Descubra lo que un atacante vería en su empresa en Colombia, antes de que lo explote.
Prueba de Pentesting real para empresas de Colombia: simulamos ataques con las mismas técnicas que usaría un adversario, con hallazgos priorizados por riesgo real y retest de las correcciones.
El 12 de septiembre de 2023, el colectivo Ransomhouse lanzó un ransomware contra IFX Networks, un proveedor de servicios en la nube contratado por el Estado colombiano. El resultado: alrededor de 760 compañías latinoamericanas afectadas y, en Colombia, al menos 50 entidades estatales con sus portales caídos —el Ministerio de Salud, el Consejo Superior de la Judicatura, la Superintendencia de Industria y Comercio, la Superintendencia de Salud—. El Ministerio de Salud reconoció que más de 55 millones de datos se vieron afectados, y el gobierno anunció una demanda contra el proveedor por fallas en sus protocolos de seguridad. El ataque no fue contra el Estado: fue contra su proveedor. Y aun así paralizó al Estado.
Esa es la lección de ese septiembre: su seguridad no termina en su perímetro, termina en el proveedor más débil de su cadena. Si opera en Colombia —sede en una ciudad, sucursales en varias regiones, proveedores en distintas partes del país—, una prueba que ignore a sus terceros mide la mitad de su riesgo.
En resumen: DragonJAR SAS, empresa colombiana de seguridad informática ofensiva con sede en Manizales (comunidad desde 2001, empresa desde 2012), realiza prueba de pentesting real para empresas de Colombia, con informes ejecutivo y técnico en español, priorizados por riesgo de negocio, y retest de las correcciones.
Tabla de Contenido
Colombia: un escenario nacional exigente para la seguridad informática
A nivel nacional, la superficie de ataque de las organizaciones colombianas es amplia y diversa: sectores financiero, salud, gobierno, energía, telecomunicaciones, comercio electrónico y educación concentran activos digitales críticos repartidos en ciudades y regiones con realidades operativas distintas. Muchas empresas operan con sede principal en una ciudad, sucursales en varias regiones, equipos de trabajo distribuidos y proveedores o aliados tecnológicos en distintas partes del país, lo que multiplica los puntos de acceso y las integraciones a evaluar.
El volumen de intentos lo confirma: solo en el primer semestre de 2023, Colombia recibió 5.000 millones de intentos de ataques informáticos, según datos de Fortinet. Y el costo es real: el 86% de las organizaciones de América Latina y el Caribe sufrió al menos una intrusión cibernética en 2024, según el Reporte Global sobre Brecha de Habilidades de Fortinet 2025.
Por qué las empresas colombianas están en la mira
Un atacante elige objetivos por rentabilidad, y Colombia ofrece de sobra. Primero, el valor concentrado: banca y fintech con datos financieros de millones de personas, EPS y clínicas con historiales médicos, retail con bases de datos de clientes de todo el país. Segundo, la interconexión multirregional: una empresa con presencia en varias ciudades tiene decenas de integraciones entre sedes, proveedores de pago, nómina y nube; cada una es una posible puerta de entrada.
Tercero, la cadena de suministro: el caso IFX demostró que comprometer a un proveedor es la vía más corta para llegar a decenas de organizaciones a la vez. Si depende de proveedores que tocan sus datos —o si presta servicios a un banco o al Estado—, es objetivo por asociación.
Y cuarto, el factor estructural: según el análisis de la Universidad Javeriana sobre el caso IFX, el 93% de las empresas colombianas son pymes —principalmente microempresas— sin equipos de seguridad dedicados. Es la superficie que los atacantes automatizados barren primero.
Los errores que más se repiten en la región
Después de años auditando empresas colombianas, estas fallas aparecen con una regularidad casi predecible:
Credenciales débiles o reutilizadas entre sedes. La misma contraseña del correo corporativo usada en plataformas compartidas entre oficinas. Compromete una cuenta y tiene las llaves de varias.
Sucursales menos protegidas que la sede principal. La oficina regional con el router sin actualizar, la red WiFi de invitados conectada a la corporativa, el equipo de hace seis años sin parches. El atacante no entra por la puerta blindada: entra por la ventana de la sucursal.
Datos personales en sistemas desactualizados. Bases de datos de clientes, pacientes o empleados en aplicaciones sin mantenimiento, expuestas o con accesos amplios. Con la Ley 1581 de 2012 exigiendo medidas adecuadas de seguridad, esto no es solo un riesgo técnico: es un riesgo jurídico.
Phishing de pagos y facturas. Ingeniería social en español, con pretextos de pagos a proveedores, facturas electrónicas y trámites. Es el vector de entrada más común que vemos, y el que menos presupuesto recibe para prevenirse.
Terceros con acceso permanente y sin auditar. El proveedor de soporte con VPN abierta desde hace años, el desarrollador externo con acceso de administrador que nadie revocó. El caso IFX Networks es la versión extrema de un problema cotidiano.
Tipos de prueba recomendados en Colombia
No todas las empresas necesitan lo mismo. Según el perfil, estas son las pruebas con más sentido:
Pentest externo perimetral multirregión. Para cualquier empresa con servicios publicados en internet, evaluando también la exposición de sucursales y oficinas regionales. Simula lo que vería un atacante desde afuera.
Pentest de aplicaciones web y APIs. Si su negocio depende de un portal de clientes, una tienda en línea o una app móvil, aquí está su mayor exposición: lógica de negocio, control de accesos, inyección y manejo de sesiones.
Pentest de infraestructura interna. Para empresas con red corporativa y oficinas distribuidas: qué podría hacer un atacante que ya está adentro, sea un empleado, un dispositivo comprometido o un tercero con acceso.
Revisión de seguridad en la nube. Si opera en AWS, Azure o Google Cloud: permisos, exposición pública, cifrado y registros de sus servicios.
Evaluación de terceros y cadena de suministro. Revisar la postura de seguridad de los proveedores que tocan sus datos o sus sistemas. Después de septiembre de 2023, esto dejó de ser opcional.
Ingeniería social y phishing controlado. Mide la preparación de su gente frente a ataques dirigidos. En nuestra experiencia, es donde más sorpresas —y más aprendizajes— aparecen.
Un escáner automatizado complementa, pero no reemplaza al pentest: lista posibles debilidades; la prueba de penetración demuestra cuáles son realmente explotables y con qué impacto para su negocio.
Cómo trabaja DragonJAR
El proceso empieza con una llamada de descubrimiento: entendemos su operación, sus activos críticos, sus sedes y sus proveedores, y con eso definimos un alcance preciso —qué se prueba, qué se excluye y en qué ventana. Nada genérico: el alcance se diseña para su empresa.
La ejecución combina herramientas con trabajo manual de especialistas. Los escáneres encuentran lo obvio; las vulnerabilidades que de verdad duelen —lógica de negocio rota, controles de acceso mal implementados, encadenamiento de fallas menores— solo aparecen con pruebas manuales y criterio de atacante. Todo se hace de forma controlada y coordinada con su equipo técnico.
El informe llega en español, con cada hallazgo priorizado por riesgo real para su negocio, evidencia de la explotación y recomendaciones prácticas de remediación. Y cuando su equipo corrige, verificamos con re-test ilimitados hasta confirmar que cada hallazgo quedó cerrado. Hallazgos validados: lo que reportamos, lo demostramos.
DragonJAR nace de una comunidad de seguridad activa desde 2001 y opera como empresa desde 2012, con experiencia auditando sectores como el financiero, salud, educación, telecomunicaciones, hidrocarburos y gobierno en Colombia y la región.
Marco normativo: qué le exige la ley colombiana
En Colombia, a diferencia de otros países de la región, el marco normativo sí presiona directamente:
Ley 1581 de 2012 (protección de datos personales). Exige a responsables y encargados del tratamiento adoptar medidas técnicas, humanas y administrativas adecuadas para la seguridad de los datos personales. Un pentest es la forma más directa de demostrar que esas medidas existen y funcionan.
Decreto 1078 de 2015 (sector TIC). El decreto único del sector de tecnologías de la información exige a quienes tratan información contar con estrategias de seguridad y privacidad de la información y evaluaciones periódicas del riesgo de seguridad digital.
Ley 1273 de 2009 (delitos informáticos). Tipifica el acceso abusivo a sistemas informáticos, la interceptación de datos, el daño informático y el uso de software malicioso, entre otros.
El informe de un pentest documenta qué se evaluó, qué se encontró con evidencia y qué se corrigió y verificó: el respaldo técnico que una auditoría de cumplimiento necesita para validar sus medidas de seguridad.
Preguntas frecuentes sobre la prueba de pentesting en Colombia
¿Cada cuánto deberíamos hacer un pentest?
Como mínimo una vez al año, y siempre después de cambios significativos: lanzamiento de una aplicación, migración a la nube, apertura de una sede, incorporación de un proveedor crítico o un incidente de seguridad. La seguridad se desactualiza al ritmo de sus cambios.
¿La prueba puede tumbar nuestros sistemas o interrumpir la operación?
El protocolo está diseñado para no interrumpir la operación: ventanas acordadas con su equipo, exclusiones de sistemas críticos y aviso inmediato ante cualquier riesgo detectado durante la ejecución.
¿El informe nos sirve para cumplir la Ley 1581 de 2012?
El informe documenta qué se evaluó, qué se encontró con evidencia y qué se corrigió y verificó: el respaldo técnico para demostrar medidas de seguridad ante auditorías y frente a la Ley 1581 de 2012.
¿Incluyen a nuestros proveedores en el alcance?
Sí, y después del caso IFX Networks lo recomendamos con insistencia: los proveedores con acceso a sus sistemas o sus datos pueden evaluarse dentro del alcance, con las autorizaciones correspondientes. Es la superficie que más empresas descuidan.
¿Hay casos en los que un pentest NO sea lo que necesitamos?
Sí, y se lo diremos en la llamada de descubrimiento. Si nunca ha hecho un análisis de vulnerabilidades, si no tiene inventario claro de sus activos expuestos, o si no cuenta con quién remedie los hallazgos, empezar por un pentest es quemar el presupuesto: primero ordena la casa con un diagnóstico y capacidad de corrección, y el pentest vendrá después. Venderle una prueba que no puede aprovechar sería mala práctica.
¿Qué información necesitan de nuestra empresa para empezar?
Una llamada para definir el alcance, accesos de prueba a los sistemas incluidos y un contacto técnico disponible durante la ejecución. Entre más contexto nos des sobre sus activos críticos y sus sedes, más precisa será la prueba.
¿Cuánto cuesta y cuánto tarda una prueba de Pentesting en Colombia?
Depende del alcance: cuántas aplicaciones, APIs, direcciones IP o sedes entran, la profundidad de la prueba y las ventanas disponibles. El costo y el plazo se confirman en la propuesta que recibe tras solicitarla. Solicitar cotización.
Conclusión: descubre su exposición antes que un atacante
Septiembre de 2023 demostró que ni el Estado está a salvo cuando su proveedor falla. La diferencia entre una empresa que sufre un incidente y una que lo evita no suele ser el presupuesto, sino haber mirado sus propias defensas con ojos de atacante antes de que otro lo hiciera. Un pentest le da ese mapa honesto de su exposición: DragonJAR —comunidad desde 2001, empresa desde 2012— lo ejecuta con informes en español, re-test ilimitados y hallazgos validados manualmente.
Solicite su prueba de Pentesting en Colombia con DragonJAR
Si su organización opera en Colombia —una o varias ciudades, equipos distribuidos—, una prueba adaptada a su alcance nacional revela con precisión dónde está expuesto: aplicaciones, infraestructura, proveedores y el factor humano. Conozca nuestros servicios de seguridad informática y escríbanos para agendar una llamada de descubrimiento sin costo.
Al llenar el formulario recibe un diagnóstico inicial de alcance, una propuesta escrita con metodología y tiempos estimados, y una llamada de descubrimiento sin compromiso. Antes de hacerlo, pregúntese: ¿cuándo fue la última vez que alguien intentó vulnerar sus sistemas a propósito? ¿Sabe cuántos accesos de terceros a su red siguen activos? ¿Sus sucursales tienen el mismo nivel de protección que su sede? Si alguna respuesta le inquieta, hablemos.