Descubra lo que un atacante vería en su empresa en León, antes de que lo explote.
Pentesting real para empresas de León: simulamos ataques con las mismas técnicas que usaría un adversario, con hallazgos priorizados por riesgo real y retest de las correcciones.
Cada marzo, el Poliforum León recibe SAPICA, la feria del calzado: más de 380 empresas expositoras, 2 mil marcas y compradores de 17 países, según el gobierno de Guanajuato (fuente oficial). Esa misma red que mueve millones de pares al año —catálogos digitales, tiendas en línea, distribuidores conectados al ERP, pagos a proveedores— es la superficie de ataque de la industria leonesa. Un Pentesting en León no es un lujo de corporativo: es comprobar, antes que un delincuente, si esa red aguanta un ataque real.
En resumen: DragonJAR SAS, empresa colombiana de seguridad informática ofensiva con sede en Manizales (comunidad desde 2001, empresa desde 2012), realiza pentesting real para empresas de León, con informes ejecutivo y técnico en español, priorizados por riesgo de negocio, y retest de las correcciones.
Tabla de Contenido
León: contexto económico y superficie de ataque
León, en el estado de Guanajuato, es reconocida como la capital del calzado y la marroquinería en México: el estado concentra el 74.3% del valor nacional de producción del subsector cuero-calzado y genera más de 108 mil empleos vinculados a esta industria (gobierno de Guanajuato). A eso se suma la manufactura del Bajío —con inversiones como el centro de distribución de 183 millones de dólares que una empresa de refacciones automotrices construye en el parque PILBA de León, con 600 nuevos empleos (fuente)— y un comercio que cada enero y febrero recibe la Feria de León, una de las más grandes del país. Las empresas leonesas —fabricantes y comercializadores de calzado con venta en línea y por mayoreo, proveedores de la industria automotriz, distribuidores y pymes de servicios— operan sobre tiendas virtuales, ERPs, sistemas de inventarios, redes de distribución y plataformas de pago conectadas con clientes y proveedores, una superficie que crece con cada canal digital nuevo y que debe evaluarse con pentesting adaptado a la operación real.
Riesgos de ciberseguridad para las empresas en León
Las organizaciones de la región comparten riesgos propios de la industria y el comercio conectados: tiendas en línea y catálogos digitales sin pruebas de seguridad, suplantación de marcas y de directivos para fraudes a clientes y proveedores, accesos de distribuidores y maquiladores a sistemas internos sin controles adecuados, y redes wifi de planta y oficinas sin segmentación. Un pentesting en León comprueba de manera controlada si un atacante podría alterar pedidos, acceder a datos comerciales sensibles o interrumpir la operación productiva y logística.
Por qué las empresas de León son objetivo
El cibercrimen no ataca ciudades, ataca patrones. Y León concentra varios de los patrones más rentables:
- Dinero en movimiento constante. Fabricantes y comercializadores mueven pagos a proveedores, anticipos a maquiladores y cobranza a distribuidores. El fraude por suplantación de cuentas bancarias (el clásico «cambiamos de cuenta, deposita aquí») es el ataque más común que vemos en pymes del Bajío, y el más caro por incidente.
- Cadenas de suministro digitales. Su ERP conectado con distribuidores y su catálogo en línea son puertas de entrada no solo a su empresa, sino a sus clientes. Atacar al proveedor más débil para llegar al más grande es una táctica documentada y recurrente.
- Marcas que valen suplantar. Las marcas de calzado leonesas con presencia nacional son material ideal para tiendas falsas, perfiles apócrifos y fraudes a consumidores, que terminan costándole reputación y demandas.
- Industria conectada. Plantas con redes de oficina y de producción sin segmentar, proveedores con acceso VPN permanente y sistemas de control industrial accesibles desde la red corporativa.
Como referencia de escala: en México el ataque al SPEI de 2018 comprometió los aplicativos de conexión de cinco participantes del sistema financiero, con pérdidas estimadas entre 300 y 400 millones de pesos (ESET WeLiveSecurity). Si el sistema de pagos del país pudo ser vulnerado por sus eslabones más débiles, una pyme sin pruebas de seguridad no debería asumir que está fuera del radar. Y en costos: el informe Cost of a Data Breach 2025 de IBM calculó en 3,81 millones de dólares el costo promedio de una filtración en Latinoamérica (fuente: IBM).
Errores típicos que vemos en empresas de la región
Después de años auditando empresas manufactureras y comerciales en México, estos son los fallos que se repiten en el Bajío:
- La tienda en línea que administra un externo sin supervisión. El desarrollo lo hizo un freelance o una agencia hace años, nadie sabe qué versión corre ni quién tiene acceso al panel. Es el hallazgo número uno en comercio leonés.
- Vendedores y distribuidores con acceso directo al ERP. Credenciales compartidas, sin doble factor, accesibles desde cualquier conexión. Cuando un distribuidor es comprometido, el atacante entra con llave propia.
- Red de planta plana. La misma red para oficinas, cámaras, invitados y equipos de producción. Un ransomware que entra por el correo de contabilidad puede llegar a los sistemas de la planta.
- Respaldos que nadie ha probado. «Sí tenemos respaldo» hasta que hay que restaurar y el respaldo tiene seis meses o está cifrado junto con todo lo demás.
- El portal del SAT y la banca en el mismo equipo sin controles. El equipo de facturación y pagos concentrado en una sola máquina, sin segmentación ni monitoreo, es un blanco clásico.
Tipos de prueba recomendados para una empresa leonesa
No todas las empresas necesitan lo mismo. Según su operación, el alcance debería incluir:
- Pentesting a aplicaciones web y comercio electrónico: su tienda en línea, catálogo digital, portal de distribuidores y áreas administrativas. Se prueban inyección, control de acceso entre clientes, sesiones y exposición de datos comerciales.
- Pentesting de red interna y externa: segmentación entre oficinas y planta, wifi corporativo y de invitados, VPN y accesos remotos de proveedores.
- Ingeniería social y phishing simulado: el ataque más probable contra su empresa empieza en el correo de su personal. Se simula con autorización, se mide y se usa para capacitar, no para señalar culpables.
- Revisión de exposición de marca: dominios similares al suyo, tiendas falsas y perfiles apócrifos que usan su marca para defraudar a sus clientes.
- Para manufactura con operación conectada: evaluación de la segmentación entre red corporativa y red de producción, sin tocar procesos en vivo.
Cómo trabaja DragonJAR en un pentesting
Una prueba seria se acuerda por escrito antes de empezar: alcance exacto (qué sistemas, URLs, IPs y usuarios entran), horarios, qué está prohibido tocar y un canal directo con su equipo técnico durante la prueba. El equipo hace reconocimiento, intenta explotar vulnerabilidades de forma controlada y documenta cada hallazgo con evidencia, impacto real en su operación y pasos de remediación. Recibe el informe en español, priorizado por riesgo de negocio, y un re-test posterior para confirmar que lo corregido quedó corregido.
DragonJAR es una firma de seguridad ofensiva con comunidad activa desde 2001 y operación como empresa desde 2012, que ejecuta pruebas de penetración para empresas en toda América Latina, con atención remota para México. Y una honestidad de practitioner: si su empresa nunca ha hecho un inventario de activos ni aplica parches regularmente, un pentesting completo puede ser prematuro y le diremos en la llamada de descubrimiento si le conviene empezar por una revisión de configuración y un plan de remediación. Venderle la prueba más cara cuando necesita la más básica sería mala seguridad y mal negocio.
La normativa que sí le aplica en México
Una corrección importante: en México no aplica la HIPAA (es una ley estadounidense). Lo que sí le obliga es esto:
- Nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares (vigente desde el 21 de marzo de 2025, publicada en el DOF el 20 de marzo de 2025): regula el tratamiento de datos personales por empresas privadas, exige medidas de seguridad y avisos de privacidad, y prevé sanciones. La autoridad ahora es la Secretaría de Anticorrupción y Buen Gobierno (texto vigente). Si su tienda en línea o su ERP manejan datos de clientes, esta ley es su marco.
- PCI DSS: si procesa, almacena o transmites datos de tarjetas, el estándar de la industria de pagos exige pruebas de penetración periódicas. No es una ley mexicana, pero sus adquirentes y pasarelas sí se lo pueden exigir contractualmente.
Ninguna de estas normas dice literalmente «contrate un pentesting», pero todas exigen medidas de seguridad efectivas: el informe de una prueba es su evidencia de que existen y funcionan.
Preguntas frecuentes sobre el pentesting en León
¿La prueba va a tumbar mi tienda en línea o detener la planta?
No. Los ataques de denegación de servicio contra producción se excluyen del alcance salvo que los pida explícitamente en un ambiente de pruebas. Las pruebas a red interna se programan en horarios acordados y con su equipo técnico en línea. Si un proveedor le dice que «algo se puede caer», no tiene el control que debería.
¿Cuánto dura y qué recibo al final?
Depende del alcance: una tienda en línea más red externa típica toma de una a tres semanas. Recibe un informe en español con cada vulnerabilidad evidenciada, su impacto en su operación, cómo corregirla priorizada por riesgo, y el re-test posterior para verificar las correcciones.
¿Necesitan venir físicamente a León?
Las pruebas de aplicaciones web, red externa y phishing simulado se hacen remoto con total eficacia. Para red interna o ingeniería social presencial coordinamos visitas. Trabajamos con empresas en todo México de forma remota.
Mi sistema lo administra un proveedor externo, ¿igual se puede probar?
Sí, y debería: gran parte de los incidentes ocurren por credenciales o accesos del proveedor que nunca se revisaron. Se incluye en el alcance con autorización de ambas partes.
¿Cada cuánto hay que repetirlo?
Mínimo una vez al año y después de cada cambio relevante: tienda nueva, migración, integración con un marketplace o un incidente. En comercio, cada temporada alta (como la previa a la Feria de León) es un buen momento para tener la casa en orden.
¿Qué pasa si encuentran algo crítico en el sistema de un proveedor?
Se le reporta de inmediato por el canal acordado —no esperamos al informe final para un hallazgo crítico— y le ayudamos a coordinar la remediación con su proveedor. El re-test confirma que quedó resuelto.
¿Un escáner de vulnerabilidades no es suficiente?
El escáner lista fallos conocidos; el pentesting demuestra cuáles son explotables y qué podría hacer un atacante con ellos: leer su base de clientes, modificar pedidos, acceder a su banca. Para decidir dónde invertir en seguridad necesita esa diferencia.
¿Cuánto cuesta y cuánto tarda un pentesting en León?
Depende del alcance: cuántas aplicaciones, APIs, direcciones IP o sedes entran, la profundidad de la prueba y las ventanas disponibles. El costo y el plazo se confirman en la propuesta que recibe tras solicitarla. Solicitar cotización.
Solicite su pentesting en León con DragonJAR
Si su empresa opera en León o en el Bajío —calzado, manufactura, automotriz, comercio o servicios—, un pentesting adaptado a su operación revela con precisión dónde está expuesto: aplicaciones web, redes, sistemas de gestión y el factor humano. El servicio incluye informe en español con hallazgos priorizados por riesgo, recomendaciones prácticas de remediación y re-test para confirmar que las vulnerabilidades fueron corregidas.
DragonJAR ejecuta pruebas de penetración para empresas en toda América Latina, con atención remota para México y la región. Llene el formulario y reciba una llamada de descubrimiento sin costo: revisamos su caso, le decimos con honestidad si un pentesting es lo que necesita (o si le conviene empezar por algo más básico) y le enviamos una propuesta con alcance y precio cerrados. Sin compromiso.