Descubra lo que un atacante vería en su empresa en La Serena, antes de que lo explote.
Pentesting real para empresas de La Serena: simulamos ataques con las mismas técnicas que usaría un adversario, con hallazgos priorizados por riesgo real y retest de las correcciones.
Durante las Fiestas Patrias de 2026, Sernatur proyectó entre 91.000 y 110.000 visitantes con pernoctación en la región de Coquimbo, con Coquimbo y La Serena entre los destinos más concurridos del país. Cada una de esas reservas deja una tarjeta, un RUT o un pasaporte en el sistema de un hotel, agencia o restaurante serenense. Un Pentesting en La Serena parte de esa constatación: la ciudad se sostiene sobre tres economías —minería, agroindustria del Valle del Elqui y turismo— y las tres dependen de sistemas que un atacante puede alcanzar desde cualquier parte del mundo.
En resumen: DragonJAR SAS, empresa colombiana de seguridad informática ofensiva con sede en Manizales (comunidad desde 2001, empresa desde 2012), realiza pentesting real para empresas de La Serena, con informes ejecutivo y técnico en español, priorizados por riesgo de negocio, y retest de las correcciones.
Tabla de Contenido
La Serena: contexto económico y digital
La Serena es la capital de la región de Coquimbo y, junto a Coquimbo, forma una conurbación de más de 530.000 habitantes: el centro de servicios, comercio y educación superior de la región. La minería es su actividad económica más importante —con yacimientos como Pelambres (cobre), Andacollo (cobre y oro) y Romeral (hierro)—, seguida de la agricultura, el turismo, la construcción y la pesca. El Valle del Elqui suma su producción de pisco y vino, y los cielos de la zona han convertido a la región en la capital chilena del astroturismo, con observatorios de nivel mundial como Mamalluca y Tololo.
Los hoteles y agencias viven de las reservas y los pagos en línea; las empresas de servicios mineros operan redes industriales conectadas a las de sus clientes; el comercio y las productoras de pisco venden por internet; las universidades y los servicios financieros gestionan bases de datos de miles de personas. Todo eso configura una superficie de ataque concreta: aplicaciones web expuestas, sistemas de reservas, plataformas de pago, correo corporativo y conexiones de terceros que nadie ha probado nunca con mentalidad de atacante. En nuestra experiencia, ese es el patrón que se repite en las pymes chilenas: la exposición a internet crece más rápido que la verificación de su seguridad.
Riesgos por sector: lo que vemos en empresas serenenses
Turismo, hotelería y gastronomía. Es el sector más expuesto de La Serena: el 85 % de la oferta de alojamiento y gastronomía regional corresponde a microempresas, sin áreas de seguridad dedicadas. Los riesgos concretos: ransomware dirigido a hoteles y agencias, phishing para capturar credenciales de plataformas de reservas, fraude en pagos en línea y robo de datos de huéspedes —RUT, pasaportes de turistas extranjeros, datos de tarjetas—. Los datos de turistas son un botín especialmente atractivo porque circulan entre el hotel, la agencia y la pasarela de pago.
Minería y empresas de servicios mineros. Las redes de tecnología operativa conectadas a sistemas corporativos, el acceso remoto de proveedores y la dependencia de software de gestión industrial amplían la superficie de ataque. El antecedente nacional es el ransomware contra el grupo GTD, proveedor chileno de infraestructura como servicio: el CSIRT emitió una alerta y la investigación mostró cómo una vulnerabilidad en su plataforma de virtualización comprometió las máquinas de múltiples clientes a la vez. Cuando un proveedor cae, caen sus clientes.
Comercio, agroindustria y servicios. Compromiso del correo corporativo para fraudes a proveedores, tiendas en línea publicadas sin una prueba de seguridad previa y dependencias de terceros —software de gestión, proveedores de nube— que nadie audita. El contexto nacional no ayuda a la complacencia: Chile registró entre 1.706 y 1.846 ataques semanales por organización durante los primeros meses de 2026, y FortiGuard Labs contabilizó más de 15.000 millones de intentos de ciberataque en el país solo en el primer semestre, con lo que Chile se ubicó cuarto en América Latina por volumen.
Qué exige la regulación: Ley 21.663, Ley 21.719 y la antigua 19.628
Estas son las normas que debe tener en el radar:
- Ley N° 21.663 (Ley Marco de Ciberseguridad, 2024). Crea la Agencia Nacional de Ciberseguridad (ANCI) y el CSIRT Nacional, con régimen general vigente desde 2025 y la ANCI ya fiscalizando. La ley obliga a los prestadores de servicios esenciales y a los Operadores de Importancia Vital (OIV) a gestionar sus riesgos y a reportar incidentes con efectos significativos: alerta temprana dentro de 3 horas, reporte completo en 72 horas e informe final tras la contención. Las multas llegan hasta 20.000 UTM en el régimen general y 40.000 UTM para OIV en infracciones gravísimas. La ley no menciona la palabra «pentesting», pero exige gestión de riesgos, controles técnicos y capacidad demostrable de respuesta: un test de intrusión con explotación demostrada es la evidencia más directa de que esos deberes se cumplen de verdad.
- Ley N° 21.719 (protección de datos personales). Publicada el 13 de diciembre de 2024, moderniza la antigua Ley 19.628 y crea la Agencia de Protección de Datos Personales. Entra en plena vigencia el 1 de diciembre de 2026, con multas de hasta 20.000 UTM, y obliga a reportar las vulneraciones de seguridad «sin dilaciones indebidas» a la nueva agencia. Nota honesta: el Ejecutivo ha presentado un proyecto para postergar la entrada en vigencia a diciembre de 2027, pendiente de aprobación en el Congreso. Esperar a que se decida es un error: los hoteles y comercios serenenses que tratan datos de miles de turistas ya deberían estar ordenando su casa.
- Ley N° 19.628. Sigue vigente hasta diciembre de 2026 y ya exige implementar medidas de seguridad apropiadas para garantizar la seguridad de los datos personales. Un pentest periódico es una de las formas de acreditarlo.
Ninguna de estas leyes dice literalmente «contrate un pentest», pero todas exigen lo mismo: gestionar riesgos, verificar controles y reportar incidentes a tiempo.
Beneficios medibles de un pentesting en La Serena
Un pentest no es un gasto de «seguridad»: es una inversión con retorno contable:
- Evidencia para la ANCI y para la futura Agencia de Protección de Datos. Ante un incidente, mostrar pruebas de intrusión periódicas con hallazgos remediados es la demostración de diligencia que ambas agencias esperan ver. Descubrir una vulnerabilidad con un pentest en marzo es un informe; descubrirla porque le filtraron datos en enero es una notificación a la autoridad y una posible sanción.
- Coste evitado. En diciembre de 2025, el grupo Devman robó 250 GB de datos clínicos a la Clínica Dávila —historiales, exámenes de VIH, documentos de identidad— y meses después otro grupo publicó 180 GB en la dark web. El turismo serenense corre el mismo riesgo con los datos de sus huéspedes. Una prueba de penetración cuesta una fracción de un solo incidente de este tipo.
- Hallazgos priorizados por riesgo real, no por CVSS genérico. Recibe qué es explotable hoy en su infraestructura, con evidencia y pasos de reproducción, no una lista de cientos de alertas de escáner sin contexto.
- Re-test incluido. Verificamos que las correcciones funcionaron antes de cerrar el proyecto, no le dejamos un PDF y un «suerte».
- Ventaja contractual. Si provee servicios a empresas mineras o a grandes cadenas turísticas, cada vez más contratos exigen evidencias de seguridad a los proveedores. Un informe independiente le pone por delante de competidores que solo tienen buenas intenciones.
Preguntas frecuentes sobre el pentesting en La Serena
¿Cuánto cuesta un pentesting en La Serena?
Depende del número de activos, aplicaciones y del tipo de prueba. Una cotización seria se construye después de una llamada de descubrimiento donde se levanta ese inventario: si le dan precio sin preguntar nada, no están cotizando un pentest, están vendiendo un paquete.
¿La Ley 21.663 me obliga a hacer un pentest?
La ley no usa esa palabra, pero si su empresa es prestadora de servicios esenciales u Operador de Importancia Vital, le exige gestionar riesgos y reportar incidentes a la ANCI —alerta temprana en 3 horas, reporte completo en 72—. Y si es proveedor tecnológico de una de esas entidades, se lo pueden exigir por contrato. Un pentest periódico es la forma más directa de demostrar que los controles que declara funcionan de verdad.
Tengo huéspedes extranjeros y trato datos de turistas, ¿qué cambia con la Ley 21.719?
Desde el 1 de diciembre de 2026, la ley le exige medidas técnicas y organizativas apropiadas para proteger los datos personales —incluidos los de turistas extranjeros— y reportar las vulneraciones «sin dilaciones indebidas». Un motor de reservas con una inyección SQL no es un problema informático: es una brecha de datos personales con deber de notificación. Probar ese motor antes de la temporada alta es cumplir la ley por adelantado.
¿El re-test está incluido o se cobra aparte?
Incluido. Después de entregar el informe y que su equipo aplique las remediaciones, volvemos a probar cada hallazgo para confirmar que quedó corregido. Solo entonces se cierra el proyecto.
¿Qué recibo exactamente al final del pentesting?
Un informe ejecutivo para la dirección, con el riesgo en lenguaje de negocio; un informe técnico con evidencia de cada hallazgo y pasos de reproducción; un plan de remediación priorizado por riesgo real; una sesión de presentación de resultados; y la ronda de re-test. Todo en español.
¿Puedo hacer el pentest en plena temporada alta?
Sí, con las precauciones correctas. Las reglas de enfrentamiento definen ventanas de prueba fuera de los picos de reservas y check-in, sistemas excluidos y técnicas fuera de límites —una denegación de servicio nunca se prueba sin autorización explícita—. Y seamos honestos: si su plataforma de reservas se cae cuando la tocan en un entorno controlado, imagina lo que hace un atacante real en enero sin avisar.
Conclusión
La Serena vive de que la gente confíe: el turista que deja su pasaporte en la recepción, la minera que conecta su red con la de su proveedor, el cliente que paga en línea. Esa confianza tiene hoy un respaldo legal con nombre y apellido —la ANCI fiscalizando bajo la Ley 21.663, la agencia de datos de la Ley 21.719 entrando en vigencia— y un contexto de amenaza medible: miles de ataques semanales por organización en Chile. Un pentesting en La Serena bien contratado —alcance escrito, explotación manual, informe en español y re-test— convierte esa presión en un plan: saber por dónde es vulnerable, cerrarlo y poder demostrarlo.
Solicite su pentesting en La Serena con DragonJAR
Tres preguntas antes de decidir: ¿cuándo fue la última vez que alguien intentó entrar en sus sistemas con su permiso? ¿Qué pasaría si mañana se filtran los datos de sus huéspedes —podría demostrar ante la autoridad que había verificado sus controles? ¿Sabe qué tiene expuesto a internet ahora mismo, no lo que cree tener?
Si alguna respuesta le incomoda, complete el formulario y agende una llamada de descubrimiento sin costo. En esa llamada levantamos su inventario de activos y su sector —turismo y hotelería, minería y servicios mineros, comercio y agroindustria del Elqui— y le recomendamos un alcance concreto: qué probar, con qué profundidad y en qué orden.
Y una honestidad de practitioner: un pentest no siempre es lo adecuado. Si su aplicación aún está en desarrollo y cambia cada semana, si solo necesita una lista de comprobación para un trámite, o si quiere probar la plataforma de reservas el 2 de enero a mediodía, se lo diremos y le propondremos lo que sí encaja.