, el desarrollador de la web: accesos remotos creados hace años que nadie revocó. Cada uno es un tercero con las llaves de su red, y casi ninguno pasó por una verificación de seguridad.
Datos de clientes sin dueño claro. Portales que recogen documentos de compradores y los guardan en el mismo servidor del sitio web, sin cifrado ni control de acceso. Cuando eso se filtra, el problema pasa a ser jurídico: la Ley 1581 exige medidas de seguridad sobre esos datos, y «no sabíamos» no es defensa ante la Superintendencia de Industria y Comercio.
Tipos de prueba recomendados para una empresa jamundeña
Pentest externo. Simula a un atacante sin información previa intentando entrar desde internet: el punto de partida para cualquier empresa en línea, y la prueba con más hallazgos críticos en la primera contratación.
Pentest de aplicación web y API. Para portales de clientes, tiendas en línea, pedidos y facturación electrónica: inyecciones, control de acceso roto, exposición de datos y lógica de negocio; lo que un escáner no entiende y un atacante sí.
Pentest de red interna. Responda qué pasa si un equipo ya cayó: ¿el atacante llega a los servidores? ¿la red de invitados alcanza la administrativa? Con planta y oficina en el mismo edificio, suele revelar que la segmentación existe solo en el diagrama.
Phishing dirigido simulado. Con autorización expresa, medimos cuántas personas muerden un correo malicioso: la métrica honesta de su eslabón humano y el insumo para capacitar lo que falla.
Nota de honestidad profesional: si su operación depende de control industrial o telemetría de planta, el alcance se diseña aparte; una prueba agresiva de TI puede afectar procesos físicos. Primero se revisa arquitectura y segmentación, y la prueba activa solo va donde es seguro. Hay entornos donde un pentest estándar no es lo adecuado, y se lo diremos antes de cotizarle.
Cómo trabaja DragonJAR
DragonJAR nació en 2001 como comunidad de seguridad informática y opera como empresa desde 2012; además organiza la DragonJAR Security Conference, su congreso anual de ciberseguridad. Así trabaja cada prueba:
Alcance escrito antes de tocar nada. Definimos qué se prueba, qué queda excluido, en qué ventanas y con qué técnicas; las reglas de enfrentamiento se firman antes del primer paquete. Sin sorpresas ni zonas grises.
Explotación manual, no solo escáneres. Verificamos manualmente cada hallazgo y encadenamos vulnerabilidades como un atacante real: el informe trae evidencia y pasos de reproducción, no una lista de alertas sin contexto.
Informe en español, en dos niveles. Resumen ejecutivo para la dirección (riesgo de negocio, qué corregir primero) e informe técnico para su equipo (evidencia, severidad y recomendación accionable por hallazgo), más sesión de presentación sin jerga innecesaria.
Re-test incluido. Cuando aplica las correcciones, volvemos a probar cada hallazgo para confirmar que quedó cerrado. Sin re-test, un informe es una foto vieja: útil el día que se tomó, engañosa meses después.
Confidencialidad contractual. Todo bajo acuerdo de confidencialidad: solo recolectamos lo necesario, el informe se comparte únicamente con quien autorice y desde el día uno queda por escrito cómo se maneja la información sensible.
Atendemos empresas en Jamundí de forma remota, con cobertura en todo el Valle del Cauca y Colombia. Y un compromiso previo a cotizar: si su infraestructura es muy reciente, no tiene inventario o no hay quién aplique correcciones, un pentest puede ser prematuro; mejor empezar por un análisis de vulnerabilidades. Un informe que nadie va a corregir es un PDF caro, y preferimos decírselo antes.
Preguntas frecuentes sobre el pentesting en Jamundí
¿Cuánto cuesta un pentesting en Jamundí?
Depende de activos, aplicaciones y tipos de prueba; una cotización seria se construye tras una llamada de descubrimiento donde se levanta ese inventario. Desconfíe de quien da precio sin preguntar nada: no cotiza un pentest, vende un paquete. Como referencia del coste de no hacerlo: en 2025 se identificaron 41 víctimas de ransomware en Colombia, y la mayoría no eran grandes corporaciones.
¿La Ley 1581 de 2012 me obliga a hacer un pentest?
No usa esa palabra, pero su artículo 4 establece el principio de seguridad: los datos deben manejarse con las medidas técnicas, humanas y administrativas necesarias para evitar su adulteración, pérdida o acceso no autorizado (texto de la Ley 1581 de 2012). Un test de intrusión es la forma más directa de demostrar que esas medidas se verifican en la práctica. Y la Ley 1273 de 2009 tipifica el acceso abusivo a sistemas informáticos y la violación de datos personales (texto de la Ley 1273 de 2009).
¿Qué pasa con los datos de mi empresa durante la prueba?
Solo recolectamos lo necesario para demostrar cada hallazgo, trabajamos bajo acuerdo de confidencialidad y el informe se comparte únicamente con quien usted autorice. Desde el día uno queda por escrito el alcance, quién ve la evidencia y cómo se maneja la información sensible al cierre.
¿El servicio incluye re-test?
Sí: cuando aplica las correcciones, volvemos a probar cada hallazgo. En nuestra experiencia, parte de los hallazgos «corregidos» reaparece por parches incompletos; esa segunda pasada separa un informe útil de un PDF decorativo.
¿Qué recibo exactamente al final?
Informe ejecutivo para la dirección, informe técnico con evidencia y pasos de reproducción de cada hallazgo, plan de remediación priorizado por riesgo real, sesión de presentación y ronda de re-test. Todo en español.
¿El pentest puede interrumpir mis operaciones?
Cuando se hace bien, no: las reglas de enfrentamiento definen ventanas, sistemas excluidos y técnicas fuera de límites, y no se ejecutan denegaciones de servicio sin su autorización explícita. Las pruebas sobre producción van en horarios de bajo impacto, y ante un hallazgo crítico se le avisa de inmediato, sin esperar al informe final.
Conclusión
Jamundí crece: entró a la primera fase del Área Metropolitana del Suroccidente con una economía que mezcla agroindustria, comercio y servicios digitalizados. El ransomware que tocó a la CVC en 2022 demostró que en el Valle del Cauca nadie está fuera del mapa de los atacantes. Un pentesting en Jamundí bien contratado —alcance escrito, explotación manual, informe en español y re-test— convierte esa exposición en un plan: saber por dónde es vulnerable, cerrarlo y poder demostrarlo ante clientes, proveedores y la autoridad.
Solicite su pentesting en Jamundí con DragonJAR
Tres preguntas antes de decidir: ¿sabe qué tiene expuesto a internet ahora mismo? ¿Cuándo fue la última vez que alguien intentó entrar a sus sistemas con su permiso? Si mañana se filtran los datos de sus clientes, ¿podría demostrar que tomó medidas?
Si alguna respuesta le incomoda, complete el formulario y agende una llamada de descubrimiento sin costo: levantamos su inventario, entendemos su sector y le recomendamos un alcance concreto —qué probar, con qué profundidad y en qué orden. Sin compromiso.