Descubre qué puede hacer un atacante con tus sistemas, antes de que lo descubra él.
Un pentest es una prueba autorizada en la que intentamos comprometer tus sistemas con las mismas técnicas que usaría un atacante real, dentro de un alcance acordado y con reglas de enfrentamiento por escrito. No es un escaneo automatizado: la explotación es manual y cada hallazgo se verifica para descartar falsos positivos. Trabajamos desde Bogotá para toda Colombia y LatAm, con 29 años de trayectoria, certificación ISO/IEC 27001:2022 e ISO/IEC 9001:2015 y acreditación EC-Council ATC.
29
años de experiencia en seguridad ofensiva en LatAm
SecPro
9
países atendidos desde Bogotá, Panamá y Virginia
SecPro
ISO 27001
certificación ISO/IEC 27001:2022 otorgada por SGS
SGS
Modalidades
No todas las empresas necesitan la misma prueba. Estas son las modalidades que ejecutamos y cuándo tiene sentido cada una. Si no sabes por dónde empezar, el pentest externo es la respuesta en la gran mayoría de los casos.
Desde Internet y sin credenciales, como un atacante cualquiera. Cubre tu perímetro: webs, VPN, correo, servicios expuestos y activos que no sabías que tenías publicados. Es el punto de partida habitual.
Partimos de dentro de la red, simulando un empleado, un proveedor o un equipo ya comprometido. Mide hasta dónde se puede llegar: Active Directory, segmentación, escalada a administrador de dominio.
Revisión manual alineada a OWASP Top 10 y ASVS, con y sin credenciales y por cada rol. Lógica de negocio, control de acceso, inyecciones y gestión de sesión. Incluye SCA y SBOM de dependencias.
REST y GraphQL contra OWASP API Top 10: BOLA, BFLA, autorización roto por objeto, abuso de flujos de negocio y límites de consumo. Partimos de tu especificación OpenAPI cuando existe.
iOS y Android bajo OWASP MASVS: almacenamiento local, comunicaciones, anti-tampering, secretos embebidos y la API que hay detrás de la app.
AWS, Azure y GCP: configuración de IAM, rutas de escalada entre roles, exposición de almacenamiento, Kubernetes y contenedores, contrastado con CIS Benchmarks.
Wi-Fi corporativo: WPA2 y WPA3, 802.1X, redes de invitados mal segmentadas, puntos de acceso falsos y evil twin dentro de tus instalaciones.
Phishing dirigido, vishing y pretexting para medir al factor humano y usarlo como vector inicial de acceso, siempre con acuerdo previo sobre el trato a los empleados.
El precio depende del número de activos en alcance y del tipo de prueba, no del tamaño de la empresa. Los factores que mueven la cifra son: cuántas IP o dominios entran, si la aplicación tiene varios roles de usuario, si hace falta trabajo presencial y si se incluye retest. Un pentest externo de perímetro acotado es el punto de entrada más económico; un pentest interno de Active Directory o una aplicación con lógica de negocio compleja cuesta más porque exige más días de analista. Enviamos cotización con alcance cerrado y precio fijo, sin cobro por hallazgo.
La ejecución típica va de una a tres semanas según el alcance, más una semana para la elaboración del informe. Un pentest externo de un perímetro pequeño puede cerrarse en pocos días; una aplicación web con varios roles o una red interna extensa llevan más. El calendario exacto, con fecha de entrega del informe, queda en la propuesta antes de empezar.
Un análisis de vulnerabilidades es automatizado: una herramienta escanea y devuelve un listado de fallos potenciales, con falsos positivos incluidos y sin confirmar si son explotables. Un pentesting añade el trabajo manual de un analista que intenta explotar esos fallos de verdad, los encadena entre sí y demuestra el impacto real sobre tu negocio. El escaneo te dice que una puerta parece abierta; el pentest la abre y te enseña qué hay dentro. Por eso el informe de un pentest trae evidencia reproducible y no solo severidades teóricas.
Al menos una vez al año, y además cada vez que haya un cambio relevante: una nueva aplicación en producción, una migración a la nube, un cambio de arquitectura o una fusión. Si tienes que cumplir con ISO/IEC 27001, PCI DSS o la Circular 007 de la Superintendencia Financiera de Colombia, la periodicidad anual suele ser el mínimo exigible y conviene documentarla.
El riesgo no es cero, y por eso se gestiona por escrito antes de empezar. Acordamos ventanas de ejecución, sistemas fuera de alcance, un contacto para parada inmediata y qué tipo de pruebas quedan excluidas —por ejemplo, denegación de servicio, que no forma parte de un pentest estándar. En entornos delicados trabajamos primero contra preproducción. En 29 años de operación esa es la práctica que nos permite probar en producción sin interrumpir la operación.
Para un pentest externo, solo la lista de dominios e IP en alcance y la autorización firmada del titular de los sistemas. Para un pentest interno, un punto de acceso a la red o un equipo con conectividad. Para una aplicación, credenciales de cada rol de usuario y, si existe, la especificación OpenAPI o la documentación funcional. Si los activos están en un proveedor de nube, puede hacer falta notificarlo previamente.
Sí. Además del informe ejecutivo y el técnico, emitimos una carta de atestación que indica el alcance probado, las fechas y la metodología aplicada. Es el documento que suelen pedir los clientes corporativos, los auditores de ISO/IEC 27001 y los procesos de debida diligencia de proveedores. Tras el retest, la carta puede reflejar los hallazgos ya corregidos.
Sí. La oficina principal está en Bogotá (Calle 100 N 10-59, Of. 301) y la mayor parte del trabajo es remoto, así que atendemos a empresas de Medellín, Cali, Barranquilla y el resto del país sin recargo por desplazamiento. También operamos en Argentina, Bolivia, Chile, Ecuador, México, Panamá, República Dominicana y Estados Unidos, con oficinas propias en Ciudad de Panamá y Virginia. El trabajo presencial se cotiza aparte solo cuando el alcance lo exige, como en un pentest inalámbrico.
Agenda una consulta gratuita y recibe un diagnóstico externo de ciberseguridad sin compromiso.
Agendar Diagnóstico GratuitoSimulación end-to-end de APTs, pentesting externo/interno y Attack Surface Management continuo alineado a MITRE ATT&CK.
Pentesting AWS, Azure y GCP. Kubernetes, contenedores, serverless, IAM hardening y validación contra CIS Benchmarks.
Pentesting web, DAST, SAST, SCA, generación de SBOM y revisión manual alineada a OWASP Top 10 y ASVS.
OWASP API Top 10, BOLA/BFLA, autenticación, rate limits, JWT y detección de shadow APIs en REST, GraphQL y gRPC.
Pentesting iOS y Android, análisis de binarios, OWASP MASVS, protección contra reverse engineering y MITM.
Evaluación de SCADA, PLCs, dispositivos IoT/IIoT, protocolos industriales y segmentación IT/OT bajo IEC 62443.
Campañas de phishing, vishing, smishing, intrusión física y training gamificado 80% práctico, 20% teórico.
Monitoreo Surface/Deep/Dark Web, dominios falsos, credenciales filtradas y coordinación de takedowns.
Cursos presenciales y online de ciberseguridad ofensiva y defensiva. EC-Council ATC con instructores de campo.
¿Necesitas ayuda con tu ciberseguridad? 💬