Descubra lo que un atacante vería en su empresa en Colombia, antes de que lo explote.
Hacking ético real para empresas de Colombia: simulamos ataques con las mismas técnicas que usaría un adversario, con hallazgos priorizados por riesgo real y retest de las correcciones.
El 12 y 13 de septiembre de 2023, el proveedor IFX Networks sufrió un ataque de ransomware del grupo RansomHouse que afectó a cerca de 760 entidades en América Latina. En Colombia, el golpe alcanzó al Ministerio de Salud —más de 55 millones de datos afectados—, a la Superintendencia de Industria y Comercio, a la Supersalud y al Consejo Superior de la Judicatura (Asobancaria). El incidente dejó una lección que las áreas de tecnología del país ya sospechaban: la exposición es sistémica, no individual. En este artículo explicamos cómo el hacking ético en Colombia ayuda a las organizaciones a encontrar sus vulnerabilidades reales antes de que el crimen las convierta en titulares.
En resumen: DragonJAR SAS, empresa colombiana de seguridad informática ofensiva con sede en Manizales (comunidad desde 2001, empresa desde 2012), realiza hacking ético real para empresas de Colombia, con informes ejecutivo y técnico en español, priorizados por riesgo de negocio, y retest de las correcciones.
Tabla de Contenido
Colombia: economía digital y superficie de ataque
Colombia concentra en pocas ciudades el grueso de su valor digital. Bogotá reúne la mayor demanda corporativa de servicios de seguridad, pero Medellín, Cali, Barranquilla y Bucaramanga sostienen un tejido empresarial e industrial que también opera expuesto: banca y finanzas con millones de usuarios digitales, telecomunicaciones que sostienen la conectividad del país, empresas de salud con datos clínicos sensibles, manufactura, logística y agroindustria con sistemas OT y redes corporativas conectadas, más las entidades del Estado que prestan trámites en línea a toda la población. Cada aplicación transaccional, cada portal de citas o pagos y cada red industrial es un objetivo potencial, y el caso IFX demostró que un solo proveedor comprometido arrastra consigo a decenas de organizaciones a la vez.
Diferencia entre análisis de vulnerabilidades y un Ethical Hacking o Pentesting
El análisis de vulnerabilidades y el Pentesting son dos enfoques complementarios. El análisis de vulnerabilidades identifica posibles debilidades en infraestructura, software o configuraciones —es un inventario—, mientras que el Pentesting o hacking ético simula un ataque real: un hacker ético intenta explotar esas debilidades con la autorización de la empresa para demostrar qué podría lograr un atacante de verdad y cómo impedirlo. El primero dice dónde podría haber un problema; el segundo demuestra qué tan grave es y cómo se cierra.
Riesgos por sector: lo que vemos en Colombia
Los riesgos siguen el dinero y los datos. Estos son los patrones que más se repiten en el país:
- Salud: el ataque a Keralty —la red detrás de EPS Sanitas y Colsanitas— paralizó portales y el sistema de citas entre noviembre y diciembre de 2022. El propio CEO, Sergio Martínez, confirmó que los atacantes del grupo RansomHouse tenían 0,7 teras de información, y datos de pacientes terminaron filtrados (Itech). Cuando el sistema de una EPS cae, el impacto no es solo económico: hay vidas en espera de atención.
- Sector público: además del caso IFX y el Ministerio de Salud, los portales de trámites son objetivo constante porque concentran datos de identidad de millones de colombianos en un solo punto.
- Banca y finanzas: fraude electrónico contra banca en línea, ataques a APIs de pagos con controles de acceso débiles y phishing dirigido a clientes para robar credenciales. La Superintendencia Financiera ya exige mínimos de ciberseguridad a sus vigiladas, lo que eleva la presión regulatoria sobre todo el sector.
- Industria y logística: ransomware contra líneas de producción y sistemas de gestión de almacenes, donde cada hora de planta detenida cuesta dinero real. En nuestra experiencia, muchas plantas industriales colombianas operan equipos con software sin actualizar porque «funciona», y eso es exactamente lo que el atacante automatizado busca.
Lo que exige la regulación en Colombia
El hacking ético en Colombia no opera en un vacío legal; hay un marco nacional concreto que convierte la evaluación periódica de seguridad en una medida de diligencia esperable:
- Ley 1273 de 2009: tipifica los delitos informáticos —acceso abusivo a sistemas, interceptación de datos, daño informático, entre otros— y establece sus sanciones (texto completo en la SIC).
- Ley 1581 de 2012: regula la protección de datos personales y asigna la vigilancia a la Superintendencia de Industria y Comercio. Toda empresa que trate datos de colombianos debe adoptar medidas de seguridad; una prueba de penetración es evidencia directa de que lo hizo.
- CONPES 3995 de 2020: la Política Nacional de Confianza y Seguridad Digital del país, que fija la hoja de ruta del Estado en ciberseguridad (Colombia Aprende).
- Circular Externa 007 de 2018 de la Superintendencia Financiera: impone requerimientos mínimos de ciberseguridad a las entidades vigiladas —gobernanza, gestión de incidentes, pruebas de seguridad— (Normograma). Si su empresa es vigilada, un pentesting documentado es parte de la evidencia que el supervisor espera ver.
Beneficios medibles del hacking ético para su empresa
Más allá del cumplimiento, una prueba bien ejecutada deja resultados concretos: un inventario real de vulnerabilidades priorizado por riesgo de negocio —no una lista de alarmas genéricas—; la verificación de que sus controles funcionan contra un atacante real y no solo en el papel; un plan de remediación con responsables y tiempos; y una línea base para medir si su postura de seguridad mejora año tras año. El costo de no hacerlo también es medible: IBM calculó en su informe Cost of a Data Breach 2025 un costo promedio global de 4,44 millones de dólares por brecha, frente a 4,88 millones en 2024 (IBM). En nuestra experiencia, la mayoría de las organizaciones descubre en su primera prueba entre dos y cinco vulnerabilidades críticas que sus herramientas automáticas nunca habían reportado.
Por qué trabajar con DragonJAR
DragonJAR nació como comunidad de seguridad informática en 2001 y opera como empresa desde 2012: más de dos décadas viendo cómo atacan los criminales reales y qué defensas funcionan. En cada prueba incluimos re-tests ilimitados sin costo —verificamos que cada vulnerabilidad reportada quedó corregida—, garantizamos cero falsos positivos porque cada hallazgo se verifica manualmente, y entregamos informe ejecutivo e informe técnico en español, pensados para que la gerencia entienda el riesgo y el equipo técnico sepa exactamente qué corregir. Atendemos organizaciones en toda Colombia, de forma remota y presencial.
Preguntas frecuentes sobre el hacking ético en Colombia
¿Cada cuánto conviene hacer un hacking ético?
Como mínimo una vez al año, y siempre después de cambios relevantes: un despliegue importante, una migración a la nube, la apertura de una API pública o un incidente de seguridad. Las entidades vigiladas por la Superfinanciera suelen evaluarse con mayor frecuencia por exigencia de su marco de riesgos.
¿La prueba sirve para cumplir con la Ley 1581 de 2012?
Sí. La Ley 1581 exige adoptar medidas de seguridad para los datos personales que usted trata, y su autoridad de vigilancia es la SIC. Nuestro informe documenta el alcance evaluado, la metodología, los hallazgos priorizados y la evidencia de remediación en los re-tests: exactamente el tipo de evidencia que un auditor espera ver.
¿Cuánto dura y cuánto cuesta un hacking ético en Colombia?
Depende del tamaño y la complejidad de su infraestructura: cantidad de direcciones IP, aplicaciones, APIs y si incluye ingeniería social. La mayoría de las pruebas toman entre una y cuatro semanas de trabajo técnico. No publicamos una tarifa única porque sería engañoso; hacemos una cotización clara por escrito después de una llamada de descubrimiento sin costo, donde definimos el alcance exacto.
¿La prueba puede interrumpir nuestra operación?
Las pruebas intrusivas se programan en ventanas acordadas con usted y con reglas de enfrentamiento claras. Nuestra metodología está diseñada para demostrar el impacto sin tumbar la operación; si aparece algo crítico, se lo comunicamos de inmediato.
¿Qué pasa después de que corregimos las fallas?
Volvemos a probar cada hallazgo —los re-tests son ilimitados y sin costo— hasta confirmar que quedó mitigado. Solo entonces damos el caso por cerrado.
Conclusión
Los ataques a IFX y a Keralty demostraron que en Colombia ningún sector está exento: la salud, el Estado y las finanzas ya pagaron el costo de descubrir sus vulnerabilidades tarde. Un hacking ético no es un trámite: es la forma más directa de saber dónde está parado antes de que un atacante se lo muestre. Si quiere esa certeza, el siguiente paso es una conversación.
Solicita tu hacking ético en Colombia
Si su organización opera en Colombia —en banca, salud, industria, comercio o el sector público— y necesita conocer su nivel real de exposición, complete el formulario y cuéntenos brevemente qué sistemas quiere evaluar. Un especialista le responderá en un máximo de 24 horas hábiles para agendar una llamada de descubrimiento sin costo: revisamos su infraestructura, le proponemos un alcance ajustado a su realidad y a la regulación que le aplica, y le enviamos una cotización clara. Sin compromiso y sin presión comercial.