Descubra lo que un atacante vería en su empresa en Santander de Quilichao, antes de que lo explote.
Prueba de Penetración real para empresas de Santander de Quilichao: simulamos ataques con las mismas técnicas que usaría un adversario, con hallazgos priorizados por riesgo real y retest de las correcciones.
Después del sismo de Tierradentro de 1994, el Estado creó incentivos tributarios —la Ley Páez— para atraer inversión al norte del Cauca, y las fábricas llegaron: alimentos, farmacéuticas, papel, manufactura. Hoy ese corredor industrial entre Puerto Tejada, Caloto, Guachené y Villa Rica comparte territorio con la caña de azúcar —el Ingenio del Cauca opera en Miranda—, con un comercio intenso sobre la Panamericana y con empresas que enlazan oficinas, plantas y distribuidores en una misma red. Un atacante no filtra por tamaño de ciudad: filtra por sistemas expuestos y por operaciones que no pueden detenerse. La prueba de penetración en Santander de Quilichao existe para que esas empresas descubran sus puntos débiles antes que él.
En resumen: DragonJAR SAS, empresa colombiana de seguridad informática ofensiva con sede en Manizales (comunidad desde 2001, empresa desde 2012), realiza prueba de penetración real para empresas de Santander de Quilichao, con informes ejecutivo y técnico en español, priorizados por riesgo de negocio, y retest de las correcciones.
Tabla de Contenido
Santander de Quilichao: agroindustria y comercio en el norte del Cauca
Santander de Quilichao, en el norte del Cauca, es un polo agroindustrial —caña de azúcar e ingenios, procesamiento de alimentos— con comercio activo y zonas industriales que articulan la producción con los mercados del Valle del Cauca. Su posición sobre el corredor de la Panamericana, entre Cali y Popayán, la convierte en nodo logístico y comercial: buena parte de lo que se produce en el norte del Cauca pasa por aquí hacia el resto del país.
Las empresas agroindustriales operan con sistemas de gestión y operación conectados, los comercios facturan electrónicamente y los proveedores logísticos trabajan enlazados en redes corporativas que unen oficinas, plantas y distribuidores. A eso se suma el tejido industrial del corredor —nacido de los incentivos de la Ley Páez—: plantas con ERP, sistemas de control y equipos de tecnología reducidos que sostienen operaciones críticas. Ese perfil —industria y comercio con sistemas conectados y una operación que no puede detenerse— define una superficie de ataque donde la continuidad operativa es el activo más valioso.
Por qué una empresa de aquí es objetivo
Hay una idea cómoda y falsa: que los atacantes solo miran a las capitales. La realidad que vemos en la práctica es otra:
- La continuidad operativa es presión de rescate: una agroindustria o una planta que no puede parar un día es el cliente ideal del ransomware. El atacante no necesita saber dónde queda Santander de Quilichao: necesita saber que parar su planta le cuesta más que pagar.
- Es eslabón de cadenas más grandes: las empresas del corredor proveen y distribuyen para compañías del Valle y del resto del país. Comprometer a un proveedor con accesos a los sistemas del cliente es una vía clásica de entrada hacia objetivos mayores.
- Los sistemas de dinero están en línea: facturación electrónica ante la DIAN, ERP, banca empresarial y plataformas de pedidos. Donde se mueve dinero digital, hay fraude esperando su turno.
- La convergencia IT/OT: plantas donde la red de oficinas y la de producción comparten infraestructura. Un phishing al área administrativa puede terminar en los sistemas de operación.
Riesgos de ciberseguridad para las empresas en Santander de Quilichao
De forma concreta, lo que más amenaza a organizaciones de este perfil:
- Ransomware con potencial de detener la operación productiva: plantas y comercios donde un cifrado de sistemas significa producción o ventas detenidas por días.
- Compromiso de sistemas de gestión y facturación: ERP y plataformas de facturación electrónica expuestos a internet o protegidos con accesos débiles.
- Phishing dirigido a personal administrativo y operativo, la vía de entrada más común en empresas sin entrenamiento formal en seguridad.
- Filtración de datos de clientes y proveedores desde portales y bases de datos sin endurecimiento adecuado.
- Redes industriales y corporativas sin segmentación: sistemas de control alcanzables desde la red de oficinas por reglas de firewall olvidadas o accesos remotos permanentes de proveedores.
Errores típicos que vemos en empresas de la región
Sin nombres, porque la confidencialidad no se negocia. Pero estos patrones se repiten tanto que vale la pena nombrarlos:
- La red plana: oficinas, planta y cámaras en la misma red, sin segmentación. Un equipo comprometido en recepción puede alcanzar los sistemas de producción.
- Las credenciales del instalador: firewalls, VPN y cámaras todavía con el usuario y la contraseña que dejó el técnico que los instaló hace años.
- El ERP abierto al mundo: el sistema de gestión o la facturación publicados en internet para que el contador trabaje desde casa, sin VPN ni doble factor de autenticación.
- El proveedor con llave permanente: accesos remotos de terceros —soporte del software, mantenimiento— activos las 24 horas, sin revisión de quién entra ni de cuándo.
- El mismo administrador en todas partes: una sola cuenta con privilegios usada en todos los equipos, sin registro de quién hizo qué.
- Respaldos en el mismo servidor: las copias de seguridad guardadas en la misma infraestructura que protegen. El ransomware las cifra primero.
Tipos de prueba de penetración recomendados aquí
No toda prueba sirve para todo. Según lo que vemos en la región, esto es lo que más valor aporta:
- Pentesting externo: qué puede hacer un atacante desde internet contra su perímetro —VPN, correo, portales, facturación expuesta—. Es la primera prueba que debería pasar cualquier empresa conectada.
- Pentesting interno: qué puede hacer alguien que ya está dentro de su red —un atacante que entró por phishing, o un empleado descontento—. Responda la pregunta que la prueba externa no responde.
- Pruebas a aplicaciones web: portales de clientes, plataformas de pedidos y sistemas de autogestión. Donde hay formularios y sesiones, hay lógica que romper.
- Ingeniería social y phishing dirigido: prueba controlada a su personal administrativo y operativo. En nuestra experiencia, es la vía de entrada más frecuente en empresas de la región.
- Revisión de segmentación IT/OT: para plantas, verificar que la red de producción esté realmente separada de la de oficinas y que los accesos de proveedores estén controlados.
Qué pedir en el alcance mínimo antes de firmar: inventario de activos a probar, reglas de juego por escrito, ventanas de prueba acordadas, cómo se reporta un hallazgo crítico y qué incluye el re-test. Si la propuesta no define eso, no es un alcance: es una promesa.
Cómo trabaja DragonJAR en una prueba como esta
Una prueba de penetración bien hecha no interrumpe su operación: se diseña para no hacerlo. Antes de empezar se acuerdan las reglas de juego —qué se prueba, cuándo, con qué intensidad—, se coordinan ventanas con su equipo y los sistemas críticos de producción se prueban con cuidado o sobre entornos equivalentes cuando el riesgo lo exige. Durante la prueba hay comunicación directa: si aparece algo crítico, le enteras en el momento, no en el informe final.
Al cierre recibe informes en español —resumen ejecutivo para la dirección y detalle técnico para su equipo—, con cada hallazgo priorizado por riesgo, evidencia de cómo se explotó y recomendaciones concretas de remediación. Y después de que su equipo corrige, se hace el re-test: volvemos a probar para confirmar que la vulnerabilidad quedó cerrada de verdad. Todo bajo acuerdo de confidencialidad firmado antes de la primera prueba.
La honestidad comercial que nos caracteriza: un pentesting no siempre es lo que necesita. Si su empresa no tiene inventario de sus activos, ni parches al día, ni siquiera un análisis de vulnerabilidades previo, lo sensato es empezar por ahí —un pentest sobre una infraestructura desordenada confirma lo obvio y le cobra por ello—. Y si su operación son unas pocas computadoras y un correo, una prueba completa es un gasto desproporcionado. En la llamada de descubrimiento le decimos cuál es su caso, aunque la respuesta sea que no nos necesita todavía.
Normativa aplicable en Colombia
Dos leyes marcan el terreno, y conviene entender qué exige cada una sin adornos:
- Ley 1581 de 2012, de Protección de Datos Personales (texto oficial, MinTIC): aplica a cualquier empresa que trate datos personales en Colombia —clientes, empleados, proveedores—. Exige implementar medidas para garantizar la seguridad de esos datos, y la Superintendencia de Industria y Comercio vigila y sanciona. Una prueba de penetración es la evidencia más sólida de que sus medidas funcionan.
- Ley 1273 de 2009, de Protección de la Información y de los Datos (texto oficial, Cancillería): creó en el Código Penal los delitos contra la confidencialidad, integridad y disponibilidad de los datos y sistemas informáticos —acceso abusivo, daño informático, interceptación, entre otros—. Es la ley que castiga al atacante; su responsabilidad como empresa está en no facilitarle el trabajo.
Además, la facturación electrónica obligatoria de la DIAN puso sus sistemas de facturación y su ERP en el centro de la operación: manejan dinero y datos tributarios, y por eso son objetivo. Probarlos no es opcional si sus ingresos dependen de ellos.
Preguntas frecuentes sobre la prueba de penetración en Santander de Quilichao
¿Las pruebas pueden detener mi planta o mi operación?
No, si se hacen bien. Antes de empezar se acuerdan reglas de juego y ventanas de prueba con su equipo, y los sistemas críticos de producción se prueban con intensidad controlada o sobre entornos equivalentes. Los ataques destructivos se excluyen por defecto.
¿Cuánto dura y cuánto cuesta una prueba para una empresa mediana?
Una prueba típica para una empresa mediana toma entre dos y cuatro semanas, según el tamaño del alcance. El costo depende de los activos a probar —no es lo mismo un portal web que una planta con red industrial—. La cotización exacta sale del alcance que se define con usted en la llamada de descubrimiento, sin costo.
¿Necesito un pentesting o me alcanza con antivirus y firewall?
El antivirus y el firewall son necesarios pero no suficientes: le protegen de lo conocido, no le dicen qué puede explotar un atacante en su configuración específica. Si nunca ha probado sus defensas contra un atacante real —aunque sea simulado—, no sabe si funcionan. Ahora bien, si ni siquiera tiene los parches al día, primero ordena eso: un pentest sobre una infraestructura desatendida confirma lo obvio.
¿Trabajan solo con empresas grandes o también con pymes?
También con pymes. El alcance se ajusta al tamaño de su operación: una pyme comercial no necesita el mismo programa que una planta industrial. Lo que no hacemos es venderle una prueba sobredimensionada para su realidad.
¿Qué pasa si encuentran una vulnerabilidad crítica durante la prueba?
Se la reportamos de inmediato, con la evidencia y una recomendación de contención, sin esperar al informe final. La prueba continúa solo después de acordarlo con usted.
¿Los informes sirven para cumplir la Ley 1581 o para auditorías?
Sí. Se entregan en español, con resumen ejecutivo y detalle técnico, hallazgos priorizados por riesgo y evidencia de remediación con re-test. Es el formato que piden auditores, clientes corporativos y procesos de contratación.
Los atacantes no consultan el mapa antes de elegir objetivo: buscan sistemas expuestos, operaciones que no pueden parar y datos que valen dinero. En el norte del Cauca hay de los tres. La diferencia entre ser noticia o no suele estar en quién probó primero sus defensas.
Solicite su prueba de penetración en Santander de Quilichao con DragonJAR
Si su empresa opera en Santander de Quilichao o en el norte del Cauca —agroindustria, comercio, logística o industria—, una prueba de penetración adaptada a su operación muestra con precisión dónde está expuesto: aplicaciones, infraestructura, redes y el factor humano, con especial atención a los entornos productivos que no pueden detenerse.
DragonJAR —comunidad de seguridad informática desde 2001 y empresa desde 2012— ejecuta pruebas de penetración para empresas en Santander de Quilichao y todo el norte del Cauca, con cobertura remota y presencial. Complete el formulario: recibe una llamada de descubrimiento sin costo donde revisamos su caso y le decimos con honestidad qué tipo de prueba tiene sentido para usted —o si primero necesita ordenar la casa—. Sin compromiso: la recomendación es la misma aunque no contrate nada.