Descubra lo que un atacante vería en su empresa en Brasil, antes de que lo explote.
El pentesting o test de penetración real para empresas de Brasil: simulamos ataques con las mismas técnicas que usaría un adversario, con hallazgos priorizados por riesgo real y retest de las correcciones.
El 21 de enero de 2022, el Banco Central do Brasil informó públicamente que datos catastrales vinculados a 160.000 claves Pix de clientes de la Acesso Soluções de Pagamento habían quedado expuestos por fallas en los sistemas de esa institución (Canaltech). Era el segundo incidente de este tipo en menos de seis meses: en agosto de 2021, el propio Banco Central había reportado la exposición de datos de casi 400.000 claves Pix bajo custodia del Banco do Estado de Sergipe (Banese), el mayor caso de este tipo informado hasta hoy (NIC.br). Ese mismo agosto de 2021, la minorista Lojas Renner —una de las cadenas de tiendas más grandes del país— confirmaba en un comunicado oficial al mercado un ataque cibernético que tumbó su e-commerce y sus sistemas de pago digital (Comunicado ao Mercado, Lojas Renner). Cuando el sistema de pagos más usado del país y el retail más visible sufren en el mismo año, el Pentesting o test de penetración en Brasil deja de ser una conversación de especialistas: es una necesidad de negocio.
Brasil no se parece a ningún otro mercado de la región: escala continental, la banca más digitalizada de América Latina y un marco de protección de datos con sanciones que ya se aplican. Este artículo explica la amenaza local, la superficie de ataque por sector, qué debe cubrir un pentesting aquí y la normativa que le toca cumplir.
En resumen: DragonJAR SAS, empresa colombiana de seguridad informática ofensiva con sede en Manizales (comunidad desde 2001, empresa desde 2012), realiza el pentesting o test de penetración real para empresas de Brasil, con informes ejecutivo y técnico en español, priorizados por riesgo de negocio, y retest de las correcciones.
Tabla de Contenido
El contexto de Brasil: São Paulo y Río, banca digitalizada e industria
Brasil es la mayor economía de América Latina y concentra un mercado digital de escala continental. São Paulo, el estado y la ciudad más grandes del país, es el principal centro financiero e industrial: allí operan los mayores bancos, las principales empresas de tecnología y la sede de miles de compañías que manejan información financiera y datos personales de decenas de millones de clientes.
La banca brasileña es una de las más digitalizadas de la región. El sistema de pagos instantáneos Pix, lanzado por el Banco Central, se convirtió en el medio de pago dominante del país, y la adopción masiva de aplicaciones móviles y billeteras digitales convirtió a las instituciones financieras en objetivos prioritarios para el fraude electrónico y el robo de credenciales. Cada nuevo canal digital que un banco habilita amplía su superficie de ataque y exige validación continua.
Junto al sector financiero, Brasil alberga un tejido industrial y de servicios con plantas de producción, empresas de energía y logística cada vez más conectadas: sensores, sistemas de gestión y plataformas de control operan sobre redes que necesitan ser evaluadas de forma periódica. La agroindustria —uno de los motores de exportación del país— digitaliza su cadena de suministro a un ritmo que la seguridad no siempre acompaña. A este panorama se suma el comercio electrónico y las fintech de São Paulo y Río de Janeiro, que procesan transacciones en línea de forma permanente.
El marco normativo refuerza esta necesidad: la Lei Geral de Proteção de Dados (LGPD, Ley 13.709/2018), vigente desde 2020 y fiscalizada por la Autoridade Nacional de Proteção de Dados (ANPD), impone a las empresas obligaciones concretas sobre el tratamiento de datos personales, con sanciones administrativas que comenzaron a aplicarse en 2021. Un pentesting no solo detecta vulnerabilidades técnicas: también aporta evidencia de diligencia en la protección de los datos que la ley exige resguardar.
Riesgos de ciberseguridad para las empresas en Brasil
El volumen de ataques que recibe Brasil es desproporcionado dentro de la región. Según el Reporte sobre el Panorama de Amenazas 2026 de FortiGuard Labs, Latinoamérica registró 843,3 billones de intentos de ciberataque durante 2025, con Brasil entre los tres países más afectados, junto a México y Colombia (Fortinet). El mismo reporte documentó un aumento del 389% en víctimas de ransomware año con año a nivel global. Esta exposición masiva significa que cualquier empresa brasileña con presencia en línea es candidata a ser evaluada por atacantes automatizados, incluso sin ser un objetivo deliberado.
El fraude contra la banca digital y las fintech es el riesgo más visible: troyanos bancarios, phishing dirigido a usuarios de aplicaciones financieras y compromiso de credenciales apuntan a un sector que mueve volúmenes enormes de dinero en canales digitales. Los incidentes de exposición de claves Pix —Banese en 2021, Acesso en 2022 y otros reportados después— muestran que la debilidad no siempre está en el núcleo del sistema de pagos, sino en las instituciones participantes: exactamente lo que un pentesting está diseñado para encontrar. Una vulnerabilidad explotable en una aplicación de pagos puede convertirse en pérdidas directas y en un daño reputacional de gran alcance.
El ransomware representa un riesgo de continuidad para la industria y los servicios: cifrar los sistemas de gestión, las plataformas de operación o los respaldos puede detener una planta, una cadena de distribución o la atención a clientes durante días. Los casos brasileños de 2021 —Renner en retail, JBS en alimentos, Fleury en salud— confirmaron que ningún sector está exento.
El incumplimiento normativo es un riesgo económico adicional: una brecha de datos que exponga información personal de clientes puede derivar en sanciones de la ANPD bajo la LGPD, además de demandas y pérdida de confianza. Evaluar de forma periódica qué tan explotables son las debilidades de la infraestructura permite corregirlas antes de que un atacante las aproveche y antes de que una fuga de datos se convierta en un problema legal.
Superficie de ataque por sector: dónde duele en Brasil
No todos los sectores brasileños se atacan igual. En nuestra experiencia, esto es lo que concentra el riesgo en cada uno:
Banca y fintech
Apps móviles, APIs de pagos, onboarding digital de clientes y las integraciones con el ecosistema Pix. El fraude aquí es industrial: troyanos bancarios brasileños llevan años entre los más activos del mundo, y los incidentes de claves Pix demuestran que las instituciones participantes son el eslabón que se prueba. Un pentesting en este sector debe cubrir la app, sus APIs y el flujo completo de una transacción, no solo el perímetro.
E-commerce y retail
Plataformas de venta, pasarelas de pago, programas de fidelización con datos de millones de clientes. El caso Renner mostró el costo de parar el canal digital: e-commerce caído durante días y escrutinio público inmediato. Aquí el pentesting se enfoca en la plataforma web, la lógica de negocio (precios, cupones, sesiones) y la cadena de pagos.
Industria, energía y agro
Plantas con sistemas de control conectados, sensores en campo y ERPs que gestionan la producción. El ransomware industrial no solo cifra oficinas: detiene operaciones físicas. La prueba aquí combina red corporativa, segmentación hacia la red de operaciones y revisión de accesos remotos de proveedores.
Salud y servicios
Historias clínicas, resultados de laboratorio, datos de pacientes: información sensible bajo la LGPD con alto valor para la extorsión. El ataque al Grupo Fleury en 2021 lo dejó claro. En este sector, el pentesting también valida quién puede ver qué dentro de los sistemas clínicos.
Qué debe cubrir un pentesting en Brasil
Un test de penetración serio en una empresa brasileña cubre, como mínimo:
- aplicaciones web y APIs: portales, e-commerce, banca en línea y las APIs que mueven dinero o datos personales. Explotación manual, no solo escaneo.
- Aplicaciones móviles: almacenamiento local de datos, comunicaciones, autenticación. En un país donde el celular es el banco, esto no es opcional.
- Red externa e interna: qué ve un atacante desde internet y qué puede hacer una vez dentro, incluyendo movimiento lateral.
- Ingeniería social: phishing controlado contra colaboradores. En nuestra experiencia, es la vía de entrada más común y la menos medida.
- Configuraciones cloud: buckets expuestos, credenciales en código, permisos excesivos. La migración a la nube sin revisión es una fuente constante de hallazgos.
Y el entregable que importa: un informe en dos niveles —ejecutivo para la dirección, técnico con evidencia para su equipo— más re-test para verificar que las correcciones quedaron aplicadas. Sin re-test, la prueba está a medias.
La normativa que le aplica en Brasil
- LGPD — Lei nº 13.709/2018 (texto oficial en planalto.gov.br): regula el tratamiento de datos personales, exige medidas de seguridad técnicas y administrativas (art. 46) y faculta a la ANPD a sancionar. El art. 52 fija multas de hasta el 2% del faturamento de la empresa en Brasil en el último ejercicio, limitadas a R$ 50 millones por infracción, además de bloqueo o eliminación de los datos.
- ANPD (Autoridade Nacional de Proteção de Dados): fiscaliza el cumplimiento y aplica las sanciones administrativas desde 2021.
- Regulación del Banco Central do Brasil: las instituciones que participan en Pix y en el sistema de pagos están sujetas a sus normas de seguridad y a la comunicación obligatoria de incidentes —como demuestran los comunicados públicos de exposición de claves Pix.
La LGPD no dice literalmente «contrata un pentesting». Lo que exige es demostrar que tomó medidas de seguridad proporcionales al riesgo. Un pentesting documentado, con informe y re-test, es la evidencia más sólida de esa diligencia ante la ANPD.
Dos normas más completan el marco. La Resolución CMN nº 4.658/2018 del Banco Central obliga a las instituciones financieras y demás entidades autorizadas por el Banco Central a implementar y mantener una política de seguridad cibernética, con registro y análisis de incidentes relevantes y pruebas de continuidad del negocio. Y el Marco Civil da Internet —Ley nº 12.965/2014— establece deberes de guarda de registros y responsabilidad de los proveedores, mientras el Código Penal brasileño tipifica la invasión de dispositivos informáticos.
Casos que lo confirman: cuando el riesgo se volvió noticia
- Lojas Renner (agosto de 2021): ataque cibernético que dejó fuera de servicio su e-commerce y sus pagos digitales durante días. La compañía informó al mercado que sus principales bases de datos se preservaron y que no pagó rescate. El costo fue operativo y reputacional, a la vista de todo el país.
- JBS (2021): la empresa brasileña de alimentos con operación global sufrió un ataque de ransomware que afectó parte de sus operaciones y tuvo repercusión internacional (CryptoID).
- Claves Pix (2021–2022): Banese (~395.000 claves) y Acesso Soluções de Pagamento (160.000 claves) reportaron exposición de datos catastrales, informados públicamente por el Banco Central. El patrón se repitió con otras instituciones después: la superficie de riesgo está en los participantes del ecosistema, no solo en el núcleo.
- Grupo Fleury (2021): ataque que afectó a uno de los mayores grupos de medicina diagnóstica del país, mostrando que el sector salud —con datos sensibles bajo la LGPD— es objetivo directo.
Ninguno de estos casos ocurrió en una empresa pequeña y oscura. Si les pasó a ellos, con presupuestos de seguridad grandes, la pregunta para su empresa no es si es objetivo: es si sabe qué tan expuesto está.
La propuesta de DragonJAR para empresas en Brasil
DragonJAR nació como comunidad de seguridad informática en 2001 y opera como empresa desde 2012. Nuestro método es el mismo en toda la región: alcance escrito antes de empezar, ejecución manual por profesionales con experiencia real, informe en dos niveles con hallazgos validados manualmente y re-tests ilimitados para cerrar el ciclo con evidencia.
Autodiagnóstico rápido: ¿cuándo fue la última vez que probó sus aplicaciones de forma adversarial? ¿Qué pasaría si mañana se filtran los datos personales de sus clientes y la ANPD toca su puerta? ¿Tiene evidencia de que sus controles funcionan, o solo la suposición de que sí?
Al llenar el formulario, un especialista revisa su caso y le devuelve una propuesta con alcance, cronograma y precio, sin compromiso. Sin llamadas de telemercadeo: una conversación técnica sobre qué medir y por qué.
Preguntas frecuentes sobre el pentesting en Brasil
¿La LGPD me obliga a hacer un pentesting?
No por ese nombre. La LGPD exige medidas de seguridad técnicas y administrativas proporcionales al riesgo (art. 46) y la ANPD puede sancionar a quien no las tenga. Un pentesting no es la obligación: es la evidencia de que cumplió con ella. Ante una investigación de la autoridad, un informe de pentesting con re-test vale más que cualquier declaración de buenas intenciones.
¿El pentesting cubre mis integraciones con Pix?
Cubre lo que está bajo su control: su aplicación, sus APIs, sus flujos de pago y cómo maneja las claves y los datos de sus clientes. El núcleo del sistema Pix lo opera el Banco Central; su responsabilidad —y su riesgo— está en su implementación. Los incidentes de Banese y Acesso lo confirman: la falla estuvo en las instituciones participantes.
¿Cada cuánto debería repetir la prueba?
Como mínimo una vez al año, y siempre después de cambios relevantes: una app nueva, una migración a la nube, una integración con un proveedor de pagos o un incidente. En nuestra experiencia, las vulnerabilidades graves no están en lo que se probó hace un año, sino en lo que se desplegó después.
¿Qué pasa con mis datos durante la prueba?
Antes de empezar se firman acuerdos de confidencialidad y reglas de compromiso: qué se puede tocar, en qué horarios y por qué canales se comunica el equipo. Solo se accede a lo necesario para la prueba y la evidencia se entrega por canales seguros.
¿Por qué elegir a DragonJAR para un pentest en Brasil?
Porque medimos antes de opinar: profesionales con experiencia real en la región, informes con hallazgos validados manualmente redactados para aportar valor al negocio, re-tests ilimitados incluidos y un método auditable. Los servicios de seguridad informática de DragonJAR están diseñados para que el informe termine en correcciones verificadas, no en un cajón.
¿Pueden hacer la prueba de forma remota o necesitan viajar a Brasil?
La gran mayoría —externa, aplicaciones web y móviles, API— se ejecuta de forma remota con la misma efectividad. Las pruebas internas y de ingeniería social presencial se coordinan cuando el alcance lo requiere.
¿El informe viene en portugués?
Sí. Entregamos informe ejecutivo y técnico en español y portugués según el alcance, con hallazgos priorizados por riesgo y pasos de reproducción que su equipo puede seguir sin adivinanzas.
¿Cuánto tarda una prueba de penetración típica?
Entre dos y seis semanas según el alcance: una aplicación web puntual puede evaluarse en dos semanas; una infraestructura completa con prueba interna y phishing simulado toma más. El re-test se agenda después de su ventana de remediación.
¿Qué pasa si encuentran una vulnerabilidad crítica durante la prueba?
Se la comunicamos de inmediato por el canal acordado, no esperamos al informe final. Las reglas —qué se puede tocar, en qué horarios, con qué límites— quedan definidas por escrito antes de empezar.
¿Un escaneo de vulnerabilidades no es suficiente?
El escaneo lista posibles debilidades; el pentesting demuestra cuáles son explotables y con qué impacto. En nuestra experiencia, gran parte de lo que reporta un escáner automático no es explotable en su contexto —y lo verdaderamente peligroso suele ser un defecto de lógica que ningún escáner detecta. Son complementarios, no intercambiables.
Evalúe la seguridad de su empresa en Brasil con DragonJAR
Si su empresa en Brasil opera en banca, fintech, industria o servicios digitales, conocer el estado real de su seguridad es el primer paso para protegerla —y para dormir tranquilo frente a la LGPD. DragonJAR realiza pruebas de penetración autorizadas que identifican las vulnerabilidades explotables de sus sistemas y le entregan un informe accionable, comprensible para todas las áreas.
Contacte a DragonJAR hoy y descubra el estado de seguridad de su empresa en Brasil.
¿Cuándo fue la última vez que alguien intentó vulnerar sus sistemas con autorización? Si la respuesta es «nunca» o «hace más de un año», el siguiente intento probablemente no pedirá permiso. Llene el formulario y en menos de 24 horas hábiles recibe una propuesta de alcance con tiempos y precio cerrado, sin compromiso.