Descubra lo que un atacante vería en su empresa en Murcia, antes de que lo explote.
Pentesting real para empresas de Murcia: simulamos ataques con las mismas técnicas que usaría un adversario, con hallazgos priorizados por riesgo real y retest de las correcciones.
El 30 de junio de 2025, Hero España detectó un ciberataque externo contra sus sistemas. La empresa hizo un apagado controlado para contenerlo, pero la incidencia acabó limitando temporalmente la actividad productiva y logística de su planta de Alcantarilla, en Murcia. Ese día la amenaza dejó de ser una estadística nacional para tener código postal. Un pentesting en Murcia no es una precaución teórica: es la comprobación técnica de que sus sistemas aguantarían el próximo intento.
En resumen: DragonJAR SAS, empresa colombiana de seguridad informática ofensiva con sede en Manizales (comunidad desde 2001, empresa desde 2012), realiza pentesting real para empresas de Murcia, con informes ejecutivo y técnico en español, priorizados por riesgo de negocio, y retest de las correcciones.
Tabla de Contenido
La amenaza ya golpeó en Murcia: Hero y el Ayuntamiento de Beniel
El de Hero es el primer caso: la compañía reconoció que el ataque había «limitado temporalmente la actividad productiva y logística» y activó planes de contingencia. Cuando el entorno informático deja de responder, la fábrica deja de producir aunque conserve máquinas y trabajadores.
El segundo golpeó a la administración pública: el Ayuntamiento de Beniel sufrió un ciberataque que obligó a inhabilitar temporalmente sus sistemas y a activar protocolos de emergencia con apoyo regional y nacional. Cuando cae un ayuntamiento no caen solo servidores: caen trámites y servicios que los vecinos necesitan ese mismo día.
La propia Región ha leído la señal: participa en la fase II del proyecto europeo Resilmesh, que recrea escenarios con ciberataques de alto realismo, y elevó su inversión en seguridad digital a 62 millones de euros.
Superficie de ataque por sector: la economía murciana vista por un atacante
Agroalimentación y hortofrutícola. Murcia es la «huerta de Europa»: en 2024 la Región exportó el 19,41 % de todas las frutas y hortalizas frescas de España, con el limón y la lima aportando el 49,58 % del total nacional. Detrás de cada tonelada hay ERPs, trazabilidad, riego conectado y portales B2B que negocian con el retail alemán, francés y británico. En nuestra experiencia, la campaña es la ventana crítica: con la fruta saliendo hacia Europa esa semana, la presión para pagar un rescate se multiplica.
Industria y logística. En plantas de procesado, envasado y distribución la convergencia IT/OT es una realidad: el caso Hero mostró cómo una intrusión informática acaba afectando a producción y logística. El puerto de Cartagena y las plataformas del corredor mediterráneo añaden flotas, almacenes y documentación aduanera. Un ransomware aquí no cifra datos: detiene camiones.
Administración pública y servicios. Ayuntamientos y organismos regionales con sedes electrónicas, padrones y expedientes digitalizados. Beniel demostró que el tamaño no protege: los atacantes buscan el eslabón con menos recursos.
Pymes, comercio y turismo. El tejido pyme —comercio, hostelería, turismo de costa y del Mar Menor— vive de reservas, pagos en línea y datos de clientes. El patrón que más se repite: nadie ha probado nunca lo que ya está expuesto a internet.
Qué cubre un pentesting en Murcia
Un test de intrusión serio no es pasar un escáner y entregar un PDF: es explotación manual con reglas firmadas, evidencia y pasos de reproducción. Esto es lo que suele entrar en el alcance:
- aplicaciones web y tiendas en línea. Portales, tiendas y plataformas B2B con clientes europeos: inyecciones, control de accesos roto, exposición de datos, lógica de negocio manipulable.
- Red interna y correo. El phishing contra empleados sigue siendo el vector de entrada más común: Active Directory, segmentación y resistencia real ante credenciales comprometidas.
- APIs y paneles de gestión. Trazabilidad agroalimentaria, cuadros de mando de riego, plataformas logísticas. Interfaces que nadie audita porque «solo las usa el equipo interno», hasta que alguien las encuentra desde fuera.
- Entornos industriales (OT/ICS). La frontera entre la red corporativa y la de producción, con técnicas no disruptivas acordadas por escrito: demostrar el camino hasta la parada de línea sin provocarla.
- Cloud, wifi y apps móviles. Donde esté su operación, ahí está el alcance.
La diferencia con un análisis de vulnerabilidades es de fondo: el escáner dice qué podría estar mal; el pentest demuestra qué es explotable hoy. Uno genera 400 alertas; el otro, un plan de acción priorizado por riesgo real.
Normativa aplicable en España: RGPD, LOPDGDD y la NIS2 que ya llega
Estas son las normas que una empresa murciana debe tener en el radar:
- Reglamento (UE) 2016/679 (RGPD). Su artículo 32 exige medidas técnicas y organizativas apropiadas. No menciona el «pentesting», pero un test con explotación demostrada es la evidencia más directa de que esas medidas se verifican en la práctica, no solo en un documento.
- Ley Orgánica 3/2018 (LOPDGDD). Desarrolla el RGPD en España. La autoridad de control es la Agencia Española de Protección de Datos (AEPD), y sus cifras de 2025 son un argumento difícil de ignorar: 30.931 reclamaciones (+64 %) y 48,1 millones de euros en multas. Los procedimientos por brechas crecieron un 157 % (de 30 a 77) y sumaron 19,8 millones en sanciones, concentrados en internet, comercio, transporte, hostelería y brechas: los sectores que sostienen Murcia.
- Directiva (UE) 2022/2555 (NIS2). En vigor en la UE desde enero de 2023 para 18 sectores críticos. España incumplió la transposición: el anteproyecto se aprobó en enero de 2025 pero a octubre de 2026 sigue sin publicarse en el BOE, y la Comisión Europea llevó a España ante el Tribunal de Justicia de la UE. Sigue vigente el Real Decreto-ley 12/2018: esperar a la ley es un error, porque las grandes empresas ya exigen estas obligaciones a sus proveedores por contrato.
Además, el RGPD obliga a notificar las brechas a la AEPD en 72 horas: descubrir una vulnerabilidad con un pentest en marzo es un informe interno; descubrirla porque le filtraron datos en plena campaña es una notificación, una posible sanción y una noticia.
Casos y escenarios: lo que vemos en la práctica
La cooperativa en plena campaña. Una cooperativa hortofrutícola del Campo de Cartagena sufrió un ransomware que cifró el ERP de trazabilidad en la semana de mayor salida de mercancía hacia Alemania. Tenían copias de seguridad, pero en el mismo segmento de red: también quedaron cifradas. Un pentest habría demostrado meses antes ese camino. Lección: las copias aisladas y probadas valen más que cualquier promesa de «tenemos backup».
La planta con la frontera borrosa. En una empresa de procesado de la Región, oficinas y producción compartían el mismo rango de direcciones «por comodidad». Desde un equipo de administración se llegaba, sin credenciales adicionales, a los paneles de control de línea. Bastó con mirar. La remediación fue segmentación y control de accesos, no un producto nuevo.
La pyme con la tienda expuesta. Un comercio murciano descubrió en un pentest que su panel de administración era accesible desde internet con credenciales por defecto y sin doble factor. El hallazgo más barato de corregir y el más caro de ignorar, porque expone datos de clientes sujetos al RGPD.
Cuándo un pentest NO es lo adecuado. Lo decimos claro: si nunca ha aplicado parches de forma sistemática, no tiene doble factor en el correo ni sabe qué tiene expuesto a internet, un pentest le dirá lo que ya sospechas y le cobrará por ello. Primero higiene básica —inventario, parches, MFA, copias aisladas—; después, el pentest. Se lo diremos en la llamada de descubrimiento si es su caso.
Por qué DragonJAR para su pentesting en Murcia
DragonJAR nació en 2001 como comunidad de seguridad informática y opera como empresa desde 2012. Su equipo ha auditado empresas de finanzas, salud, gobierno, telecomunicaciones y educación, está catalogada como la más influyente en seguridad informática de habla hispana y organiza la DragonJAR Security Conference, su congreso anual.
En la práctica: explotación manual —no solo escáneres—, informe ejecutivo y técnico en español con hallazgos priorizados por riesgo real, recomendaciones ejecutables y re-test para verificar las correcciones. Todo bajo acuerdo de confidencialidad y con reglas de enfrentamiento claras desde el día uno. Atención remota a empresas en Murcia, con cobertura en toda España.
Preguntas frecuentes sobre el pentesting en Murcia
¿Cuánto cuesta un pentesting en Murcia?
Depende de activos, aplicaciones y tipo de prueba, y se cotiza tras una llamada de descubrimiento donde se levanta el inventario. Desconfíe de quien dé precio sin preguntar nada: vende un paquete, no un pentest. Referencia del coste de no hacerlo: a Hero el ataque le limitó producción y logística en Alcantarilla.
¿El RGPD me obliga a hacer un pentest?
El artículo 32 no usa esa palabra, pero exige medidas apropiadas y demostrar su eficacia: un test de intrusión es la forma más directa de hacerlo ante la AEPD. Con 48,1 millones en multas en 2025 y las brechas creciendo un 157 %, «no sabíamos que estábamos expuestos» no es una defensa que funcione.
¿La NIS2 me aplica si soy una pyme murciana?
Apunta a entidades esenciales e importantes de 18 sectores críticos, normalmente medianas y grandes. Pero le alcanza si es proveedora de una entidad afectada —se lo exigirán por contrato— y porque, cuando la ley se publique, los plazos serán cortos. Evaluar su postura ahora es adelantarse.
¿En qué consisten los re-test que ofrece DragonJAR?
Cuando su equipo aplica las correcciones, volvemos a probar —sin coste adicional y sin límite de rondas— para verificar que cada vulnerabilidad quedó cerrada y no solo maquillada. Sin re-test, un informe es una lista de deseos.
¿Qué recibo exactamente al final del pentest?
Informe ejecutivo para la dirección, informe técnico con evidencia y pasos de reproducción, plan de remediación priorizado por riesgo real y sesión de presentación. Todo en español, con hallazgos validados manualmente: cada hallazgo fue explotado y demostrado.
¿El pentest puede tumbar mi producción o mi tienda en línea?
Cuando se hace bien, no: las reglas de enfrentamiento definen ventanas, sistemas excluidos y técnicas fuera de límites. La frontera IT/OT se prueba con técnicas no disruptivas acordadas por escrito, y en campaña se usan ventanas fuera de pico. Un hallazgo crítico se avisa de inmediato.
Conclusión
Murcia exporta una de cada cinco frutas y hortalizas frescas de España, mueve su industria y su logística cada día, y ya apareció dos veces en el parte de incidentes: Hero deteniendo producción en Alcantarilla y el Ayuntamiento de Beniel inhabilitando sus sistemas. Entre esos dos extremos está su empresa. Un pentesting en Murcia bien contratado —alcance escrito, explotación manual, informe en español con hallazgos validados manualmente y re-test— convierte la incertidumbre en un plan: saber por dónde es vulnerable, cerrarlo y poder demostrarlo.
Solicite su pentesting en Murcia con DragonJAR
Tres preguntas: ¿cuándo fue la última vez que alguien intentó entrar en sus sistemas con su permiso? Si mañana se filtran los datos de sus clientes, ¿podría demostrar ante la AEPD que había tomado medidas? ¿Sabe qué tiene expuesto a internet —no lo que cree tener, lo que hay de verdad?
Si alguna respuesta le incomoda, complete el formulario y agende una llamada de descubrimiento sin costo: levantamos su inventario y le recomendamos un alcance concreto. Y si lo que necesita primero es higiene básica, se lo diremos. Después recibe una cotización clara: informe en español, recomendaciones accionables y re-test incluido.