Prueba de Penetración en Perú

Por qué las empresas peruanas están en la mira

El Perú combina varios de los sectores que más atraen a los atacantes en la región. La banca y las financieras mueven dinero digital todos los días y concentran datos personales de millones de clientes —por eso la SBS viene endureciendo las exigencias: desde julio de 2025 los pagos con tarjeta exigen doble verificación (Resolución SBS N.° 2286-2024), y su reglamento de sanciones ya califica como infracción muy grave no proteger adecuadamente la información frente a incidentes de seguridad (Resolución SBS N.° 01029-2026). La minería opera sistemas de control y geología conectados —el ataque al Ingemmet en julio de 2024 devolvió el registro de petitorios mineros al trámite presencial durante semanas—. El retail y el comercio electrónico crecen con plataformas lanzadas a toda prisa, y la agroexportación depende de logística y trazabilidad digitales que, si se detienen, paran embarques. Y por debajo de todos ellos, cientos de pymes proveedoras con accesos a las redes de sus grandes clientes: la puerta de entrada favorita cuando el objetivo principal está bien defendido.

Errores típicos que vemos en empresas de la región

En nuestra experiencia haciendo pruebas en América Latina, los fallos que más se repiten en empresas peruanas no son sofisticados:

• Lanzar primero y asegurar después: la app, el ecommerce o el portal de clientes sale a producción sin una sola prueba de seguridad. El primer «pentester» que la toca es un atacante.
• Credenciales de fábrica en planta y oficinas: cámaras, routers, impresoras multifuncionales y equipos de control con usuario y clave por defecto, a veces accesibles desde internet.
• Accesos de contratistas que nadie revoca: el proveedor del ERP, el contador externo, la agencia de marketing: todos con accesos vigentes mucho después de terminar su trabajo.
• Backups que existen pero nunca se probaron: descubrir en pleno ransomware que la copia no restaura es una de las experiencias más caras que hemos visto.
• Phishing a tesorería y contabilidad: facturas falsas y suplantación de gerencia dirigidas a quien autoriza pagos. El fraude electrónico, no el malware exótico, es el que vacía cuentas.
• «La nube se encarga»: el proveedor cloud protege la infraestructura, no su configuración. Buckets abiertos, llaves expuestas en repositorios y consolas sin doble factor son fallos del cliente, no de la nube.

Perú: contexto económico y superficie de ataque

Perú combina minería, banca, retail, agroexportación y servicios como pilares de su economía, con Lima como centro corporativo y financiero del país. Las empresas peruanas —mineras con operaciones y sistemas de control conectados, bancos y financieras con banca digital, retailers con comercio electrónico, agroexportadoras con logística y trazabilidad digital, y pymes proveedoras— sostienen su operación sobre aplicaciones web y móviles, ERPs, redes corporativas y accesos remotos: una superficie amplia que abarca desde la oficina hasta la operación industrial y que exige pruebas de penetración adaptadas a cada sector, no un enfoque único.

Riesgos de ciberseguridad para las empresas en Perú

Las organizaciones peruanas enfrentan riesgos propios de una economía diversificada y conectada: sistemas industriales y de operación con conectividad creciente, fraude electrónico contra usuarios de banca y comercio digital, accesos de contratistas y proveedores sin controles adecuados, y aplicaciones lanzadas al mercado sin pruebas de seguridad previas. Una prueba de penetración en Perú permite verificar de forma controlada si un atacante podría interrumpir operaciones críticas, comprometer datos financieros o de clientes, o moverse desde la red corporativa hacia los sistemas de producción.

Qué tipo de prueba de penetración necesita su empresa

No toda empresa necesita lo mismo. Esta es la guía que usamos con nuestros clientes:

• Pentest web y de APIs: si tiene un portal, un ecommerce, banca digital o una app que expone servicios. Es la prueba más pedida y la que más hallazgos críticos suele dejar.
• Pentest de red externa e interna: para saber qué ve un atacante desde internet y qué podría hacer alguien que ya está dentro (un empleado descontento, un proveedor, un equipo comprometido).
• Pentest móvil: si su negocio depende de una app (banca, delivery, servicios), incluyendo el análisis del backend que la sostiene.
• Ingeniería social y phishing simulado: para medir el eslabón humano, sobre todo en áreas que manejan dinero o datos sensibles.
• Evaluación de entorno industrial (OT): para minería, manufactura y energía con sistemas de control conectados: se evalúa sin detener la operación.

Y una honestidad necesaria: si su empresa aún no tiene inventario de activos ni parches al día, un pentest encontrará lo obvio a precio de consultoría. En ese caso, primero ordena la casa —inventario, parches, doble factor— y luego pide la prueba: rendirá mucho más. Se lo diremos en la llamada de descubrimiento si es su caso.

El marco legal peruano que sí le toca

En el Perú hay tres normas que todo decisor debería conocer antes de hablar de pentesting:

• Ley N.° 29733, Ley de Protección de Datos Personales: exige tratar los datos personales con medidas de seguridad adecuadas. Su nuevo reglamento, vigente desde el 31 de marzo de 2025, obliga a las grandes empresas a designar un Oficial de Datos Personales y contempla multas de hasta 100 UIT. La Autoridad Nacional de Protección de Datos Personales (ANPDP) ya advirtió que una filtración de datos personales constituye infracción muy grave, sancionable con 50 a 100 UIT (comunicado oficial). Un pentesting es la evidencia técnica de que sus medidas de seguridad existen y funcionan.
• Ley N.° 30096, Ley de Delitos Informáticos: publicada en El Peruano el 22 de octubre de 2013 y vigente, sanciona el acceso ilícito a sistemas informáticos (1 a 4 años de prisión, más si se vulneran medidas de seguridad), el atentado contra datos y sistemas, y el fraude informático, entre otras conductas. Sirve en dos direcciones: saber qué puede denunciar penalmente si le atacan —la División de Investigación de Delitos de Alta Tecnología (Divindat) de la Policía Nacional recibe estas denuncias— y ejecutar el pentesting con autorización escrita para operar dentro de la ley.
• Regulación de la SBS para el sector financiero: además de la doble verificación en pagos con tarjeta y del régimen sancionador ya mencionados, la SBS avanza hacia un esquema unificado de reporte de incidentes operacionales y de ciberseguridad para bancos, aseguradoras y AFP. Si opera en el sistema financiero peruano, sus controles serán auditados: un informe de pentesting serio es parte de la evidencia que le van a pedir.

Cómo trabaja DragonJAR

Nuestro proceso, el mismo que aplicamos en Colombia y en el resto de América Latina:

1. Descubrimiento y alcance: una llamada para entender su operación y definir qué entra en la prueba, activo por activo. Sin alcance claro no hay cotización.
2. Reglas de juego por escrito: autorización formal, ventanas de prueba, contactos de emergencia, qué está explícitamente fuera de límites. Todo firmado antes de empezar.
3. Ejecución manual: combinamos herramientas con pruebas manuales —los hallazgos que más importan rara vez los encuentra un escáner automático—.
4. Alerta inmediata: si aparece un hallazgo crítico en plena prueba, le avisamos por el canal acordado ese mismo día. No esperamos al informe final.
5. Informe en español: resumen ejecutivo para la gerencia (riesgo en términos de negocio) y detalle técnico con evidencia de explotación y pasos de remediación priorizados.
6. Re-test: verificamos que las correcciones funcionaron antes de cerrar el ciclo.

Toda la información se maneja bajo acuerdos de confidencialidad: lo que vemos en su red se queda en su red. Somos una comunidad de seguridad informática desde 2001 y una empresa de pentesting operando desde 2012; no inventamos credenciales: nuestro trabajo habla en los informes que entregamos.