Descubra lo que un atacante vería en su empresa en Medellín, antes de que lo explote.
Prueba de Pentesting real para empresas de Medellín: simulamos ataques con las mismas técnicas que usaría un adversario, con hallazgos priorizados por riesgo real y retest de las correcciones.
Medellín no es solo la segunda ciudad del país: desde la Ley 2286 de 2023 es oficialmente el Distrito Especial de Ciencia, Tecnología e Innovación de Colombia, y su centro de innovación —la Corporación Ruta N, creada en 2009 por la Alcaldía, EPM y UNE— articula un ecosistema de software, startups, salud y manufactura que produce, despliega y conecta sistemas todos los días. Esa densidad tecnológica es una fortaleza económica y, al mismo tiempo, una superficie de ataque concentrada. Una prueba de Pentesting en Medellín no es un lujo de empresas grandes: es la forma de saber si todo lo que su equipo publica, integra y conecta resiste a quien lo pruebe sin permiso.
En resumen: DragonJAR SAS, empresa colombiana de seguridad informática ofensiva con sede en Manizales (comunidad desde 2001, empresa desde 2012), realiza prueba de pentesting real para empresas de Medellín, con informes ejecutivo y técnico en español, priorizados por riesgo de negocio, y retest de las correcciones.
Tabla de Contenido
Por qué las empresas de Medellín son un objetivo atractivo
El perfil de la ciudad lo explica. Empresas de software con aplicaciones en producción y APIs expuestas; fintechs y servicios financieros en El Poblado y Laureles; clínicas y redes de salud con sistemas conectados y datos sensibles; manufactura y textiles digitalizando planta y administración; y un ecosistema startup que despliega rápido y a veces prueba la seguridad después. Cada despliegue sin pruebas es una puerta que se abre sin revisar la cerradura.
La concentración también atrae atención indeseada. El 13 de diciembre de 2022, Empresas Públicas de Medellín (EPM) —la empresa insignia de la ciudad— tuvo que cerrar la atención al cliente en oficinas y canales virtuales por un ciberataque. Si la infraestructura tecnológica más sólida de la región puede verse obligada a esa medida, ninguna empresa de software, salud o manufactura debería asumir que está fuera del radar.
Errores típicos que vemos en empresas de la región
Trabajando con empresas paisas, los patrones se repiten. APIs en producción sin pruebas de seguridad: el equipo de desarrollo publica, el negocio vende, y nadie validó autenticación, autorización ni exposición de datos. Accesos remotos de equipos distribuidos con VPN o escritorios publicados sin doble factor. Correo corporativo comprometido usado para fraudes a proveedores —el BEC es silencioso y carísimo—. Ransomware dirigido a pymes de software y manufactura que cifran operación y exfiltran antes. Y secretos y credenciales en repositorios: en ecosistemas de desarrollo denso, una llave filtrada en un repo es una invitación abierta.
El error más caro, sin embargo, es cultural: asumir que porque el equipo es técnicamente bueno, la seguridad está cubierta. Desarrollar bien no es lo mismo que resistir un ataque, y confundir ambas cosas es lo que más facturas nos ha tocado ver.
Qué tipos de prueba recomendamos según su sector
No toda empresa necesita lo mismo, y un buen alcance se diseña por sector. Software y startups: pentest a aplicaciones web y móviles más pruebas a APIs —es donde vive su negocio—. Fintech y servicios financieros: lo anterior más revisión de lógica de negocio: donde hay dinero, el atacante no busca vulnerabilidades técnicas, busca fallas en el flujo. Salud: aplicaciones, red interna y accesos remotos, con foco en datos sensibles de pacientes. Manufactura e industria: red corporativa, segmentación frente a entornos de planta y accesos remotos de contratistas. Todas: ingeniería social y pruebas al correo, porque el eslabón humano es el que más se explota en la región.
Una regla práctica: si su empresa publica algo en internet —una app, un portal de clientes, una API—, eso debe probarse al menos una vez al año y después de cada cambio relevante. Lo que no se prueba, se asume vulnerable.
Qué pedir en el alcance: el checklist mínimo
Si está comparando propuestas en Medellín, exija que el alcance responda estas preguntas por escrito. ¿Qué activos se prueban? URLs, IPs, aplicaciones móviles, APIs: inventario cerrado, sin «lo que encontremos». ¿Qué tipos de prueba incluye? Caja negra, gris o blanca —y por qué esa elección para su caso—. ¿Hay explotación manual o solo escáner? Un reporte de escáner no es un pentest, aunque lo llamen así. ¿Qué reglas de enfrentamiento? Ventanas horarias, sistemas excluidos, procedimiento si algo se cae. ¿Qué entregables? Informe técnico e informe ejecutivo en español, con evidencia y recomendaciones accionables. ¿Incluye re-test? Cuántos ciclos y con qué costo. ¿Quién prueba? Perfiles del equipo, no solo la marca.
Una propuesta que no responde esto por escrito no es una propuesta: es una cotización a ciegas. Y una cotización a ciegas para probar su seguridad es, en sí misma, una señal de inseguridad del proveedor.
Tres preguntas de autodiagnóstico
Primera: ¿cuándo fue la última vez que alguien intentó entrar a sus sistemas con permiso y le mostró por dónde lo logró? Si la respuesta es «nunca», su seguridad es una hipótesis. Segunda: de todo lo que su empresa publicó en internet en el último año —APIs, portales, apps—, ¿qué proporción pasó por una prueba de seguridad antes de salir? Tercera: si mañana un cliente grande le pide evidencia independiente de sus controles de seguridad, ¿qué le entregas?
En el ecosistema paisa, donde se vende tecnología todos los días, la tercera pregunta es la que más duele: cada vez más contratos —especialmente con clientes internacionales— exigen evidencia de pruebas de seguridad. No tenerla no solo es un riesgo; es una venta perdida.
Lo que el ataque a EPM le enseña a cualquier empresa paisa
El ciberataque a EPM en diciembre de 2022 deja tres lecciones. Una: el tamaño no protege —si la empresa de servicios públicos más sólida de la región tuvo que cerrar su atención al cliente, el «a nosotros no nos pasa» no es una estrategia—. Dos: la continuidad del servicio y la seguridad son cosas distintas: EPM mantuvo la prestación de energía, agua y gas, pero perdió sus canales de atención y pago. Su empresa puede «seguir operando» y aun así estar perdiendo dinero y confianza cada hora. Tres: la respuesta pública importa: cómo comunica un incidente define si sus clientes le ven como víctima diligente o como empresa descuidada. Tener evidencia previa de pruebas de seguridad cambia esa narrativa por completo.
Qué incluye el informe que recibirá
Un informe de pentesting bien hecho tiene dos lectores: su junta y su equipo técnico. Para la junta, un resumen ejecutivo en lenguaje de negocio: qué se probó, cuáles son los riesgos críticos con su impacto potencial y qué hay que hacer primero. Para el equipo técnico, el detalle por hallazgo: descripción, evidencia de la explotación —capturas, peticiones, pasos reproducibles—, criticidad justificada y recomendación concreta de remediación, no genérica.
Además, exija una matriz de riesgo priorizada —no una lista plana de 80 hallazgos donde todo parece igual de urgente— y un plan de remediación por fases que respete su realidad operativa. Y el anexo que más vale: el re-test, donde se verifica hallazgo por hallazgo qué quedó cerrado. Un informe sin re-test es una promesa sin verificar.
Cómo trabaja DragonJAR
DragonJAR nació como comunidad de seguridad informática en 2001 y opera como empresa desde 2012. Cada prueba se adapta al sector y al tamaño del cliente: alcance escrito y firmado, explotación manual controlada —no solo escáneres—, informe ejecutivo en español con hallazgos priorizados por riesgo y recomendaciones accionables, y re-test ilimitados para verificar que las correcciones funcionaron. Hallazgos validados: lo que reportamos, lo demostramos.
Atendemos empresas en Medellín y toda Colombia de forma remota y presencial. El proceso arranca con una llamada de descubrimiento sin costo donde levantamos su inventario de activos y le recomendamos un alcance concreto: qué probar, con qué profundidad y en qué orden. Sin compromiso y sin humo.
La normativa que aplica en Medellín
La Ley 1581 de 2012 obliga a las empresas a garantizar la seguridad de los datos personales que manejan, con multas de hasta 2.000 salarios mínimos mensuales legales vigentes. Una prueba de penetración es la evidencia técnica que demuestra diligencia frente a esa obligación: no basta con decir que protege los datos, hay que poder demostrarlo. Del otro lado, la Ley 1273 de 2009 tipifica como delito el acceso abusivo a sistemas informáticos —por eso un pentest siempre se hace con autorización escrita—. Contratarlo bien es la vía legítima; sufrirlo sin haberlo contratado, no.
Preguntas frecuentes sobre pentesting en Medellín
¿Cuánto tarda una prueba de pentesting para una empresa de software en Medellín?
Depende del alcance: una aplicación web típica toma de una a tres semanas de pruebas más el informe y el re-test. Lo que más retrasa los proyectos no es la prueba, sino no tener claro el alcance; por eso la llamada de descubrimiento define qué se prueba antes de cotizar.
¿El pentest interrumpe la operación de mi empresa?
No, si está bien hecho. Se acuerdan ventanas de prueba, reglas de enfrentamiento y exclusiones para sistemas críticos. Las pruebas que podrían afectar disponibilidad se coordinan o se simulan de forma controlada. Un proveedor serio nunca le tumba producción sin aviso.
¿Necesito pentest si ya tengo un análisis de vulnerabilidades?
Son complementarios, no equivalentes. El análisis lista posibles fallos; el pentest los explota para demostrar el impacto real: qué datos se podrían extraer, qué sistemas se podrían tomar. Si su análisis lleva meses sin que nadie valide qué es realmente explotable, le falta la mitad del trabajo.
¿Qué pasa si encuentran vulnerabilidades críticas?
Se le notifican de inmediato —no esperan al informe final— con la evidencia y la recomendación de contención. Después del informe, corrige y el re-test verifica que quedaron cerradas. Ese ciclo es lo que separa un informe de un cajón de una mejora real.
¿Atienden empresas fuera de Medellín?
Sí. Trabajamos de forma remota en toda Colombia y presencial cuando el alcance lo requiere —por ejemplo, pruebas de red interna o ingeniería social física—. La ciudad del cliente no cambia la metodología, solo la logística.
¿Cuánto cuesta y cuánto tarda una prueba de Pentesting en Medellín?
Depende del alcance: cuántas aplicaciones, APIs, direcciones IP o sedes entran, la profundidad de la prueba y las ventanas disponibles. El costo y el plazo se confirman en la propuesta que recibe tras solicitarla. Solicitar cotización.
Solicite su prueba de pentesting en Medellín con DragonJAR
Si su empresa desarrolla software, opera en salud, manufactura o servicios en Medellín, el siguiente paso es simple: completa el formulario y agenda una llamada de descubrimiento sin costo. Recibe una cotización clara con alcance definido, informe ejecutivo en español y re-test incluido. Sin compromiso.
El ataque a EPM demostró que en esta ciudad nadie está fuera del radar. La diferencia entre ser la próxima noticia y ser la empresa que detectó el problema a tiempo suele ser una sola decisión: probar sus defensas antes que un atacante.