Pentesting

Qué es el pentesting

El pentesting o test de intrusión consiste en atacar tus sistemas de forma controlada y con tu autorización por escrito, con las mismas técnicas que usaría un delincuente. No se limita a listar vulnerabilidades teóricas: comprueba cuáles se pueden explotar de verdad y qué se conseguiría con ellas, como acceder a datos, tomar el control de un servidor o moverse por la red interna.

Es la forma más directa de saber si tus defensas resisten, y la evidencia más convincente para priorizar inversiones.

Tipos de prueba

• Pentesting externo: ataque desde internet contra los servicios que tu empresa tiene publicados.
• Pentesting interno: qué podría hacer alguien que ya está dentro de la red, por ejemplo con un equipo comprometido o un visitante conectado.
• Aplicaciones web y APIs: fallos de autenticación, control de acceso, inyecciones y los demás riesgos habituales según la guía OWASP.
• Wi-Fi y acceso remoto: configuración de redes inalámbricas, VPN y escritorios remotos.
• Ingeniería social: campañas de phishing controladas, solo si las acuerdas expresamente.

Enfoques: caja negra, gris y blanca

Podemos trabajar sin información previa (caja negra), con credenciales o conocimiento parcial (caja gris) o con acceso completo a documentación y código (caja blanca). Cuanta más información damos al auditor, más profunda y eficiente es la prueba; la elección depende del objetivo y del presupuesto.

Cómo trabajamos

• Alcance y reglas de juego: qué sistemas se prueban, cuándo, con qué límites y quién es el contacto de emergencia. Todo queda por escrito antes de empezar.
• Reconocimiento y análisis de la superficie de ataque.
• Explotación controlada, evitando daños y cualquier interrupción del servicio.
• Informe con evidencias, impacto y recomendaciones.
• Reanálisis una vez corregido, para verificar que los fallos quedaron cerrados.

Qué recibes

• Un resumen ejecutivo con el riesgo global y los hallazgos principales.
• El detalle técnico de cada vulnerabilidad: cómo se reproduce, qué impacto tiene y cómo corregirla.
• Priorización por criticidad.
• Una reunión para explicar los resultados y resolver dudas.

Preguntas frecuentes

¿Es legal y seguro?

Sí, siempre que exista autorización expresa del titular de los sistemas. Antes de empezar firmamos el alcance y las reglas de la prueba, y evitamos acciones que puedan causar daños.

¿Puede dejar mis sistemas caídos?

Planificamos las pruebas para minimizar ese riesgo, evitamos técnicas destructivas y podemos limitarnos a horarios acordados.

¿Con qué frecuencia conviene repetirlo?

Como mínimo una vez al año y siempre que haya cambios importantes: una web nueva, una migración o un despliegue relevante.

¿Qué diferencia hay con una auditoría?

La auditoría revisa controles y configuración de forma amplia; el pentesting profundiza intentando explotar fallos concretos.

Otros servicios relacionados

• Auditoría de ciberseguridad
• Respuesta ante incidentes

Consulta también la lista completa de servicios.

Hablemos de tu caso

Cuéntanos qué necesitas y te diremos con sinceridad si podemos ayudarte y por dónde empezar.