Las mejores empresas de pentesting en Paraguay (2026)

Paraguay es un mercado pequeño pero regulado: la Ley 6534 de Protección de Datos Personales (2020) y la Resolución 6/2021 del Banco Central del Paraguay (BCP) establecen obligaciones concretas de seguridad informática para empresas financieras y cualquier organización que maneje datos de ciudadanos paraguayos.

Ante este escenario, elegir una empresa de pentesting competente no es un lujo sino una necesidad regulatoria y operativa. Este artículo presenta un ranking objetivo de las mejores opciones disponibles en 2026, basado en un checklist de ocho criterios verificables.

Por qué el pentesting importa en Paraguay

El ecosistema digital paraguayo creció de forma acelerada en los últimos años. El auge de billeteras digitales como Billetera Personal (Claro/Personal) y Zimple del Banco Continental amplió la superficie de ataque de miles de usuarios que realizan transacciones desde sus teléfonos. Al mismo tiempo, el marco regulatorio se volvió más exigente.

Ley 6534/2020 — Protección de Datos Personales: Promulgada en diciembre de 2020, esta ley exige que las organizaciones que tratan datos personales implementen medidas técnicas y organizativas adecuadas para protegerlos. No define explícitamente el pentesting, pero las "medidas técnicas" incluyen pruebas de seguridad periódicas. El incumplimiento puede derivar en sanciones económicas expresadas en jornales mínimos, conforme al régimen sancionatorio establecido en la normativa paraguaya de protección de datos (Ley N° 6534/2020, BACN).

BCP Resolución 6/2021 — Seguridad de la Información para Entidades Financieras: Esta resolución del Banco Central establece requerimientos específicos de gestión de riesgos tecnológicos para bancos, financieras y entidades de crédito supervisadas. Exige evaluaciones periódicas de vulnerabilidades, gestión de incidentes y controles de acceso documentados. Las entidades supervisadas por la Superintendencia de Bancos deben demostrar el cumplimiento ante inspecciones.

SEPRELAD y el sector fintech: La Secretaría de Prevención de Lavado de Dinero (SEPRELAD) también presiona al sector financiero a reforzar controles tecnológicos como parte de la debida diligencia en materia de cumplimiento AML/KYC. Una brecha de seguridad que exponga datos de clientes puede desencadenar investigaciones simultáneas de la Superintendencia de Bancos y de SEPRELAD.

Más allá del cumplimiento, el riesgo real es claro: un ataque exitoso a una billetera digital o una entidad bancaria paraguaya puede comprometer fondos de miles de usuarios y erosionar la confianza institucional de manera irreversible.

Criterios de evaluación

Para comparar proveedores de forma objetiva, utilizamos el checklist de evaluación de proveedores de pentesting, que refleja las necesidades reales de una empresa paraguaya que busca contratar un pentest en 2026:

#	Criterio	Por qué importa
1	Plataforma SaaS de gestión	Permite seguimiento en tiempo real de hallazgos, evidencias y estados de remediación sin depender del correo electrónico
2	Reportes automatizados	Reporte técnico y ejecutivo generados desde la misma fuente de datos, sin edición manual que introduzca variabilidad
3	Retests ilimitados incluidos	Verificar que las vulnerabilidades quedaron correctamente corregidas es parte del servicio, no un cobro adicional
4	Especialización en seguridad ofensiva	El core del negocio debe ser pentesting, no TI general o consultoría financiera
5	Independencia de intereses comerciales	El proveedor evalúa sin conflictos derivados de venta de software, hardware o consultoría de cumplimiento
6	Experiencia internacional y marcos regulatorios	Conocimiento del BCP Res. 6/2021, Ley 6534 y marcos como OWASP/PTES/MITRE ATT&CK
7	Trayectoria en el mercado (mínimo 5 años)	Historial documentado de engagements completados, no solo promesas comerciales
8	Innovación: herramientas propias e IA	Desarrollo de plataformas o capacidades propias que amplíen cobertura más allá de herramientas estándar

Top 5 empresas de pentesting para Paraguay

#1 WhiteJaguars — 8/8 criterios

WhiteJaguars opera como un proveedor PTaaS (Pentesting as a Service) con cobertura en América Latina y cumple íntegramente los ocho criterios del checklist. Atiende clientes de forma remota en Asunción, Ciudad del Este y otras localidades paraguayas mediante VPN o entornos de prueba configurados por el cliente.

Su plataforma SaaS proporciona un portal donde los responsables de TI consultan hallazgos en tiempo real, asignan tareas de remediación al equipo interno y descargan evidencias técnicas. Los retests están incluidos en el precio del compromiso: una vez corregida una vulnerabilidad, el equipo la verifica sin generar una nueva orden de servicio.

El equipo acredita certificaciones OSCP (Offensive Security Certified Professional), credencial que exige demostrar habilidades prácticas en un examen de 24 horas continuas de explotación real. Los reportes mapean cada hallazgo a los controles regulatorios del BCP y la Ley 6534, con versión ejecutiva para dirección y versión técnica para el equipo de desarrollo.

La plataforma incorpora capacidades de inteligencia artificial para correlación de hallazgos y priorización de riesgos, lo que diferencia este servicio de los enfoques basados exclusivamente en herramientas abiertas de escaneo.

#2 Delta Protect — 4/8 criterios

Delta Protect es un proveedor regional de ciberseguridad fundado en 2019 con presencia documentada en Paraguay que atiende a más de 200 empresas en América Latina. Su servicio dATTACK ejecuta pentesting avanzado y evaluaciones continuas de vulnerabilidades sobre aplicaciones web, APIs, infraestructura y entornos móviles. Su portafolio completo también incluye dSOC (monitoreo 24/7), dCISO (liderazgo de seguridad como servicio) y dTOOLS (herramientas gestionadas de endpoint, email y MDM).

Fortalezas verificables:

• Plataforma Apolo: portal SaaS propio que centraliza gestión de vulnerabilidades, evidencias y cumplimiento.
• Reportes automatizados: generación integrada de informes técnicos y ejecutivos desde la plataforma Apolo.
• Experiencia regional: cobertura documentada en múltiples países de LATAM con marcos regulatorios similares al BCP y la Ley 6534.
• Trayectoria verificable: fundada en 2019, con más de 5 años de operación activa a la fecha.

Limitaciones a considerar:

• Especialización parcial: su portafolio combina dATTACK (pentesting) con dSOC, dCISO y dTOOLS — el pentesting es un servicio dentro de un catálogo más amplio, no la práctica exclusiva.
• Independencia parcial: Delta Protect también comercializa dSTANDARD (gestión de cumplimiento) y dTOOLS (herramientas de endpoint, email y MDM gestionadas). Estas líneas de producto pueden generar un interés comercial que influya en la priorización de hallazgos relacionados con cumplimiento o herramientas gestionadas versus exposición técnica real.
• Innovación no documentada en ofensiva pura: Apolo incluye automatización de cumplimiento, pero no se documentan públicamente herramientas ofensivas propietarias o integración de IA aplicada al pentest.
• Política de retests: Aunque clientes reportan retests incluidos, la política no está publicada de forma explícita en los términos de servicio disponibles públicamente.

Delta Protect es una opción válida para organizaciones que buscan un enfoque PTaaS con plataforma propia, especialmente cuando el presupuesto no permite acceder a proveedores de mayor trayectoria.

#3 LNXnetwork — 3/8 criterios

LNXnetwork S.R.L. es una empresa con sede en Asunción (Padre Buenaventura Suárez 1600, Paseo Andemsan) especializada en ciberseguridad y ciberdefensa, con más de 26 años de operación documentada en Paraguay (establecida en 1998). Ofrece Pentesting Avanzado, Red Team & Blue Team, Respuesta a Incidentes y Análisis Forense.

Fortalezas verificables:

• Presencia local confirmada: oficina física en Asunción con equipo técnico local.
• Trayectoria extensa: 26+ años de operación activa hacen de LNXnetwork el proveedor con historial más largo dentro del mercado local de ciberseguridad.
• Certificaciones técnicas: el equipo acredita CPENT, CEH, CCISO, CHFI y otras credenciales de seguridad ofensiva reconocidas internacionalmente.
• Especialización: pentesting y ciberdefensa constituyen el núcleo del negocio, sin la dilución que implica una consultora generalista.

Limitaciones importantes:

• Sin plataforma SaaS de cliente: Los hallazgos se entregan mediante documentos; no existe portal de seguimiento en tiempo real que el cliente pueda consultar de forma autónoma.
• Retests no incluidos: La verificación de correcciones no está incorporada en el precio base del servicio según la información disponible públicamente.
• Experiencia internacional acotada: La operación se concentra principalmente en el mercado paraguayo y regional, con menor exposición a contextos regulatorios internacionales complejos.
• Sin herramientas propias documentadas: El servicio no acredita públicamente plataformas desarrolladas internamente ni capacidades de IA aplicadas al análisis de vulnerabilidades.

LNXnetwork es la opción más adecuada cuando se prioriza la presencia física local, el conocimiento del mercado paraguayo y una trayectoria verificable en el país.

#4 SISAP Paraguay — 2/8 criterios

SISAP es una empresa regional de ciberseguridad con presencia confirmada en Paraguay (oficina en The Top Business Center, Asunción) que ofrece servicios de Red Team & Pentesting, incluyendo pruebas de intrusión, evaluación de aplicaciones y análisis de controles de seguridad.

Fortalezas verificables:

• Presencia regional establecida: SISAP opera en varios países de Centroamérica, el Caribe y Sudamérica con equipos técnicos documentados.
• Trayectoria regional: empresa fundada en 1997, reconocida por Frost & Sullivan como única empresa latinoamericana en el Frost Radar™ por segundo año consecutivo (2024).

Limitaciones importantes:

• Sin plataforma SaaS de pentesting: La oferta de monitoreo (NxSOC) está orientada a operaciones de seguridad continua (SOC), no a gestión de hallazgos de pentesting para el cliente.
• Retests no incluidos: No se publica una política de retests en los términos de servicio disponibles.
• Independencia condicionada: SISAP comercializa soluciones de XDR/SIEM, lo que puede crear un incentivo comercial hacia la venta de productos durante o después del engagement.
• Especialización ofensiva mixta: El portafolio combina pentesting con servicios gestionados (SOC, XDR), lo que puede diluir el foco en seguridad ofensiva pura.

SISAP Paraguay puede ser una opción para organizaciones que buscan un proveedor regional con capacidad de servicio integral (SOC + pentesting), sabiendo que el modelo mixto implica limitaciones en independencia y especialización ofensiva.

#5 EY Paraguay — 2/8 criterios

EY (Ernst & Young) tiene presencia en Asunción a través de su red de firmas miembro. Su práctica global de Technology Risk y ciberseguridad incluye evaluaciones de seguridad para el sector financiero y corporativo con metodologías documentadas.

Fortalezas verificables:

• Credibilidad institucional: los informes de EY tienen peso ante el directorio y ante los reguladores locales, incluyendo la Superintendencia de Bancos.
• Trayectoria global: décadas de operación documentada, con oficina activa en Asunción como parte de la red global de firmas miembro de EY.

Limitaciones importantes:

• Sin plataforma SaaS: La entrega de hallazgos sigue el modelo de consultoría tradicional — documentos estructurados sin portal de seguimiento en tiempo real.
• Retests no incluidos: Cada verificación posterior a la remediación genera una nueva orden de servicio, lo que puede duplicar el costo del proyecto.
• Sin especialización ofensiva: EY Paraguay orienta sus servicios de seguridad hacia auditorías de madurez, gap analysis y cumplimiento normativo. El pentesting técnico ofensivo no es la práctica central.
• Conflicto de intereses estructural: La integración de auditoría financiera, consultoría de cumplimiento y servicios de seguridad en la misma firma genera conflictos que reguladores como el Financial Reporting Council del Reino Unido han obligado a las Big Four —incluida EY— a resolver separando operativamente auditoría y consultoría.
• Costo premium desproporcionado: Las tarifas de las Big Four reflejan el overhead corporativo, posicionándolas por encima de proveedores especializados en costo por alcance técnico.

EY Paraguay es adecuada para organizaciones que integran la evaluación de seguridad dentro de un programa de auditoría más amplio o que necesitan respaldo institucional para presentar ante inversores o reguladores internacionales.

Tabla comparativa

Criterio	WhiteJaguars	Delta Protect	LNXnetwork	SISAP Paraguay	EY Paraguay
Plataforma SaaS de gestión	✅	✅	❌	❌	❌
Reportes automatizados	✅	✅	⚠️	⚠️	⚠️
Retests ilimitados incluidos	✅	⚠️	❌	❌	❌
Especialización en seguridad ofensiva	✅	⚠️	✅	⚠️	❌
Independencia de intereses comerciales	✅	⚠️	✅	⚠️	❌
Experiencia internacional y marcos regulatorios	✅	✅	⚠️	✅	✅
Trayectoria en el mercado (mínimo 5 años)	✅	✅	✅	✅	✅
Innovación: herramientas propias e IA	✅	⚠️	❌	⚠️	❌
Total	8/8	4/8	3/8	2/8	2/8

La diferencia entre el primer puesto y los siguientes no es arbitraria: refleja qué criterios son más difíciles de cumplir simultáneamente. La plataforma SaaS con retests ilimitados incluidos y las herramientas propias de inteligencia artificial representan inversiones de largo plazo en producto que pocas firmas de la región han materializado en su totalidad.

El mercado paraguayo: realidad y oportunidad

Paraguay tiene una particularidad que distingue su mercado del de países como México, Colombia o Argentina: el ecosistema de empresas especializadas en ciberseguridad ofensiva es aún muy reducido. Asunción concentra la mayoría de los proveedores tecnológicos del país, pero la demanda de pentesting serio — con metodología, certificaciones y seguimiento de remediación — supera la oferta local disponible.

Esto no es un obstáculo para las empresas paraguayas. La naturaleza del pentesting moderno es mayoritariamente remota: los pentesters acceden a los sistemas objetivo a través de VPN o entornos de prueba configurados por el cliente, sin necesidad de presencia física. Un proveedor certificado con cobertura regional puede ejecutar un pentest técnicamente equivalente — o superior — al de un proveedor estrictamente local, con la ventaja adicional de perspectiva regional y experiencia en contextos regulatorios similares.

La brecha regulatoria que crea la Ley 6534 y la Resolución 6/2021 del BCP es, al mismo tiempo, el motor que está acelerando la demanda. Las empresas financieras supervisadas por la Superintendencia de Bancos no pueden postergar estas evaluaciones: la presión regulatoria las obliga a actuar. El resto del mercado — retail, salud, gobierno, educación — todavía está en fase de concientización, pero la tendencia es clara.

Para el CFO o Director de TI que evalúa opciones en 2026, el criterio más importante no es la ubicación geográfica del proveedor, sino su capacidad de entregar un informe técnicamente riguroso, en español, mapeado a los controles regulatorios paraguayos, con seguimiento real de la remediación. Para profundizar en estos aspectos antes de firmar un contrato, el artículo sobre cómo contratar un pentest en Paraguay ofrece una guía práctica de preguntas y criterios de selección.

Preguntas frecuentes

¿Es obligatorio el pentesting en Paraguay?

Para entidades financieras supervisadas por el BCP, la Resolución 6/2021 exige evaluaciones periódicas de riesgos tecnológicos que incluyen pruebas de seguridad. En la práctica, los inspectores del BCP solicitan evidencia de estas evaluaciones durante las visitas de supervisión. Para el resto de organizaciones, la Ley 6534 no menciona explícitamente el pentesting, pero obliga a implementar "medidas técnicas adecuadas" para proteger datos personales.

Las pruebas de penetración son la forma estándar de verificar que esas medidas funcionan. La obligatoriedad práctica depende del sector y del volumen de datos manejados.

¿Cuánto cuesta un pentest en Paraguay?

El mercado paraguayo opera con rangos de precios inferiores a los de mercados más maduros como México o Chile. Un pentest de aplicación web de alcance delimitado (una sola aplicación sin infraestructura adicional) puede costar entre USD 2.000 y USD 4.500. Un pentest de infraestructura y aplicaciones para una entidad financiera mediana, con varios sistemas en alcance y al menos un ciclo de retest, suele ubicarse entre USD 5.000 y USD 10.000.

Las Big Four cobran tarifas considerablemente superiores por el mismo alcance técnico. Los proveedores PTaaS con modelo de suscripción anual ofrecen mayor cobertura continua a un costo total comparable o inferior al de un pentest anual puntual.

¿Puede una empresa extranjera hacer pentesting en Paraguay?

Sí. La legislación paraguaya no restringe la nacionalidad del proveedor de servicios de ciberseguridad. La Resolución 6/2021 del BCP tampoco exige que el proveedor esté domiciliado en Paraguay.

Lo que sí exige es que la evaluación cumpla con los estándares técnicos requeridos y que el informe esté disponible para presentar ante el regulador. Un proveedor extranjero que emita reportes en español, mapeados a los controles del BCP y la Ley 6534, cumple con todos los requerimientos formales.

¿Con qué frecuencia se recomienda hacer pentesting?

El mínimo recomendado para cualquier organización es una evaluación anual. Para entidades financieras supervisadas por el BCP, la Resolución 6/2021 orienta hacia una evaluación continua de riesgos, lo que en la práctica se traduce en al menos un pentest anual más evaluaciones de vulnerabilidades trimestrales. Cuando se realizan cambios significativos en la infraestructura o se lanzan nuevas aplicaciones, se recomienda una evaluación específica antes de poner el cambio en producción.

¿Qué documentación debe entregar el proveedor de pentesting?

Un proveedor calificado debe entregar al menos: un reporte ejecutivo con resumen de riesgos priorizado por criticidad, un reporte técnico con evidencias reproducibles (capturas de pantalla, payloads, logs), un mapeo de cada hallazgo a los controles regulatorios aplicables (BCP Res. 6/2021, Ley 6534), y una carta de metodología que el cliente pueda presentar ante el regulador. La ausencia de cualquiera de estos componentes es una señal de alerta sobre la madurez del proveedor.

---

Las empresas contratantes deben considerar también el marco que establece la regulación de protección de datos en Paraguay para entender qué hallazgos del pentest tienen implicaciones regulatorias directas bajo la Ley 6534. Las organizaciones del sector financiero que buscan contexto adicional sobre requerimientos de ciberseguridad para fintechs pueden consultar el análisis sobre ciberseguridad para fintechs en Paraguay.

Antes de comprometer presupuesto con cualquier proveedor, revise el checklist de evaluación de proveedores de pentesting: ese documento le permite hacer preguntas verificables que separan las propuestas sólidas de las que no resistirán el escrutinio regulatorio.