Sobre el papel, casi todas las empresas están protegidas: hay firewall, hay copias, hay política de contraseñas. El pentesting existe porque el papel no detiene a nadie. Un test de intrusión es un ataque real ejecutado por profesionales en condiciones controladas: las mismas técnicas que usaría un atacante, pero con contrato, límites y un objetivo — que sepas exactamente qué falla antes de que lo descubra otro.
En Élite Solutions hacemos pentesting para empresas en tres modalidades — caja negra, gris y blanca — con alcance y reglas de compromiso firmadas antes de lanzar la primera petición, informe ejecutivo y técnico al terminar, y retest tras la corrección para verificar que lo encontrado quedó cerrado. Sin teatro y sin informes de relleno: hallazgos reales, demostrados y priorizados.
Caja negra, caja gris y caja blanca: elige a tu atacante
No todos los atacantes parten del mismo sitio, y un buen pentest tampoco. La modalidad define cuánta información tenemos al empezar — y por tanto, qué escenario estás poniendo a prueba.
- Caja negra: el atacante externo
- Partimos sin conocimiento previo: solo el nombre de la empresa o un dominio, como cualquier atacante de internet. Es el escenario más realista para medir tu exposición exterior — qué encuentra, hasta dónde llega y cuánto tarda alguien que no sabe nada de ti.
- Caja gris: el usuario o proveedor comprometido
- Partimos con acceso parcial: unas credenciales de usuario, acceso a la VPN o la información que tendría un proveedor. Simula el escenario más frecuente en incidentes reales — una cuenta robada por phishing o un tercero comprometido — y suele ofrecer la mejor relación entre coste y hallazgos.
- Caja blanca: máxima profundidad
- Partimos con acceso total al código y la arquitectura. No simula a un atacante concreto: exprime al máximo el tiempo de auditoría para encontrar todo lo posible. Es la opción adecuada para sistemas críticos donde no puedes permitirte dejar nada sin revisar.
Alcance y reglas de compromiso: un ataque con contrato
Un pentest sin papeles no es un pentest: es un delito. Antes de empezar se firma la autorización expresa del propietario de los sistemas y se pactan las reglas de compromiso: qué sistemas entran en el alcance y cuáles quedan explícitamente fuera, qué técnicas están permitidas, en qué ventanas horarias se trabaja y quién es el contacto de emergencia por ambas partes.
Estas reglas no son burocracia defensiva: son lo que permite atacar de verdad sin poner en riesgo tu operación. Con los límites claros podemos ser agresivos dentro de ellos — que es exactamente lo que necesitas de un test de intrusión. Todo el trabajo queda cubierto por contrato y acuerdo de confidencialidad, y los datos a los que accedamos durante el test se tratan y destruyen según lo pactado.
Qué te llevas: informe ejecutivo, informe técnico y retest
El valor de un pentest no está en la intrusión: está en lo que tu empresa hace después. Por eso el entregable está pensado para provocar acción, no para impresionar.
- Informe ejecutivo
- Unas pocas páginas en lenguaje de negocio: qué se consiguió, qué riesgo real supone y qué decisiones hay que tomar. Pensado para dirección, sin tecnicismos de relleno.
- Informe técnico con evidencias
- Cada hallazgo documentado con severidad, pasos de reproducción, evidencia y corrección concreta. Tu equipo técnico puede verificarlo y corregirlo sin interpretar nada.
- Priorización por riesgo real
- No es lo mismo un hallazgo teórico que la cadena de fallos que nos dio acceso a datos de clientes. El informe ordena por lo que un atacante explotaría primero.
- Sesión de presentación
- Presentamos los resultados a tu equipo — técnico y directivo — y respondemos preguntas. Un informe que no se entiende es un informe que no se ejecuta.
- Retest tras la corrección
- Cuando tu equipo corrige, volvemos a probar los hallazgos y actualizamos el informe. El proyecto no termina con la lista de fallos: termina cuando están cerrados.
Cómo trabajamos un pentest
Un pentest tipo se desarrolla en dos a cuatro semanas de ejecución, más el retest una vez aplicadas las correcciones.
- 01 · Alcance y reglas de compromiso
- Definición de objetivos, sistemas, modalidad y límites. Firma de la autorización y del acuerdo de confidencialidad.
- 02 · Reconocimiento
- Recopilación de información y mapeo de la superficie de ataque, según la modalidad elegida.
- 03 · Explotación controlada
- Intentos reales de intrusión dentro de las reglas pactadas. Si encontramos algo crítico, te avisamos en el momento.
- 04 · Informe y presentación
- Entrega del informe ejecutivo y técnico, sesión de resultados y plan de corrección priorizado.
- 05 · Retest
- Verificación de que las correcciones aplicadas cierran de verdad cada hallazgo, con el informe actualizado al estado final.
Pentesting en Murcia, para empresas de toda España
Nuestra sede y nuestro equipo están en Murcia, y trabajamos de forma habitual con empresas de Alicante, Almería, Albacete y la Comunidad de Madrid. La definición del alcance y la presentación de resultados son las fases donde la cercanía se nota — y donde preferimos estar en tu oficina, no en una videollamada.
La ejecución técnica de un pentest es remota por naturaleza, así que trabajamos para empresas de toda España sin perder nada por el camino. Y como también desarrollamos software y operamos nuestro propio centro de datos — CPD Titán —, entendemos los sistemas que atacamos desde dentro: sabemos cómo se construyen, no solo cómo se rompen.