Descubra lo que un atacante vería en su empresa en San Gil, antes de que lo explote.
Pentesting real para empresas de San Gil: simulamos ataques con las mismas técnicas que usaría un adversario, con hallazgos priorizados por riesgo real y retest de las correcciones.
San Gil fue designada oficialmente como la Capital Turística de Santander en 2004, por ordenanza de la Asamblea Departamental, en reconocimiento al auge de los deportes de aventura y a la cantidad de visitantes que recibe cada año. Canotaje en el río Fonce, parapente, rappel, espeleología: la ciudad vive del turismo, y el turismo vive hoy de internet. Cada reserva que entra por la web, cada pago con tarjeta, cada documento de identidad que un huésped envía por WhatsApp es un dato que alguien tiene que proteger. El pentesting en San Gil existe para comprobar, antes que un atacante, si esos datos están realmente protegidos.
No hace falta ser un banco para ser un buen objetivo. Hace falta tener datos de clientes, cobrar en línea y operar con sistemas que nadie ha probado nunca. Eso describe a la mayoría de los negocios turísticos de la región.
En resumen: DragonJAR SAS, empresa colombiana de seguridad informática ofensiva con sede en Manizales (comunidad desde 2001, empresa desde 2012), realiza pentesting real para empresas de San Gil, con informes ejecutivo y técnico en español, priorizados por riesgo de negocio, y retest de las correcciones.
Tabla de Contenido
Por qué los negocios de San Gil son un objetivo atractivo
Los atacantes no eligen víctimas por tamaño, sino por facilidad y por valor de los datos. Una agencia de aventura o un hotel en San Gil reúne las tres cosas que buscan:
- Datos personales y financieros de terceros: nombres, documentos de identidad, teléfonos, correos y datos de tarjetas de cientos de turistas por temporada. Bajo la Ley 1581 de 2012, esos datos son su responsabilidad legal.
- Operación digital sin área de TI: la mayoría de las pymes turísticas no tiene personal de sistemas; la web la maneja un proveedor externo, las reservas llegan por WhatsApp y el wifi lo instaló «el muchacho de los computadores». Nadie ha revisado nunca si eso está bien configurado.
- Picos de temporada: en puentes y vacaciones el volumen de reservas y pagos se multiplica, y con él la superficie expuesta: más transacciones, más prisa, menos verificación.
Y hay un dato que conviene tener presente: Colombia ya vivió ataques que paralizaron operaciones completas. Keralty (Sanitas/Colsanitas) sufrió en 2022 un ransomware del grupo RansomHouse que tumbó sus plataformas digitales de atención (Colnodo); en septiembre de 2023 el ataque a IFX Networks afectó a más de 50 entidades estatales, incluyendo el Ministerio de Salud (Universidad Javeriana). Si eso le pasa a organizaciones con presupuestos grandes de TI, imagina el margen de maniobra de un negocio que nunca ha probado sus sistemas.
San Gil: contexto económico y superficie de ataque
San Gil, en Santander, es la capital colombiana del turismo de aventura y un polo ecoturístico de peso nacional: agencias de aventura, hoteles, restaurantes, operadores de transporte y un comercio local activo sostienen su economía. La ciudad es además la capital de la provincia de Guanentá y el principal centro urbano del sur del departamento, sobre el eje vial que conecta Bucaramanga con Bogotá (a 96 km de Bucaramanga). Su economía se fundamenta en el sector servicios y el turismo, complementada por el agro: café, caña panelera, tabaco y cítricos, según la memoria técnica del IGAC. Los negocios sangileños dependen de plataformas de reservas en línea, pasarelas de pago, redes sociales y sistemas de gestión conectados: plataformas web de reservas, redes corporativas y los sistemas que gestionan la operación turística diaria forman la superficie que debe cubrir un ejercicio de pentesting.
Riesgos de ciberseguridad para las empresas en San Gil
Las organizaciones de la región comparten riesgos típicos del sector turístico y comercial: plataformas de reservas y pagos en línea expuestas sin pruebas de seguridad, redes wifi compartidas con huéspedes y visitantes, fraudes por suplantación en comunicaciones con clientes y agencias, y accesos remotos configurados sin controles adecuados. Un riesgo adicional es la dependencia de terceros: el proveedor que le hizo la web, el que le instaló el sistema de reservas o el que maneja sus redes sociales tiene acceso a sus sistemas, y su seguridad es su seguridad. Un ejercicio de pentesting en San Gil permite comprobar de forma controlada si esas debilidades son explotables y qué impacto real tendría un atacante sobre la operación y la reputación del negocio.
Errores que vemos una y otra vez en la región
En nuestra experiencia con pymes turísticas y comerciales, hay patrones que se repiten:
- Reservas por WhatsApp sin ningún control: documentos de identidad, datos de tarjetas y datos de menores circulando en chats personales de empleados, sin política de retención ni borrado. Si ese teléfono se pierde o se compromete, los datos se van con él.
- El POS en la misma red que todo lo demás: el datáfono o el computador de facturación compartiendo red con el wifi de los huéspedes, la impresora y el televisor del lobby. Basta un huésped curioso —o malicioso— en la red para estar a un salto de los sistemas de pago.
- Wifi de hotel compartido con la administración: una sola red para huéspedes y para la oficina donde se hacen las reservas y la contabilidad. La segmentación de redes no es un lujo: es lo que separa una molestia de un incidente.
- La web que «alguien hizo hace años»: sitios de reservas con software desactualizado, formularios sin protección y paneles de administración con contraseñas que nunca se cambiaron.
- Suplantación en temporada alta: páginas falsas y perfiles que imitan al hotel o la agencia para captar pagos de turistas. Sin monitoreo, le enteras cuando el cliente estafado llega a su recepción.
Ninguno de estos errores requiere un atacante sofisticado. Todos se detectan con una prueba bien hecha.
Qué tipo de prueba necesita cada negocio
- Hotel, hostal o agencia con reservas en línea: pentesting a la aplicación web (sitio + motor de reservas + pasarela de pago) y revisión de cómo se almacenan los datos de los huéspedes.
- Negocio con punto de venta y wifi para clientes: prueba de red interna: verificar que la red de invitados esté realmente separada de la red administrativa y de los sistemas de pago.
- Comercio con varias sedes o sucursales: prueba de infraestructura: accesos remotos, cámaras, sistemas de facturación y los equipos que conectan las sedes.
- Empresa que depende de un proveedor tecnológico: incluir en el alcance los accesos de ese proveedor. La cadena es tan fuerte como su eslabón más débil.
Y la honestidad de siempre: si su negocio todavía no tiene claro qué sistemas tiene expuestos a internet, empezar por un análisis de superficie es más sensato —y más barato— que un pentesting completo. Un buen proveedor se lo dice antes de cotizarle.
Cómo trabaja DragonJAR
DragonJAR nació como comunidad de seguridad informática en 2001 y opera como empresa desde 2012; su equipo está en el top 100 mundial de hackers éticos en plataformas especializadas y es reconocido como el más influyente en seguridad informática de habla hispana. Hemos auditado empresas de los sectores financiero, salud, educación, hidrocarburos, gobierno y telecomunicaciones, entre otros.
Nuestro proceso es directo: definimos el alcance con usted por escrito, ejecutamos las pruebas personas expertas (no solo herramientas automáticas), y le entregamos un informe en español con cada hallazgo priorizado por riesgo y con pasos concretos para corregirlo. Los reportes no tienen falsos positivos: todo lo reportado fue verificado a mano. Cuando su equipo —o su proveedor— aplica las correcciones, hacemos el re-test para confirmar que quedaron cerradas, incluido en el servicio. Todo bajo acuerdo de confidencialidad firmado antes de empezar.
Preguntas que nos hacen antes de contratar
Somos un negocio pequeño, ¿un pentesting no es solo para empresas grandes?
No. El alcance se ajusta al tamaño del negocio: para un hotel o agencia pequeña, una prueba enfocada a su web de reservas y su red interna suele bastar, y cuesta mucho menos que un incidente con datos de clientes comprometidos. Los atacantes automatizados no distinguen tamaños.
¿Qué debo pedir que incluya el alcance?
Lista de objetivos (dominios, IPs, aplicaciones), tipo de pruebas, reglas de juego por escrito, formato del informe y si incluye re-test. Si la propuesta no lo detalla, pida que lo detalle antes de firmar.
¿Cuánto tiempo toma?
Para una pyme turística típica —sitio web con reservas y red de oficinas—, entre 1 y 2 semanas de pruebas más la entrega del informe. Operaciones más grandes o con varias sedes pueden tomar más; eso se define en la llamada de descubrimiento.
¿Qué pasa si encuentran algo grave?
Le avisamos de inmediato, sin esperar al informe final. Cada hallazgo crítico llega con la evidencia, el nivel de riesgo y cómo corregirlo. Después de aplicadas las correcciones, el re-test confirma que el problema quedó cerrado.
¿Cuánto cuesta comparado con un ataque real?
Una fracción. Un ataque que expone datos de huéspedes puede significar sanciones de la Superintendencia de Industria y Comercio por la Ley 1581 de 2012, devoluciones, demandas y una reputación dañada en un sector donde las reseñas lo son todo. La prueba convierte ese riesgo en un hallazgo corregible.
¿Nuestros datos y los de nuestros clientes están protegidos durante la prueba?
Sí. Trabajamos bajo acuerdo de confidencialidad, con reglas documentadas y manejo controlado de la evidencia. Además, el marco de la Ley 1273 de 2009 exige que toda prueba se haga con su autorización formal: sin ella, ni siquiera empezamos.
¿Otra duda sobre su caso? Escríbala en el formulario y la resolvemos en la llamada.
Solicite su pentesting en San Gil con DragonJAR
Si su empresa opera en San Gil o en Santander —turismo, hotelería, comercio o servicios—, un ejercicio de pentesting adaptado a su operación le muestra exactamente dónde está expuesto. Al llenar el formulario recibe una llamada de descubrimiento sin costo: nos cuentas cómo opera su negocio, le decimos qué tipo de prueba tiene sentido para su caso y le enviamos una propuesta clara con tiempos y precio. Sin compromiso.