Consejo: haz clic en una pregunta para ver la respuesta.
¿Qué es el “Web Hacking” y cuál es su objetivo?
Ejecutamos un ejercicio ofensivo contra tus aplicaciones web y APIs expuestas a Internet para encontrar lo mismo que encontrarían atacantes reales. El objetivo es descubrir rutas viables hacia toma de cuentas, exposición de datos, escalado de privilegios o RCE, ayudarte a corregirlas y verificar las correcciones.
¿Qué entra en alcance y qué queda fuera?
En alcance: los activos que autorices: dominios, subdominios, aplicaciones web, APIs REST/GraphQL y servicios perimetrales (p. ej., WAF/CDN, almacenamiento de objetos). Fuera de alcance por defecto: ingeniería social y pruebas de red interna (pueden añadirse explícitamente si lo deseas). Solo tocamos lo que apruebes por escrito.
¿Cómo realizáis las pruebas: manuales o automatizadas?
Manual primero. Empezamos con pruebas prácticas y usamos asistencia de IA, opcional y controlada por el operador, solo para reconocimiento y triage, nunca en piloto automático. Cada hallazgo se valida manualmente con pruebas e impacto claros.
¿Es seguro ejecutar esto en producción?
Sí. Seguimos reglas de enfrentamiento estrictas: límites de velocidad, allowlists, ventanas de mantenimiento si hace falta y “kill switches”. La explotación es mínima y basada en pruebas: suficiente para demostrar el riesgo sin causar interrupciones ni dañar datos.
¿Qué tipo de vulnerabilidades buscáis?
La cobertura incluye fallos de autenticación y gestión de sesión, problemas de control de acceso (IDOR/BOLA), inyección (SQLi, XSS, comandos/LDAP), SSRF, configuraciones erróneas y abusos de lógica de negocio. Trabajamos con stacks modernos: SPAs, REST/GraphQL, OAuth/OIDC y almacenamiento/CDNs en la nube.
¿Cómo se reportan los hallazgos?
Recibirás una presentación ejecutiva y un informe técnico que mapea cada problema al OWASP Top 10 (cuando aplique) con:
- Pasos de reproducción y el método exacto usado para encontrar/validar
- Severidad, impacto claro y remediación priorizada
- Capturas de pantalla/POCs cuando sea apropiado
¿Realizáis un retest después de que apliquemos correcciones?
Sí. Incluimos un retest gratuito para verificar la remediación y actualizar el informe en consecuencia.
¿Qué necesitáis de nuestra parte para empezar?
Alcance autorizado, ventanas de prueba, cualquier allowlisting en WAF/CDN y al menos una cuenta de prueba por rol (más documentación/keys de API para entornos no productivos si aplica). Si tienes modelos de amenazas o puntos de dolor conocidos, los incorporamos.
¿Explotaréis completamente las vulnerabilidades?
Validamos el impacto de forma segura. Cuando la explotación pueda poner en riesgo la integridad o disponibilidad de los datos, usamos pruebas controladas (p. ej., lecturas/escrituras dirigidas, payloads no destructivos) para demostrar el problema sin daños colaterales.
¿En qué se diferencia esto de un pentest tradicional o un red team?
Es un ejercicio enfocado en aplicaciones web y perímetro, no un red team sobre toda la organización. Frente a los pentests de checklist, es manual primero, basado en pruebas y consciente de la lógica, con hallazgos mapeados al OWASP Top 10 y correcciones prácticas.
