Avaluació gratuïta de pentest: què trobem abans que un atacant

Ens passem bona part del temps de feina trobant la manera d’entrar en sistemes que algú donava per tancats: un formulari d’accés que es refia de la capçalera equivocada, un subdomini de proves que ningú no recordava retirar, una API que retorna més del que la pantalla que té al davant arriba a demanar. Sempre amb una autorització signada, per a un client que ens ho ha demanat, abans que hi arribi algú que no en té.

Això és una invitació a fer el mateix per vostè. Comença amb una avaluació gratuïta, i tot l’encàrrec es fa en remot — des d’Espanya, sigui on sigui vostè.

Gairebé ningú no es sotmet a proves fins que és tard

INCIBE , l’institut nacional de ciberseguretat espanyol, va gestionar 122.223 incidents de ciberseguretat el 2025 — un 26 % més que el 2024 (97.348 casos), i la xifra més alta que ha registrat l’organisme. D’aquests: 55.411 van ser de programari maliciós, 45.445 de frau en línia (un 19 % més que l’any anterior), 25.133 de pesca (phishing), i 3.849 d’accés no autoritzat o robatori de dades. A part, el mateix rastreig d’INCIBE va detectar 237.028 sistemes vulnerables exposats en xarxes espanyoles al llarg de l’any.

Són incidents gestionats, no un cens de tots els atacs —el mateix INCIBE és clar que la xifra real és, per força, més alta—. El que mostra la tendència no admet ambigüitat: l’exposició puja, no baixa, i en la majoria dels casos la troba abans l’atacant que el propietari.

Què costa quan ningú no ha fet proves

British Airways, 2018-2020. Uns atacants van redirigir el trànsit de ba.com a un lloc fals i van capturar les dades de pagament d’uns 400.000 clients. L’autoritat britànica de protecció de dades (ICO) ho va investigar i, en la seva resolució, va ser concreta sobre el que BA no havia fet: no havia dut a terme proves rigoroses —«en forma de simulació d’un ciberatac»— sobre els seus propis sistemes, i no disposava de monitoratge d’integritat d’arxius que hagués detectat els canvis de l’atacant. La multa que l’ICO va proposar d’entrada va ser de 183 milions de lliures; després de les al·legacions de l’empresa, es va reduir a 20 milions de lliures — tot i així, una de les sancions de protecció de dades més grans de la història del Regne Unit, per una fallada que un programa de proves existeix precisament per detectar.

El mateix titular de Computer Weekly sobre el cas ho va deixar dit sense embuts: «un bug bounty de 4.000 lliures hauria pogut salvar BA d’una multa rècord de l’ICO». Nosaltres no li prometríem una xifra tan concreta sobre els seus propis sistemes —ningú honest pot fer-ho, sense mirar abans—, però la forma d’aquesta relació és la que convé tenir present.

La IA no ha creat aquesta amenaça: l’ha industrialitzat

Les pròpies xifres d’INCIBE del 2025 ja porten aquesta signatura: els casos de frau per pesca (phishing) i smishing a Espanya van créixer un 25 % aquell any, concentrats en banca, logística i sanitat. El vell consell de fixar-se en la mala gramàtica o en una salutació maldestra està perdent utilitat per una raó concreta i documentada.

El National Cyber Security Centre del Regne Unit va avaluar el gener del 2024, i ho ha reafirmat des de llavors , que la IA «gairebé amb tota seguretat augmentarà el volum i intensificarà l’impacte dels ciberatacs» —precisament perquè elimina l’habilitat i l’esforç que abans filtraven qui podia executar un atac competent—. La mateixa agència de ciberseguretat de la UE, ENISA, va posar una xifra a una part d’això en el seu informe Threat Landscape 2025 : dels correus de pesca que va identificar entre setembre del 2024 i febrer del 2025, més del 80 % mostrava algun ús d’IA.

I no és només el correu electrònic. El gener del 2024, un empleat de l’àrea financera de l’enginyeria Arup es va afegir al que semblava una videotrucada rutinària amb el director financer de l’empresa i diversos companys, i va autoritzar quinze transferències per un total de 200 milions de dòlars de Hong Kong —uns 25,6 milions de dòlars — al llarg d’aquella única trucada. Totes les persones de la trucada, tret d’ell, eren un deepfake, construït amb vídeo i àudio en què aquests directius reals ja havien aparegut en reunions ordinàries de l’empresa. Ningú no ho va detectar fins que ell va trucar després a la seu central d’Arup per confirmar-ho.

I no són només delinqüents experimentant. El febrer del 2024, Microsoft i OpenAI van fer públic que havien identificat i tancat comptes usats per cinc grups de pirates informàtics vinculats a estats —lligats a Rússia, l’Iran, Corea del Nord i la Xina— que feien servir els models d’OpenAI per a reconeixement, traducció i ajuda bàsica de programació. Res de nou encara, segons el seu propi reconeixement: el mateix reconeixement i la mateixa programació de sempre en aquests grups, només que més ràpid.

Res d’això no canvia per a què serveix un test de penetració. Canvia la rapidesa amb què es troba el forat que vostè no ha provat, i qui el troba.

Per què el «consentiment» no és una cortesia: és la llei

Tot el que fa un test de penetració —entrar en un sistema per al qual el propietari no va construir una porta pensada per a vostè— és, sense permís, un delicte a Espanya. L’article 197 bis.1 del Codi penal , vigent des de la reforma del 2015 (Ley Orgánica 1/2015), castiga qui, «vulnerando las medidas de seguridad establecidas para impedirlo, y sin estar debidamente autorizado» —vulnerant les mesures de seguretat establertes per impedir-ho, i sense estar-hi degudament autoritzat—, accedeixi o faciliti a algú altre l’accés a un sistema d’informació, amb presó de sis mesos a dos anys. L’única cosa que converteix aquest mateix acte en un servei de seguretat legítim és la frase del mig: degudament autoritzat.

Per això tot encàrrec que fem comença abans d’enviar la primera sol·licitud contra els seus sistemes: una autorització signada que anomena exactament què entra dins l’abast, la finestra temporal, els actius concrets coberts, i una persona de contacte a la seva organització que pugui respondre per nosaltres si el seu propi monitoratge s’activa. No és paperassa per la paperassa. És el fet concret que manté aquesta mateixa feina tècnica del costat correcte de la llei.

El que la llei ja exigeix de totes maneres

Encara que ningú no li ho estigui demanant encara, la direcció és sempre la mateixa:

• L’article 32.1.d) del RGPD exigeix «un procés de verificació, avaluació i valoració regulars de l’eficàcia de les mesures tècniques i organitzatives» per garantir la seguretat del tractament. S’aplica, a la pràctica, a gairebé qualsevol empresa que tracti dades personals a la UE — no és una obligació de nínxol per a sectors regulats.
• La NIS2 (Directiva (UE) 2022/2555) inclou les proves de seguretat entre les mesures de gestió del risc que han d’aplicar les seves entitats «essencials» i «importants». Espanya va incomplir el termini de transposició del 17 d’octubre de 2024, i el 8 de juliol de 2026 la Comissió Europea va portar Espanya davant el Tribunal de Justícia de la UE per no haver notificat encara la transposició completa — gairebé dos anys de retard. L’obligació de fons no espera que Espanya posi al dia la seva pròpia paperassa.
• DORA (Reglament (UE) 2022/2554), en vigor des del 17 de gener de 2025, exigeix a les entitats financeres que el seu supervisor designi com a prou significatives dur a terme proves de penetració basades en amenaces (TLPT) almenys cada tres anys , seguint la metodologia TIBER-UE.
• L’ENS, l’Esquema Nacional de Seguretat espanyol (Real Decreto 311/2022 ), exigeix una auditoria formal de seguretat almenys cada dos anys per als sistemes de categoria MITJANA o ALTA, o abans si hi ha un canvi important — una autoavaluació amb la mateixa periodicitat biennal s’aplica fins i tot a la categoria BÀSICA. Qui ven programari o serveis a l’Administració pública espanyola és, molt probablement, dins d’aquest abast.

Què és realment l’avaluació gratuïta

Una primera mirada externa i no intrusiva al que vostè exposa de debò a internet: es mapa, es contrasta amb configuracions errònies conegudes i programari sense pedaçar, i es fa una revisió manual de les zones que més probablement importen per a un negoci com el seu. Rep un resum en llenguatge planer del que hem trobat i una resposta honesta a l’única pregunta que importa: si una auditoria completa val la pena ara mateix. Si no la val, l’hi direm.

Què hi afegeix l’auditoria completa

L’encàrrec complet està liderat per feina manual, no és un informe d’escàner amb el nostre logotip posat. La metodologia segueix l’OWASP Testing Guide i el Penetration Testing Execution Standard; l’abast i les regles de compromís s’acorden i se signen abans de començar a provar, exactament com s’ha descrit més amunt; les troballes es redacten en llenguatge planer, ordenades pel risc que realment representen i no per una puntuació de severitat genèrica; i un cop hagi corregit el que hem trobat, ho tornem a comprovar. El preu es pressuposta després de l’avaluació, ajustat al que vostè realment té desplegat — donar per fet que dues empreses costen el mateix de provar com cal seria la primera cosa deshonesta que li diríem.

Lliurat en remot, des d’Espanya

Les proves en si s’executen en remot contra els seus sistemes accessibles des de l’exterior i d’abast acordat, així que la distància mai no va ser realment la limitació que sembla. Una empresa a qualsevol lloc pot rebre abast, avaluació i proves sense que ningú no reservi un vol. Portar la pràctica des d’Espanya situa l’encàrrec sota jurisdicció de la UE, i tot el que toquem durant les proves es tracta amb la mateixa disciplina alineada amb el RGPD que apliquem a la resta del que construïm.

Si vol saber on és realment

Digui’ns què li agradaria que avaluéssim, i on enviar els resultats.

Sol·liciti la seva avaluació gratuïta

Aquest article descriu la nostra pròpia pràctica de proves en termes generals; l’abast exacte, la metodologia i les obligacions legals que li apliquin depenen dels seus sistemes, el seu sector i la seva jurisdicció. És informació general, no assessorament legal ni de compliment normatiu — si opera en un sector regulat, confirmi les seves obligacions concretes de proves amb els seus propis assessors de compliment.