El 12 de septiembre de 2023, un ataque de ransomware contra IFX Networks dejó fuera de línea los portales de la Superintendencia de Industria y Comercio, la Superintendencia de Salud, el Ministerio de Salud y el Consejo Superior de la Judicatura. Cerca de 760 compañías en América Latina resultaron afectadas y el Ministerio de Salud reconoció más de 55 millones de datos comprometidos. La lección para cualquier empresa que opera en Colombia es incómoda: el atacante no siempre entra por tu puerta; a veces entra por la de tu proveedor. Una prueba de penetración en Colombia es la forma técnica de saber, antes que ellos, por dónde podrían entrar a la tuya. En este artículo te explicamos qué es, qué exige la normativa colombiana y —lo más útil si estás comparando proveedores— cómo elegir bien y qué pedir en el alcance.
Tabla de Contenido
¿Qué es una prueba de penetración y por qué importa en Colombia?
Una prueba de penetración es un ataque simulado, autorizado y controlado contra tus sistemas: un equipo de especialistas intenta vulnerarlos usando las mismas técnicas que un ciberdelincuente, pero con reglas de enfrentamiento claras, ventanas de prueba acordadas y un objetivo constructivo — dejarte un mapa preciso de por dónde eres vulnerable y cómo cerrarlo.
No es lo mismo que un escaneo automático de vulnerabilidades. El escáner lista posibles fallos; el pentest los explota para demostrar el impacto real: qué datos se podrían extraer, qué sistemas se podrían tomar, qué tan lejos llegaría un atacante con acceso inicial. En nuestra experiencia, esa diferencia es la que separa un informe que termina en un cajón de uno que termina en un plan de remediación ejecutado.
En Colombia hay además un ángulo legal que conviene entender. La prueba de penetración es la evidencia técnica que demuestra diligencia frente a la Ley 1581 de 2012: no basta con decir que proteges los datos personales, hay que poder demostrarlo. Y del otro lado, la Ley 1273 de 2009 tipifica como delito el acceso abusivo a sistemas informáticos — por eso un pentest siempre se hace con autorización escrita y alcance firmado. Contratarlo bien es la vía legítima; sufrirlo sin haberlo contratado, no.
Colombia: contexto empresarial y superficie de ataque
Colombia concentra su actividad empresarial en varios polos —Bogotá, Medellín, Cali, Barranquilla y el Eje Cafetero— con sectores fuertes en banca y finanzas, energía e hidrocarburos, salud, retail, telecomunicaciones y servicios. Esa diversidad implica marcos de riesgo distintos por industria, pero un denominador común: la Ley 1581 de 2012 exige a las empresas garantizar la seguridad de los datos personales que manejan. Una prueba de penetración en Colombia es la forma técnica de demostrar que esa obligación se cumple más allá del papel.
Riesgos de ciberseguridad para las empresas en Colombia
A nivel país, los patrones más observados incluyen el ransomware contra pymes de todos los sectores, el fraude financiero y el phishing dirigido a clientes de banca, la exposición de aplicaciones web y APIs sin pruebas previas, y los ataques a proveedores como puerta de entrada a empresas más grandes. Los sectores regulados —financiero, salud, energía— además enfrentan la presión de demostrar controles auditables ante entes de control y socios.
Panorama de amenazas: lo que ya ocurrió en Colombia
El caso IFX Networks merece una segunda lectura, porque resume el riesgo mejor que cualquier estadística. Un solo proveedor de nube y telecomunicaciones comprometido dejó sin portales a varias de las entidades más sensibles del Estado colombiano durante días. El gobierno anunció que demandaría a la compañía por los daños. Si eso le pasó a entidades con presupuestos de seguridad considerables, la pregunta para una empresa privada es directa: ¿qué pasaría si tu proveedor crítico —el de tu ERP, tu hosting, tu software de nómina— fuera el punto de entrada?
En nuestra experiencia auditando empresas colombianas, los vectores que más se repiten son tres: aplicaciones web y APIs publicadas sin una prueba previa; credenciales débiles o reutilizadas en servicios expuestos a internet; y el correo corporativo como puerta del fraude (suplantación de directivos, facturas falsas). Ninguno requiere un atacante sofisticado. Todos se detectan con una prueba de penetración bien enfocada.
Cómo elegir un proveedor de Pentesting en Colombia: guía de compra
Si estás comparando propuestas, estos son los criterios que separan un servicio serio de una venta de humo:
Qué exigir: alcance escrito y firmado antes de empezar; definición del tipo de prueba (caja negra, gris o blanca); reglas de enfrentamiento con ventanas de prueba y contactos de emergencia; informe ejecutivo para la gerencia y reporte técnico para tu equipo, ambos en español; cada hallazgo con evidencia de explotación y nivel de severidad; plan de remediación priorizado; re-test incluido para verificar que las correcciones funcionaron; y acuerdo de confidencialidad firmado.
Señales de alerta: te entregan el PDF de un escáner automático y lo llaman «pentest»; cotizan un precio fijo sin preguntarte cuántos activos, dominios o aplicaciones tienes; no proponen ventanas de prueba ni piden un contacto técnico; no incluyen re-test («si quieres verificar, es otro servicio»); evitan firmar un NDA; o prometen cosas imposibles como «garantizamos cero vulnerabilidades». Un proveedor serio te va a hacer preguntas incómodas sobre tu infraestructura antes de darte un precio. Esa incomodidad es buena señal.
Qué pedir en el alcance de tu prueba de penetración
El alcance es donde se gana o se pierde el valor del servicio. Antes de firmar, deja por escrito:
- Inventario de objetivos: dominios, direcciones IP, aplicaciones web y móviles, APIs, red interna, WiFi corporativo. Lo que no está en la lista no se prueba — y suele ser por donde entran.
- Tipo de prueba: caja negra (sin información previa, simula un atacante externo), caja gris (con credenciales de usuario estándar) o caja blanca (con acceso total y código fuente). Para una primera prueba en Colombia, la combinación de caja negra externa + caja gris interna suele dar el mejor retorno.
- Ingeniería social y phishing: decide si se incluye. Es el vector más realista contra áreas administrativas y financieras, pero requiere autorizaciones explícitas.
- Ventanas y exclusiones: horarios de prueba, sistemas críticos excluidos o con tratamiento especial, procedimiento si se encuentra un hallazgo crítico (te avisamos de inmediato, no esperamos al informe final).
- Entregables y re-test: informe ejecutivo, informe técnico con evidencias, sesión de presentación de resultados y una ronda de re-test incluida.
La normativa que aplica en Colombia
Estas son las normas que un decisor debería tener en el radar, con su fuente oficial:
- Ley 1273 de 2009 — crea los delitos informáticos en Colombia (acceso abusivo, interceptación de datos, daño informático, suplantación de sitios web para phishing, entre otros), con penas de 48 a 96 meses de prisión. Texto oficial: normativa.archivogeneral.gov.co/ley-1273-de-2009.
- Ley 1581 de 2012 — protección de datos personales. Obliga a implementar medidas de seguridad y faculta a la Superintendencia de Industria y Comercio a imponer multas de hasta 2.000 salarios mínimos mensuales, además de suspensión de actividades. Texto compilado por MinTIC: normograma.mintic.gov.co — Ley 1581 de 2012.
- CONPES 3854 de 2016 — Política Nacional de Seguridad Digital, aprobada el 11 de abril de 2016; la hoja de ruta del Estado colombiano para la gestión del riesgo digital. Documento oficial: CONPES 3854 de 2016 (PDF).
- colCERT — el Grupo de Respuesta a Emergencias Cibernéticas de Colombia, adscrito al Ministerio TIC, coordina la respuesta nacional ante incidentes que afecten infraestructura crítica. Referencia: tecnogus.com.co — informe colCERT.
Un pentest no sustituye un programa de cumplimiento, pero es la pieza técnica que le da sustento: demuestra que las medidas de seguridad existen, funcionan y se verifican de forma independiente.
Por qué DragonJAR para tu prueba de penetración en Colombia
DragonJAR nació en 2001 como comunidad de seguridad informática y opera como empresa desde 2012. Ha sido catalogada como la más influyente en seguridad informática de habla hispana, y su equipo ha auditado empresas de sectores como salud, financiero, educación, telecomunicaciones y gobierno.
En la práctica, lo que recibes: pruebas con explotación manual —no solo escáneres—, informe ejecutivo y técnico en español con hallazgos priorizados por riesgo real, recomendaciones de remediación que tu equipo puede ejecutar, y re-test para verificar que las vulnerabilidades quedaron corregidas. Todo bajo acuerdo de confidencialidad y con reglas de enfrentamiento claras desde el día uno.
¿Quieres proteger tu negocio? ¡Contacta a DragonJAR ahora!
Preguntas frecuentes sobre pruebas de penetración en Colombia
¿Cuánto tiempo toma una prueba de penetración?
Depende del alcance: una aplicación web puntual puede tomar una o dos semanas; una infraestructura completa con red interna, varias aplicaciones y pruebas de ingeniería social, entre tres y seis. Desconfía de quien te prometa «un pentest completo» en dos días.
¿Cuánto cuesta una prueba de penetración en Colombia?
El costo depende del número de activos, aplicaciones y del tipo de prueba. Una cotización seria se construye después de una llamada de descubrimiento donde se levanta ese inventario. Si te dan precio sin preguntar nada, no están cotizando un pentest: están vendiendo un paquete.
¿El pentesting puede dañar mis sistemas o tumbar mi operación?
Cuando se hace bien, no. Las reglas de enfrentamiento definen ventanas de prueba, sistemas excluidos y qué técnicas están fuera de límites (por ejemplo, denegación de servicio sin autorización explícita). Si aparece un hallazgo crítico, se te avisa de inmediato en lugar de esperar al informe final.
¿Debo avisar a mi proveedor de nube u hosting?
Sí. AWS, Azure, Google Cloud y la mayoría de proveedores exigen notificación o autorización previa para pruebas de intrusión. Un buen proveedor de pentesting te guía en ese trámite como parte del arranque del proyecto.
¿Qué recibo exactamente al final?
Un informe ejecutivo para la dirección (riesgo en lenguaje de negocio), un informe técnico con evidencia de cada hallazgo y pasos de reproducción, un plan de remediación priorizado, una sesión de presentación de resultados y una ronda de re-test para confirmar las correcciones.
¿Cada cuánto debería repetirla?
Como mínimo una vez al año, y siempre después de cambios significativos: una aplicación nueva, una migración a la nube, una fusión o un incidente de seguridad. Si quieres profundizar en la disciplina, revisa la sección de formación en pentesting.
¿Un pentest me sirve para cumplir la Ley 1581 de 2012?
Es una pieza clave de la evidencia: demuestra de forma independiente que tus medidas de seguridad se verifican en la práctica, lo cual respalda el principio de responsabilidad demostrada ante la Superintendencia de Industria y Comercio. No reemplaza tus políticas ni tu oficial de protección de datos, pero sin evidencia técnica, el cumplimiento queda en papel.
Solicita tu prueba de penetración en Colombia con DragonJAR
Si tu empresa opera en Colombia, el siguiente paso es simple: completa el formulario y agenda una llamada de descubrimiento sin costo. En esa llamada levantamos tu inventario de activos, entendemos tu sector —banca, energía, salud, retail, servicios— y te recomendamos un alcance concreto: qué probar, con qué profundidad y en qué orden. Sin compromiso.
Después recibes una cotización clara, con entregables definidos, informe ejecutivo en español, recomendaciones accionables de remediación y re-test incluido para verificar las correcciones. DragonJAR atiende empresas en Colombia y Latinoamérica de forma remota y presencial.
Conclusión
El ataque a IFX Networks demostró que en Colombia ni las entidades del Estado están a salvo cuando un proveedor falla, y que más de 55 millones de datos pueden quedar expuestos en un solo incidente. La diferencia entre ser la próxima noticia y ser la empresa que detectó el problema a tiempo suele ser una sola decisión: probar tus defensas antes que un atacante. Una prueba de penetración en Colombia bien contratada —con alcance escrito, explotación manual, informe en español y re-test— te da algo que ningún firewall te da: la certeza de saber por dónde eres vulnerable y un plan para cerrarlo.