Descubra lo que un atacante vería en su empresa en Pasto, antes de que lo explote.
Prueba de penetración real para empresas de Pasto: simulamos ataques con las mismas técnicas que usaría un adversario, con hallazgos priorizados por riesgo real y retest de las correcciones.
En resumen: DragonJAR SAS, empresa colombiana de seguridad informática ofensiva con sede en Manizales (comunidad desde 2001, empresa desde 2012), realiza prueba de penetración real para empresas de Pasto, con informes ejecutivo y técnico en español, priorizados por riesgo de negocio, y retest de las correcciones.
Tabla de Contenido
Prueba de penetración en Pasto: la ciudad fronteriza que mueve comercio binacional necesita probarse como lo que es: objetivo
Pasto está a 85 kilómetros de Rumichaca, el paso fronterizo con Ecuador, y cada enero su Carnaval de Negros y Blancos —Patrimonio Cultural Inmaterial de la Humanidad por la UNESCO desde 2009— concentra alrededor de 200.000 turistas en la frontera colombo-ecuatoriana (Turisec; Carnaval de Pasto, historia oficial). Ciudad comercial, universitaria y de frontera: Nariño es un corredor comercial y migratorio clave para el país, con conexión al Pacífico por Tumaco y frontera con Ecuador en Ipiales. Donde hay frontera hay comercio, y donde hay comercio digital hay atacantes. Esta guía explica la amenaza real para las empresas pastusas, qué debe cubrir una prueba de penetración aquí y qué normativa aplica de verdad.
La amenaza concreta: frontera, comercio y turismo estacional
El perfil de riesgo de Pasto no es el de una ciudad interior cualquiera:
- Comercio binacional digitalizado: empresas que compran y venden a lado y lado de la frontera, con pagos, transferencias y coordinación por correo y mensajería. El fraude por correo (BEC) —suplantar a un proveedor ecuatoriano o colombiano para desviar un pago— es el ataque con mejor retorno en este entorno.
- Turismo de carnaval: hoteles, restaurantes y operadores que en enero multiplican sus transacciones: reservas en línea, pagos con tarjeta, Wi-Fi para miles de visitantes. Infraestructura montada para el pico y vulnerable todo el año.
- Servicios y sector público: trámites en línea, bases de datos de ciudadanos y una ciudad universitaria con miles de cuentas estudiantiles.
- Conectividad como dependencia: la operación comercial de la región depende de sistemas siempre disponibles; un ransomware en temporada de carnaval o en un cierre comercial no es un incidente de TI, es una pérdida directa.
Superficie de ataque por sector en Pasto
- Comercio e importadores: correo corporativo sin doble factor, pagos a proveedores coordinados por email, sistemas contables accesibles remotamente. El BEC entra por aquí.
- Hotelería y turismo: motores de reserva, pasarelas de pago, bases de datos de huéspedes y redes Wi-Fi sin segmentar.
- Transporte y logística fronteriza: sistemas de despacho y trazabilidad; la indisponibilidad paraliza la operación.
- Educación superior: plataformas académicas y portales con grandes volúmenes de cuentas y contraseñas débiles.
- Salud: historias clínicas y datos sensibles bajo la Ley 1581 de 2012.
Qué debe cubrir un Pentesting en Pasto
- Prueba externa a aplicaciones web: sitio, tienda o portal de reservas, formularios que capturan datos personales.
- Seguridad del correo y campaña de phishing controlada: en una ciudad donde el negocio se cierra por email, el eslabón humano es el perímetro real.
- Revisión de accesos remotos: quién entra a los sistemas contables y administrativos desde fuera, con qué autenticación.
- Segmentación de red: que la red de invitados o de caja no tenga ruta a los sistemas administrativos.
- Prueba de ransomware-readiness honesta: respaldos verificados —un backup que nunca se restauró es un backup que no existe.
La diferencia entre análisis de vulnerabilidades y pentesting es concreta: el primero lista posibles brechas; el segundo las explota de forma controlada para demostrar qué daño real causarían —por ejemplo, desviar un pago a un proveedor o cifrar el sistema contable.
Normativa colombiana que sí aplica
No existe norma municipal de Pasto ni departamental de Nariño que obligue a contratar pruebas de penetración —desconfíe de quien le venda una «normativa local». El marco real:
- Ley 1581 de 2012: medidas técnicas de seguridad para quien trate datos personales; la SIC multa hasta con 2.000 salarios mínimos mensuales. Texto oficial.
- Ley 1273 de 2009: delitos informáticos en Colombia. Texto oficial.
- PCI DSS 11.3: pentesting anual para quien procese datos de tarjetas.
Escenarios que vemos en ciudades de frontera (anonimizados)
El proveedor que no era. Una comercializadora recibió las «nuevas instrucciones bancarias» de su proveedor habitual —mismo nombre, dominio con un carácter cambiado— y estuvo a una llamada de transferir el pago de un contenedor. La verificación por un segundo canal (llamada al número conocido, no al del correo) evitó la pérdida. El pentesting incluyó phishing dirigido al área administrativa: dos de cinco empleados cayeron.
La reserva manipulable. En un operador turístico, el valor de los paquetes se calculaba en el navegador: alterando la petición se confirmaban reservas a precio irrisorio. Ningún atacante sofisticado hizo falta: bastó inspeccionar la página.
El acceso remoto eterno. Un excontratista conservaba acceso VPN al sistema contable ocho meses después de terminar su contrato. La prueba lo encontró en la primera hora: cuentas sin desactivar son la vulnerabilidad más barata de explotar y la más cara de ignorar.
Preguntas frecuentes sobre pruebas de penetración en Pasto
¿Mi empresa es muy pequeña para esto?
Si factura electrónicamente, coordina pagos por correo o toma reservas en línea, tiene superficie atacable. Existen alcances acotados para pymes que cuestan menos que un solo incidente.
¿La prueba interrumpe la operación?
No: se pactan por escrito ventanas, exclusiones y protocolos de parada antes de empezar.
¿Cada cuánto?
Una vez al año como base, y tras cambios relevantes: nuevo sistema contable, nueva pasarela de pago, migración a la nube.
¿Qué recibo al final?
Informe ejecutivo para la gerencia e informe técnico con evidencia y remediación por hallazgo, más re-test para verificar las correcciones.
¿DragonJAR trabaja en Pasto?
Sí. DragonJAR —comunidad de seguridad informática activa desde 2001, formalizada como empresa en 2012— atiende empresas en Pasto y Nariño de forma remota y presencial, con informes en español y re-test incluido.
¿Cuánto cuesta y cuánto tarda una prueba de penetración en Pasto?
Depende del alcance: cuántas aplicaciones, APIs, direcciones IP o sedes entran, la profundidad de la prueba y las ventanas disponibles. El costo y el plazo se confirman en la propuesta que recibe tras solicitarla. Solicitar cotización.
Hablemos del alcance para su empresa en Pasto
Si opera en Pasto —comercio, turismo, logística, servicios o educación—, agende una llamada de descubrimiento sin costo: revisamos cómo opera su negocio, le recomendamos el alcance que de verdad necesita y recibe una cotización clara, sin compromiso. En una ciudad de frontera, la velocidad del negocio es una ventaja; que su seguridad vaya a la misma velocidad es una decisión.