Descubra lo que un atacante vería en su empresa en Cartagena, antes de que lo explote.
Prueba de penetración real para empresas de Cartagena: simulamos ataques con las mismas técnicas que usaría un adversario, con hallazgos priorizados por riesgo real y retest de las correcciones.
A través de los terminales del Grupo Puerto de Cartagena —Sociedad Portuaria y Contecar— se mueve más del 60 % del comercio bilateral entre Colombia y Estados Unidos, con conexiones a 750 puertos en 150 países y 25 líneas navieras. Cada contenedor que entra o sale de la bahía deja un rastro digital: manifiestos electrónicos, sistemas de trazabilidad, correos con agentes de aduana y transferencias internacionales. Una prueba de penetración en Cartagena parte de esa realidad: aquí, un fallo de seguridad no solo afecta a una empresa, puede frenar el comercio exterior de todo un país.
En resumen: DragonJAR SAS, empresa colombiana de seguridad informática ofensiva con sede en Manizales (comunidad desde 2001, empresa desde 2012), realiza prueba de penetración real para empresas de Cartagena, con informes ejecutivo y técnico en español, priorizados por riesgo de negocio, y retest de las correcciones.
Tabla de Contenido
Cartagena: puerto, turismo y zona industrial con sistemas conectados
Cartagena es la principal puerta marítima del Caribe colombiano. Su puerto, con el muelle de contenedores más importante del país, concentra agencias de aduana, operadores logísticos, navieras y empresas de servicios portuarios que dependen de plataformas de trazabilidad, documentación electrónica y sistemas de gestión de carga. El turismo suma otra capa: la temporada de cruceros 2024-2025 cerró con 162 recaladas de 37 líneas internacionales y más de 414.000 visitantes entre pasajeros y tripulación, con un impacto económico estimado de 44,5 millones de dólares. Hoteles, agencias y plataformas de reservas manejan datos de huéspedes y pagos internacionales a ese ritmo. Y en Mamonal, la zona industrial más importante de la ciudad y del país, operan la Refinería de Cartagena —la más grande de Colombia, de propiedad de Ecopetrol desde 1974— y un clúster petroquímico que genera cerca de 12.000 empleos en el distrito.
Esa triple vocación —logística, turística e industrial— hace que una interrupción digital en Cartagena tenga consecuencias que van más allá de la empresa afectada: un sistema aduanero comprometido retrasa despachos, una plataforma hotelera vulnerada expone datos de visitantes de todo el mundo y una red industrial sin endurecer pone en riesgo la continuidad de la producción. La prueba de penetración es la forma controlada de comprobar, antes que un atacante, dónde están esas fisuras.
Superficie de ataque por sector en Cartagena
Cada sector de la ciudad presenta un perfil de exposición distinto, y el alcance de una prueba debe reflejarlo:
- Logística y comercio exterior: portales de trazabilidad de carga, sistemas de documentación aduanera, correo corporativo con agentes de aduana y navieras, y accesos remotos de terceros a plataformas portuarias.
- Turismo y hotelería: motores de reservas, pasarelas de pago internacionales, sistemas de gestión hotelera (PMS) con datos de huéspedes y pasaportes, y redes wifi de huéspedes mal segmentadas de los sistemas administrativos.
- Industria y petroquímica en Mamonal: redes corporativas que conviven con entornos de operación y control, accesos remotos de contratistas y proveedores a sistemas de gestión de planta, y estaciones de ingeniería con credenciales compartidas.
En nuestra experiencia, las organizaciones cartageneras que combinan operación física —puertos, plantas, hoteles— con plataformas digitales concentran su riesgo en tres vectores: el correo corporativo, los sistemas de reservas y pagos, y los accesos de terceros. Un caso típico que hemos visto: una naviera regional comprometida por phishing dirigido a un operador de comercio exterior, donde el atacante permaneció dos semanas en la bandeja de correo leyendo cotizaciones antes de intentar un fraude en una transferencia internacional.
Qué cubre una prueba de penetración en Cartagena
Una prueba de penetración es un ataque controlado y autorizado contra la infraestructura real de la empresa, diseñado para demostrar qué podría lograr un atacante y con qué impacto. Se diferencia del análisis de vulnerabilidades —que identifica y clasifica brechas de forma automatizada— en que el Pentesting las explota para medir el daño real: no basta con saber que existe una puerta abierta, hay que probar hasta dónde se puede llegar entrando por ella.
Para una empresa en Cartagena, un alcance bien definido suele incluir:
- aplicaciones web y APIs: plataformas de reservas, portales de clientes, sistemas de trazabilidad y paneles administrativos.
- Infraestructura de red: perímetro, segmentos internos, wifi corporativo y de huéspedes, accesos VPN y conexiones de terceros.
- Factor humano: campañas controladas de phishing e ingeniería social contra personal administrativo y operativo.
- Revisión de configuraciones: servidores, bases de datos y servicios expuestos a internet.
En entornos industriales, la prueba se planifica por separado para no interferir con la operación de planta: se acuerdan ventanas, se excluyen sistemas críticos de control en vivo y se valida primero en entornos espejo cuando existen.
Normativa aplicable en Colombia
Dos normas marcan el marco legal que una empresa en Cartagena debe tener en cuenta. La Ley 1273 de 2009 tipifica los delitos informáticos en Colombia —acceso abusivo a sistemas, interceptación de datos, daño informático— y es la base para denunciar un incidente ante las autoridades. La Ley 1581 de 2012 obliga a las empresas que tratan datos personales a protegerlos, con vigilancia de la Superintendencia de Industria y Comercio: un hotel que almacena datos de pasaportes o una logística que guarda documentos de identidad de clientes está directamente alcanzado por esta ley.
Además, si la empresa procesa pagos con tarjeta, el estándar PCI-DSS exige pruebas de penetración periódicas. Una prueba documentada no solo reduce el riesgo: sirve como evidencia de diligencia debida ante una auditoría o un reclamo regulatorio.
Escenarios reales que un pentesting previene en Cartagena
En nuestra experiencia trabajando con empresas de la región Caribe, estos son los escenarios que una prueba bien ejecutada detecta antes de que un atacante los aproveche:
- Compromiso del correo de comercio exterior: un operador de aduana cae en un phishing con un supuesto manifiesto de carga; el atacante intercepta comunicaciones con una naviera y altera instrucciones de pago. La prueba de ingeniería social lo habría detectado en una semana.
- Filtración de datos de huéspedes: un motor de reservas con una API mal configurada expone nombres, documentos y tarjetas de cientos de visitantes internacionales. La prueba de aplicaciones lo encuentra en el primer día de pruebas.
- Acceso de contratista a red industrial: un proveedor de mantenimiento conserva una VPN activa meses después de terminar su contrato, con acceso a sistemas de gestión de planta. La revisión de accesos de terceros la habría revocado.
Ninguno de estos casos requiere un atacante sofisticado: requieren una empresa que nunca validó sus defensas contra alguien que sí las probara.
Preguntas frecuentes sobre la prueba de penetración en Cartagena
¿Mi hotel o agencia de turismo necesita un pentesting o eso es para la industria?
Si maneja reservas en línea, datos de pasaportes y pagos internacionales, sí. Los hoteles son objetivos frecuentes porque combinan datos personales valiosos con sistemas que rara vez se prueban. Una prueba enfocada en el motor de reservas y la red suele ser suficiente para empezar.
¿La prueba puede afectar la operación de mi empresa?
No. Toda prueba de penetración profesional se ejecuta con reglas de juego acordadas: alcance definido, ventanas horarias, contactos de emergencia y exclusión de sistemas críticos. En entornos industriales se trabaja por separado de la operación de planta.
¿Cómo ayuda el pentesting con la Ley 1581 de protección de datos?
Demuestra que la empresa tomó medidas técnicas para proteger los datos personales que custodia. El informe documentado —con hallazgos priorizados y evidencia de remediación— es el respaldo que una empresa necesita ante la Superintendencia de Industria y Comercio.
¿DragonJAR trabaja de forma presencial en Cartagena?
Sí. Ejecutamos pruebas para empresas en Cartagena y en toda la costa Caribe con cobertura remota y presencial, según lo requiera el alcance —por ejemplo, pruebas de wifi o de acceso físico a instalaciones.
¿Cada cuánto debería repetir la prueba?
Al menos una vez al año, y después de cada cambio relevante: un sistema de reservas nuevo, una migración a la nube, una fusión o la apertura de una sede. Las amenazas y la infraestructura cambian; la prueba debe cambiar con ellas.
¿Cuánto cuesta y cuánto tarda una prueba de penetración en Cartagena?
Depende del alcance: cuántas aplicaciones, APIs, direcciones IP o sedes entran, la profundidad de la prueba y las ventanas disponibles. El costo y el plazo se confirman en la propuesta que recibe tras solicitarla. Solicitar cotización.
Por qué DragonJAR para una prueba de penetración en Cartagena
DragonJAR nació como comunidad de seguridad informática en 2001 y opera como empresa desde 2012, prestando servicios de seguridad a empresas en Cartagena, en Colombia y a nivel internacional. Nuestro trabajo se distingue por:
- Informes en español con hallazgos validados manualmente: cada hallazgo está verificado manualmente.
- Re-tests ilimitados: verificamos que cada vulnerabilidad quede corregida después de la remediación.
- Informes enfocados en el negocio: hallazgos priorizados por riesgo real, con recomendaciones prácticas.
- Equipo ético, transparente y responsable, con alcance acordado por escrito antes de cada prueba.
Solicite su prueba de penetración en Cartagena
Si su empresa opera en Cartagena —logística y comercio exterior, turismo y hotelería, industria o servicios—, una prueba de penetración adaptada a su operación muestra con precisión dónde está expuesto: aplicaciones, infraestructura y el factor humano. El servicio incluye informes en español con hallazgos priorizados por riesgo, recomendaciones prácticas de remediación y verificación de que las vulnerabilidades fueron corregidas.
Escríbanos para agendar una llamada de descubrimiento sin costo y definir el alcance recomendado para su infraestructura: