Evaluación gratuita de pentest: lo que encontramos antes que un atacante

Nos pasamos buena parte de nuestro tiempo de trabajo encontrando la forma de entrar en sistemas que alguien daba por cerrados: un formulario de acceso que se fía de la cabecera equivocada, un subdominio de pruebas que nadie recordaba retirar, una API que devuelve más de lo que la pantalla que tiene delante llega a pedir. Siempre con una autorización firmada, para un cliente que nos lo ha pedido, antes de que llegue alguien que no la tiene.

Esto es una invitación a hacer lo mismo por usted. Empieza con una evaluación gratuita, y el encargo entero se realiza en remoto — desde España, esté usted donde esté.

Casi nadie se somete a pruebas hasta que es tarde

INCIBE , el instituto nacional de ciberseguridad, gestionó 122.223 incidentes de ciberseguridad en 2025 — un 26 % más que en 2024 (97.348 casos), y la cifra más alta que ha registrado el organismo. De ellos: 55.411 fueron de malware, 45.445 de fraude online (un 19 % más que el año anterior), 25.133 de phishing, y 3.849 de acceso no autorizado o robo de datos. Aparte, el propio rastreo de INCIBE detectó 237.028 sistemas vulnerables expuestos en redes españolas a lo largo del año.

Son incidentes gestionados, no un censo de todos los ataques —el propio INCIBE es claro en que la cifra real es, por fuerza, mayor—. Lo que muestra la tendencia no admite ambigüedad: la exposición sube, no baja, y en la mayoría de los casos la encuentra antes el atacante que el propietario.

Lo que cuesta cuando nadie hizo pruebas

British Airways, 2018-2020. Unos atacantes redirigieron el tráfico de ba.com a un sitio falso y capturaron los datos de pago de unos 400.000 clientes. La autoridad británica de protección de datos (ICO) investigó y, en su resolución, fue concreta sobre lo que BA no había hecho: no había realizado pruebas rigurosas —«en forma de simulación de un ciberataque»— sobre sus propios sistemas, y no contaba con monitorización de integridad de archivos que hubiera detectado los cambios del atacante. La multa que propuso el ICO en un principio fue de 183 millones de libras; tras las alegaciones de la empresa, se redujo a 20 millones de libras — aun así, una de las mayores sanciones de protección de datos de la historia del Reino Unido, por un fallo que un programa de pruebas existe precisamente para detectar.

El propio titular de Computer Weekly sobre el caso lo dejó dicho sin rodeos: «un bug bounty de 4.000 libras podría haber salvado a BA de una multa récord del ICO». Nosotros no le prometeríamos una cifra tan concreta sobre sus propios sistemas —nadie honesto puede, sin antes mirar—, pero la forma de esa relación es la que conviene tener en la cabeza.

La IA no ha creado esta amenaza: la ha industrializado

Las propias cifras de INCIBE de 2025 ya llevan esa firma: los casos de fraude por phishing y smishing en España crecieron un 25 % ese año, concentrados en banca, logística y sanidad. El viejo consejo de fijarse en la mala gramática o en un saludo torpe está perdiendo utilidad por una razón concreta y documentada.

El National Cyber Security Centre del Reino Unido evaluó en enero de 2024, y lo ha reafirmado desde entonces , que la IA «casi con toda seguridad aumentará el volumen e intensificará el impacto de los ciberataques» —precisamente porque elimina la habilidad y el esfuerzo que antes filtraban quién podía ejecutar un ataque competente—. La propia agencia de ciberseguridad de la UE, ENISA, puso una cifra a una parte de eso en su informe Threat Landscape 2025 : de los correos de phishing que identificó entre septiembre de 2024 y febrero de 2025, más del 80 % mostraba algún uso de IA.

Y no es solo el correo electrónico. En enero de 2024, un empleado del área financiera de la ingeniería Arup se unió a lo que parecía una videollamada rutinaria con el director financiero de la empresa y varios compañeros, y autorizó quince transferencias por un total de 200 millones de dólares hongkoneses —unos 25,6 millones de dólares — a lo largo de esa única llamada. Todas las personas de la llamada, salvo él, eran un deepfake, construido con vídeo y audio en los que esos directivos reales ya habían aparecido en reuniones ordinarias de la empresa. Nadie lo detectó hasta que él llamó después a la sede central de Arup para confirmarlo.

Y no son solo delincuentes experimentando. En febrero de 2024, Microsoft y OpenAI hicieron público que habían identificado y cerrado cuentas usadas por cinco grupos de hackers vinculados a estados —ligados a Rusia, Irán, Corea del Norte y China— que empleaban los modelos de OpenAI para reconocimiento, traducción y ayuda básica de programación. Nada novedoso todavía, según su propio reconocimiento: el mismo reconocimiento y la misma programación de siempre en estos grupos, solo que más rápido.

Nada de esto cambia para qué sirve un test de penetración. Cambia la rapidez con la que se encuentra el hueco que usted no ha probado, y quién lo encuentra.

Por qué el «consentimiento» no es una cortesía: es la ley

Todo lo que hace un test de penetración —entrar en un sistema para el que su propietario no construyó una puerta pensada para usted— es, sin permiso, un delito en España. El artículo 197 bis.1 del Código Penal , vigente desde la reforma de 2015 (Ley Orgánica 1/2015), castiga a quien, «vulnerando las medidas de seguridad establecidas para impedirlo, y sin estar debidamente autorizado», acceda o facilite a otro el acceso a un sistema de información, con prisión de seis meses a dos años. Lo único que convierte ese mismo acto en un servicio de seguridad legítimo es la frase intermedia: debidamente autorizado.

Por eso todo encargo que realizamos empieza antes de enviar la primera solicitud contra sus sistemas: una autorización firmada que nombra exactamente qué entra en el alcance, la ventana temporal, los activos concretos cubiertos, y una persona de contacto en su organización que pueda responder por nosotros si su propia monitorización se dispara. No es papeleo por el papeleo. Es el hecho concreto que mantiene ese mismo trabajo técnico del lado correcto de la ley.

Lo que la ley ya exige de todos modos

Aunque nadie se lo esté pidiendo todavía, la dirección es siempre la misma:

• El artículo 32.1.d) del RGPD exige «un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas» para garantizar la seguridad del tratamiento. Se aplica, en la práctica, a casi cualquier empresa que trate datos personales en la UE — no es una obligación de nicho para sectores regulados.
• La NIS2 (Directiva (UE) 2022/2555) incluye las pruebas de seguridad entre las medidas de gestión del riesgo que deben aplicar sus entidades «esenciales» e «importantes». España incumplió el plazo de transposición del 17 de octubre de 2024, y el 8 de julio de 2026 la Comisión Europea llevó a España ante el Tribunal de Justicia de la UE por no haber notificado todavía la transposición completa — casi dos años de retraso. La obligación de fondo no espera a que España ponga al día su propio papeleo.
• DORA (Reglamento (UE) 2022/2554), en vigor desde el 17 de enero de 2025, exige a las entidades financieras que su supervisor designe como lo bastante significativas realizar pruebas de penetración basadas en amenazas (TLPT) al menos cada tres años , siguiendo la metodología TIBER-UE.
• El ENS, el Esquema Nacional de Seguridad español (Real Decreto 311/2022 ), exige una auditoría formal de seguridad al menos cada dos años para los sistemas de categoría MEDIA o ALTA, o antes si hay un cambio importante — una autoevaluación con la misma periodicidad bienal se aplica incluso en la categoría BÁSICA. Quien vende software o servicios a la Administración pública española está, muy probablemente, dentro de este alcance.

Qué es realmente la evaluación gratuita

Una primera mirada externa y no intrusiva a lo que usted expone de verdad a internet: se mapea, se contrasta con configuraciones erróneas conocidas y software sin parchear, y se hace una revisión manual de las zonas que más probablemente importan para un negocio como el suyo. Recibe un resumen en lenguaje llano de lo que hemos encontrado y una respuesta honesta a la única pregunta que importa: si una auditoría completa merece su dinero ahora mismo. Si no lo merece, se lo diremos.

Qué añade la auditoría completa

El encargo completo está liderado por trabajo manual, no es un informe de escáner con nuestro logo puesto. La metodología sigue la OWASP Testing Guide y el Penetration Testing Execution Standard; el alcance y las reglas de compromiso se acuerdan y se firman antes de empezar a probar, exactamente como se ha descrito arriba; los hallazgos se redactan en lenguaje llano, ordenados por el riesgo que realmente representan y no por una puntuación de severidad genérica; y una vez haya corregido lo que encontramos, lo volvemos a comprobar. El precio se presupuesta después de la evaluación, ajustado a lo que usted realmente tiene desplegado — dar por hecho que dos empresas cuestan lo mismo de probar en condiciones sería lo primero deshonesto que le diríamos.

Entregado en remoto, desde España

Las pruebas en sí se ejecutan en remoto contra sus sistemas accesibles desde el exterior y de alcance acordado, así que la distancia nunca fue realmente la limitación que parece. Una empresa en cualquier parte puede recibir alcance, evaluación y pruebas sin que nadie reserve un vuelo. Llevar la práctica desde España sitúa el encargo bajo jurisdicción de la UE, y todo lo que tocamos durante las pruebas se trata con la misma disciplina alineada con el RGPD que aplicamos al resto de lo que construimos.

Si quiere saber dónde está realmente

Cuéntenos qué le gustaría que evaluáramos, y a dónde enviar los resultados.

Solicite su evaluación gratuita

Este artículo describe nuestra propia práctica de pruebas en términos generales; el alcance exacto, la metodología y las obligaciones legales que le apliquen dependen de sus sistemas, su sector y su jurisdicción. Es información general, no asesoramiento legal ni de cumplimiento normativo — si opera en un sector regulado, confirme sus obligaciones concretas de pruebas con sus propios asesores de cumplimiento.