Análisis de amenazas
Quién ataca a su sector, con qué motivación y con qué técnicas, traducido a riesgo concreto.
Vigilancia activa · 24/7
Anticipar. Reaccionar. Sostener.
Trabajamos todos los días para que la amenaza no se materialice. Si alguna lo logra, encuentra enfrente a alguien que ya conocía el terreno.
OSINT · SOCMINT · DARKINT · GEOINT · CTI · FININT
DFIR · Forense en nube · Peritaje de IA
Derecho digital y evidencia electrónica
Desplácese
El modelo
Tres capacidades,
Tres capacidades,
un solo centro.
Tres capacidades con pesos y tiempos distintos: una permanente, una en reserva y una que respalda a las otras dos.
01 · PERMANENTE
Anticipación
Inteligencia
El trabajo de todos los días. Analizamos el panorama de amenazas del cliente, protegemos su marca, escuchamos su mercado y reforzamos la detección de su SOC. Un objetivo único: que la amenaza no se materialice.
Antes · suscripción
Ver inteligencia→
02 · EN RESERVA
Reacción
DFIR · Forense · Cloud · IA
La capacidad de respaldo. Si algo ocurre, contenemos sin destruir la prueba, preservamos con cadena de custodia y sostenemos el dictamen — incluso donde el forense clásico ya no alcanza.
Durante · por evento
Ver reacción→
03 · TRANSVERSAL
Respaldo jurídico
Abogacía digital
Define la vía antes de que se toque el primer equipo, cumple los plazos de reporte, protege por contrato lo que después habrá que preservar, y defiende el resultado ante quien deba sostenerse.
Después, y en paralelo
Ver jurídico→
Entidades y empresas que han confiado en nuestro equipo
Experiencia acumulada del equipo en respuesta a incidentes, peritaje y formación para entidades del sector defensa, universidades y empresas de tecnología. Las marcas pertenecen a sus titulares.
La diferencia
Quien responde
Quien responde
ya conoce el terreno.
La firma que atiende su incidente a las tres de la mañana llega en frío: no conoce su arquitectura ni sabe qué grupos atacan a su sector. Gasta las primeras seis horas —las que más importan— entendiendo el terreno. Nosotros llevamos meses mirándolo.
Qué le ahorra eso a la respuesta
- Actores del sector ya perfilados: hay hipótesis desde la primera hora.
- Técnicas conocidas de esos actores: sabemos dónde buscar y qué artefactos esperar.
- Filtraciones previas documentadas: vector de entrada probable identificado de entrada.
- Superficie inventariada: el alcance del compromiso se acota más rápido.
- Preparación forense ya hecha: existe lo que hay que preservar, con la retención adecuada.
- Matriz de notificación construida: el reloj legal arranca resuelto, no improvisado.
La inteligencia le dice qué va a pasar. El forense prueba qué pasó.
El jurídico define qué hacer con eso, y en qué plazo.
Cuando algo ocurre corren tres relojes a la vez. Casi ninguna organización tiene proveedor para los tres.
El reloj de la amenaza
Se pierde la ventana de anticipación: el ataque se detecta cuando ya está adentro.
Inteligencia
El reloj técnico
Se pierde la evidencia volátil: memoria, logs que rotan, huellas que el atacante borra.
Forense
El reloj legal
Se vencen los plazos de reporte, la denuncia y la reclamación de la póliza.
Jurídico
Capacidad 01 · Anticipación
Inteligencia
Un solo objetivo: que la amenaza no se materialice. Todo lo demás existe para reducir la probabilidad de que usted tenga que llamarnos a las tres de la mañana.
01
Análisis y protección de marca
Dominios similares, perfiles falsos, suplantación de ejecutivos y kits de phishing. Con soporte al retiro.
Escucha de mercado y usuarios
Qué se dice de usted, qué hace su competencia y qué dicen sus usuarios. Señales tempranas de crisis.
Inteligencia para el SOC (CTI)
Indicadores contextualizados e integrados a sus herramientas de detección. Filtrados por relevancia, no por volumen.
Cacería de amenazas
Buscar al adversario antes de que la alerta suene, con hipótesis derivadas de la inteligencia del sector.
Refuerzo de su SOC
No competimos con su centro de operaciones: lo fortalecemos. Puntos ciegos, casos de uso y preparación forense.
El método
Lo que separa la inteligencia de una búsqueda en internet es el ciclo.
Operamos las siete fases. Todo producto distingue hecho, inferencia y opinión, y declara su grado de confianza.
- 01Requerimientos
¿Qué necesita saber, y para decidir qué?
- 02Planeación
Qué disciplina responde cada pregunta, con qué límite legal.
- 03Recolección
Captura con registro de fuente, fecha, hora y método.
- 04Procesamiento
Normalización y correlación. Aquí la IA multiplica la escala.
- 05Análisis
Hipótesis y contraste. Aquí trabaja el humano.
- 06Difusión
La junta no lee lo mismo que el SOC.
- 07Retroalimentación
Qué sirvió y qué falló. El ciclo vuelve a empezar.
Cómo lo obtenemos
Los focos son qué entregamos. Las disciplinas son cómo.
Cada disciplina tiene fuentes propias y límites legales propios. Toque una para ver el detalle.
OSINT
Inteligencia de fuentes abiertas
Exposición pública de la organización y sus activos: registros, prensa, dominios y certificados, documentos y sus metadatos, repositorios de código, filtraciones ya divulgadas. Es la base sobre la que se construye todo lo demás.
Límite que respetamosSolo fuentes lícitamente accesibles. Sin elusión de controles de acceso.
SOCMINT
Inteligencia de redes sociales
Narrativas, campañas coordinadas y coordinación inauténtica, suplantación de marca y de ejecutivos, exposición del personal, y escucha de lo que dicen usuarios y competencia.
Límite que respetamosContenido público, con finalidad declarada y minimización en el tratamiento de datos personales.
CIBERINT · CTI
Inteligencia del ciberespacio técnico
Infraestructura de ataque, familias de código malicioso, comando y control, indicadores de compromiso, patrones de campaña y atribución técnica del adversario.
Límite que respetamosAnálisis, nunca intrusión. Sin acceso no autorizado a sistemas de terceros.
DARKINT
Inteligencia en web profunda y oscura
Foros cerrados, mercados ilícitos y canales de mensajería: venta de accesos y credenciales, filtraciones en circulación y actividad de grupos de extorsión contra el sector.
Límite que respetamosObservación y documentación. No compramos datos robados ni operamos en mercados ilícitos.
GEOINT
Inteligencia geoespacial
Ubicación y entorno de sedes, activos e infraestructura crítica; correlación entre territorio y actividad; apoyo al análisis de riesgo físico y de continuidad.
Límite que respetamosFuentes comerciales y públicas. Sin seguimiento de personas.
HUMINT digital
Inteligencia de fuentes humanas en entornos digitales
Lo que se dice donde no queda registro público: comunidades, foros y contactos del sector, con verificación mediante interlocución directa.
Límite que respetamosSin suplantación de identidades reales, sin engaño penalmente relevante y sin provocación al delito. Reglas de actuación escritas y aprobadas caso a caso.
FININT
Inteligencia financiera y de criptoactivos
Trazabilidad transaccional, seguimiento de activos digitales, redes de dispersión y tipologías de fraude. Es la disciplina que conecta la anticipación con el peritaje de fraude.
Límite que respetamosFuentes públicas de cadena de bloques y datos lícitamente disponibles.
Tablero ejecutivo
Lo que entregamos
Lo que entregamos
cada mes.
Un solo panel con lo que la dirección necesita saber: qué se detectó, cuánto se neutralizó y de dónde viene. Cambie entre mapa plano y globo.
Amenazas detectadas0↑ 14 % vs. trimestre anterior
Retiros conseguidos0Dominios y perfiles falsos
Tasa de retiro efectivo0Media del sector: 61 %
Tiempo medio de detección0Objetivo del servicio: < 8 h
Detección y neutralización · 90 días
Tendencia 12 mesesagodicabrago
Origen de la actividad · destino: su organización
Monitoreo continuo
0 eventos
Alta
Media
Baja
Su organización
Arrastre para desplazar
Vista 3D no disponible en este navegador.
Registro de actividad--:--:--
NotaEl tablero reproduce el formato y las métricas que entregamos; las cifras son de demostración. Los informes reales se entregan de forma reservada y nominada, con su marcado de distribución.
Capacidad 02 · Reacción
DFIR y forense digital
La mayoría de la evidencia que un juez rechaza no se perdió en el laboratorio: se perdió durante la contención.
02
Ventana forense crítica
T0Compromiso
El atacante entra. Nadie lo sabe.
T+dDetección
Alerta del EDR o aviso de un tercero.
T+mTriage
¿Es real? ¿Cuál es el alcance? Se abre el caso.
T+hContención
Aislar. Aquí se destruye evidencia.
T+díasErradicar
Reimagen, parches, rotación de credenciales.
T+semPeritaje
Meses después: ¿sobrevivió la prueba?
La regla que gobierna todo
Preservar primero, analizar después, remediar al final.
Ante la duda: se captura memoria, se toma el snapshot y luego se contiene. Diez minutos en un equipo, menos de cinco en la nube. Ese es todo el precio de tener un caso judicializable.
Respuesta a incidentes
Triage, aislamiento sin destrucción, captura por orden de volatilidad y contención. Con bitácora desde el minuto cero: cada acción, hora, autor y motivo.
- Activación 24/7
- Bitácora y actas
- Coordinación de crisis
Forense y cadena de custodia
Hash en origen antes de tocar nada, dos copias, verificación documentada y custodia sin un solo hueco. El producto final es un dictamen que se sostiene en contrainterrogatorio.
- ISO/IEC 27037 y familia
- NIST SP 800-86
- Dictamen y sustentación
Forense en la nube
El disco duro ya no existe: la escena es una API, vive en otro país y desaparece si nadie la congela a tiempo. Nuestra respuesta es la Bóveda de Evidencia.
- Runbook de congelamiento
- Auditoría de capacidad forense
- Multi-nube
Inteligencia artificial
Tres puertas y atendemos las tres: aliada bajo protocolo estricto, amenaza al peritar audio y video sintéticos, y objeto de peritaje —prompts, trazas de agentes, versión del modelo—. La instrumentación se diseña antes del despliegue.
- Autenticidad audiovisual
- Forense de agentes
- Protocolo declarado en el dictamen
Bóveda de Evidencia
Un repositorio donde lo preservado es físicamente imborrable —ni siquiera por un administrador— y matemáticamente verificable. Responde la pregunta que gobierna toda custodia: quién lo tuvo, desde cuándo, y quién pudo haberlo alterado.
- Cuenta forense aislada
- Retención inmutable real
- Doble verificación de integridad
- Clave dedicada por caso
- Se levanta solo por orden expresa
Capacidad 03 · Respaldo
Jurídico digital
Casi ningún incidente es solo técnico: en paralelo corren deberes de reporte con plazos propios.
03
Una sola pregunta define todo el procedimiento técnico: ¿esto va a un juzgado penal, a un proceso laboral o civil, a la autoridad de datos, o solo a un comité interno?
Esa pregunta la responde un abogado, no un ingeniero — y hay que responderla en los primeros minutos. Por eso el aviso al jurídico va en el minuto diez y el triage se hace a cuatro manos.
Incidentes y reporte regulatorio
Reporte a la autoridad dentro del plazo legal —preliminar y complementario, sin esperar el forense completo—, notificación a titulares y coordinación con el supervisor sectorial.
Contratación tecnológica
Acuerdos de tratamiento, cláusulas de seguridad, transferencias y niveles de servicio. Contratos de nube e IA con cláusula de acceso forense: la evidencia se negocia años antes del incidente.
Gobernanza de IA y cumplimiento
Inventario de sistemas, clasificación por riesgo, políticas y cláusulas con proveedores, ante un marco normativo en reforma.
Evidencia y litigio
Admisibilidad, control de legalidad, defensa del dictamen y auditoría del método del perito contrario. Solo existe porque hay perito en casa.
Laboratorios e innovación
Lo que estamos
Lo que estamos
construyendo.
Capacidades propias con componentes de código abierto: un centro con laboratorio, no una consultoría que subcontrata herramientas.
Servicio · en desarrollo
Comunicación reservada
Comunicación cifrada de extremo a extremo sobre componentes de código abierto, desplegada en infraestructura controlada. Sin dependencia de un proveedor único y con soberanía sobre dónde viven los datos.
Si el atacante está dentro, ¿por qué seguir coordinando la respuesta por el correo corporativo?
Qué incluye
- Mensajería, voz y video cifrados
- Salas por caso con membresía auditada
- Mensajes con expiración configurable
- Gestión de dispositivos y revocación remota
- Retención selectiva para cumplimiento
- Autohospedado, en la jurisdicción que usted decida
Alcance jurídicoProtege frente a terceros hostiles. No es un mecanismo para eludir deberes legales de conservación, exhibición o reporte: por eso el diseño incluye retención selectiva y capacidad de preservación.
Laboratorio · en desarrollo
Laboratorio forense con IA local
Análisis forense asistido por IA que corre enteramente dentro del perímetro del cliente, con modelos de código abierto en local y sin ninguna salida hacia servicios de terceros.
Por qué y cómo
Es la respuesta de ingeniería a una regla que no admite excepción: nunca se sube evidencia bajo custodia a un servicio de IA público. Hacerlo es a la vez una transferencia de datos no autorizada y una ruptura de la cadena de custodia. El laboratorio local elimina el dilema — se obtiene la escala de la IA sin que un solo byte salga del perímetro.
- Modelos abiertos en hardware controlado
- Sin telemetría ni conexión externa
- Registro de versión y hash del modelo
- Triage y clasificación por relevancia
- Transcripción y traducción a escala
- Búsqueda semántica sobre acervos
ProtocoloLa IA reduce el universo; nunca produce la conclusión. Se verifica manualmente el 100 % de lo que se cita como hallazgo, y todo uso se declara en el dictamen.
Laboratorio · en desarrollo
Aislamiento en nube: microservicios sobre CSPM e IA
Cuarentena forense en la nube del propio cliente: cuenta aislada donde se analizan snapshots y volcados de memoria sin tocar producción, con triage asistido por IA sobre lo preservado.
El argumentoUsted ya detecta. Nosotros hacemos que esa detección preserve.
Cómo funciona
La ingeniería propia está en los microservicios: se integran con la gestión de postura de seguridad de cada nube, de modo que cuando el CSPM emite un hallazgo crítico se dispara automáticamente la secuencia forense — aislar sin apagar, deshabilitar la terminación automática, capturar memoria, etiquetar el snapshot como elemento probatorio, calcular el hash y copiarlo a la bóveda con retención inmutable.
- Detección → preservación en segundos
- Aislar sin apagar
- Protección contra terminación
- Etiquetado como EMP
- Adaptadores multi-nube
Alianza de investigación
Centro de Investigación Cibercomando
Operamos en alianza con el Centro de Investigación Cibercomando, con reconocimiento del Ministerio de Ciencia, Tecnología e Innovación. El beneficio menos obvio es el más valioso: la validación científica del método y de las herramientas. La idoneidad del método es lo primero que ataca una contraparte.
Seguridad espacial y satelital
Criptografía post-cuántica
Genómica y biodefensa
Nanotecnología
Neurotecnología
Sistemas autónomos · UAV
Todas comparten una pregunta: cómo se perita un artefacto que aún no tiene método aceptado.
Equipo
Quién responde
Quién responde
cuando llama.
Johnatan Mazo Ramírez
Director general y científico · Perito jefe
Mirar lo técnico desde lo jurídico, y lo jurídico desde lo técnico.
Líder y director de inteligencia e investigación digital. Arquitecto en ciberseguridad, ciberdefensa y ciberinteligencia, con quince años de escena del crimen digital y experiencia en tres terrenos que rara vez coinciden: banca digital, donde diseñó arquitectura de seguridad y capacidad forense en la nube; defensa, formando comandos de ciberdefensa y ciberinteligencia; y peritaje judicial, sosteniendo dictámenes en estrado. Docente de posgrado en Colombia y España e investigador reconocido por MinCiencias.
Hoja de vida · abra la sección que le interese
PosdoctoradoInnovación Educativa en Escenarios EmergentesUniversidad Intercontinental · México
DoctoradoTecnologías de la Transformación DigitalInstituto Internacional de Aguascalientes · México
DoctoradoSeguridad PúblicaUniversidad IEXE · Puebla, México
DoctoradoEducación e InnovaciónUniversidad de Investigación e Innovación de México · UIIX
DoctoradoDerechoUniversidad CESUMA · México
MaestríaInteligencia y CiberinteligenciaUniversidad Nebrija · España
MaestríaDirección de CiberseguridadUniversità Guglielmo Marconi · Italia
MaestríaCiberdelincuenciaUNIR · España
MaestríaCriminología y CriminalísticaUniversidad CESUMA · México
EspecializaciónSeguridad InformáticaUNAD · Colombia
PregradoIngeniería de TelecomunicacionesUNAD · Colombia
TecnologíaGestión de Infraestructura de TelecomunicacionesPolitécnico Colombiano Jaime Isaza Cadavid
Programa avanzadoDerecho Penal Informático y de la CiberdelincuenciaUNIR · España
DiplomaAsesor Estratégico en Inteligencia y ContrainteligenciaEscuela de Gobierno y Estrategia · Goberna Analytics
Educación ejecutivaArquitectura de Software y SeguridadUniversidad de los Andes · Colombia
Educación ejecutivaNegociaciones Estratégicas en Contextos ComplejosUniversidad de los Andes · Colombia
ActualidadDirector de Inteligencia e InvestigaciónCiberIntel S.A.S. · inteligencia estratégica, táctica y operativa
2026 — ActualidadLead Security Engineer · Líder de CiberseguridadQuipux · SDLC seguro, arquitectura en AWS y OCI, NIST · ISO 27001 · SOC 2
2025 — ActualidadFundador y Director CientíficoFundación Cibercomando · Centro de Investigación en Seguridad y Defensa Digital
2023 — 2026Arquitecto de Ciberseguridad y CloudGrupo Bancolombia · Nequi
2020 — ActualidadPerito informático · DFIREntidades públicas, universidades y Fuerzas Militares
2022 — 2023Oficial de CiberseguridadSistecrédito
2021 — 2022Arquitecto de CiberseguridadAxity
2019 — 2021Analista de CiberseguridadMatrixtech
2017 — 2019Analista de Soporte TIE-global
MinCienciasInvestigador reconocidoORCID 0009-0008-0260-4867 · CvLAC cod_rh 0000293204
2025 — ActualidadMáster en Ciberseguridad, Ciberinteligencia y CiberdefensaLISA Institute · España · docente
2023 — ActualidadMaestría en Ciberseguridad y Especialización en Seguridad InformáticaUniversidad El Bosque · docente
2024Operaciones Ofensivas · Comando de CiberdefensaCOCIBER · Fuerzas Militares
2024Capacitación al Comando Conjunto CibernéticoCCOCI · análisis de malware y threat hunting
2023Diplomado en Ciberseguridad y CiberdefensaCCOCI · Universidad El Bosque
Programa propioSatHack · Seguridad Espacial y Hacking SatelitalFundación Cibercomando
Programa propioCyber Intelligence Investigator · CCIIMetodología y producción de inteligencia accionable
2025 · PonenciaIII Seminario de Actualización DoctrinalArmada de Colombia + Esumer · reconocimiento
2025 · PonenciaConferencia de Infraestructura Crítica Cibernética N.º 94Comando Conjunto Cibernético · distinción
PonenciasHacking satelital y redes celularesBSides Colombia · GINSEG/INTELCON · HackOn RD
Ciberseguridad, inteligencia y gestión
- CISM · ISACA
- CEH · EC-Council
- Threat Intelligence Analyst
- OSWP
- PenTest+
- Security+
- Auditor Interno ISO/IEC 27001:2022
- IBM Cybersecurity Analyst
- CNSS Network Security Specialist
- API Security Architect
- Diplomado en Inteligencia y Contrainteligencia
Nube, DevOps e infraestructura
- AWS Security Specialty
- AWS Solutions Architect Pro
- AWS DevOps Engineer Pro
- Azure Solutions Architect Expert
- AZ-500 Security Engineer
- SC-100 Cybersecurity Architect Expert
- SC-200 Security Operations
- KCNA Kubernetes
- Terraform Associate
Angie Zapata
Directora jurídica · Derecho digital y LegalTech
Los plazos que nadie ve correr hasta que ya se vencieron.
Abogada en la frontera donde el derecho se encuentra con la tecnología. Responde por el respaldo jurídico de la reacción —define la vía procesal, cumple los plazos de notificación y sostiene el dictamen ante la contraparte— y por la prevención contractual: acuerdos de tratamiento, contratos de nube e IA y cláusulas de acceso forense. Su formación en LegalTech y FinTech aporta el terreno donde el fraude financiero se cruza con el peritaje.
Hoja de vida · abra la sección que le interese
Maestría en cursoLegalTech, FinTech y Business AnalyticsG. Marconi · Italia
PregradoAbogadaUniversidad Autónoma Latinoamericana · UNAULA
ÁreaTecnologías y aplicaciones financierasFinTech, pagos, criptoactivos
ÁreaLegalTech y regulaciónBlockchain, contratos inteligentes, IA aplicada al derecho, RegTech
ÁreaPrevención del delito financieroY ética del uso de datos
ÁreaAnalítica de negocioEstrategia de datos
Prioridad 1Incidentes y reporte regulatorioLo urgente, lo que se activa el día uno
Prioridad 2Contratación tecnológica y FinTechSe cruza con el peritaje de fraude financiero
Prioridad 3Gobernanza de IAY automatización LegalTech del Centro
- Reporte regulatorio
- Contratación tecnológica
- Nube e IA
- FinTech y RegTech
- Protección de datos
- Gobernanza de IA
- Evidencia electrónica
Límites
Lo que no hacemos.
Va aquí y no en la letra pequeña.
× No prestamos servicios de vigilancia y seguridad privada.
× No ejercemos actividades de inteligencia o contrainteligencia reservadas al Estado.
× No interceptamos comunicaciones.
× No accedemos a sistemas de información sin autorización expresa y escrita de su titular, o sin orden de autoridad competente.
× No adquirimos ni comerciamos datos obtenidos ilícitamente.
× No suplantamos identidades reales ni provocamos la comisión de delitos en operaciones de fuente humana digital.
Contacto
Empecemos por
Empecemos por
lo que ya está expuesto.
Un diagnóstico corto y sin costo: qué se ve de su organización desde afuera, qué grupos están activos en su sector y qué pasaría hoy si tuviera que probar un incidente.
Correociberinfo@ciberintel.com
→
WhatsApp+57 300 725 0839
→
Llamada directa+57 300 725 0839
→
SedeMedellín · Colombia
Incidente en curso
Si está atendiendo un incidente ahora mismo: no apague los equipos, no reinicie y no inicie sesión en la máquina afectada. Aísle de la red y llámenos. Cada minuto de manipulación cuesta evidencia.