Ethical hacking que tu auditor puede usar.
Pruebas de penetración sobre tus aplicaciones, APIs e infraestructura, hechas por personas y entregadas con lo que una auditoría necesita ver: hallazgos mapeados a controles, carta de atestación y re-test que demuestra la remediación.
Formulario de 10 minutos · valor exacto, sin rangos · NDA antes de cualquier dato técnico.
Un usuario autenticado accede al panel de otra cuenta cambiando el identificador en la URL.
# reproducción GET /api/campaigns/1042/dashboard Authorization: Bearer <sesión de otra cuenta> → 200 OK · datos que no le pertenecen
- Detectado Semana 2
- Remediado por el cliente
- Re-test Cerrado ✓
Un informe de vulnerabilidades no es lo mismo que evidencia de auditoría.
Un escáner produce cientos de páginas que el auditor no puede contrastar contra ningún control. Eso no es lo que te van a pedir.
El reporte de escáner no le dice nada al auditor
Cientos de hallazgos por patrón, sin PoC ni referencia a un control. Te lo devuelven por insuficiente.
El calendario aprieta
Lo que pesa ante el auditor es un informe con hallazgos ya cerrados. Para eso hay que remediar y re-testear antes de la fecha.
Lo grave no lo ve una herramienta
Lógica de negocio, escalamiento de privilegios, aislamiento entre cuentas. Eso sólo lo encuentra una persona.
Cinco superficies, un mismo criterio.
Caja gris por defecto: combinamos la vista del atacante externo sin credenciales con la de un usuario autenticado por cada rol. Es la única forma de evaluar la segregación de permisos.
Aplicaciones web
Autenticación, sesiones, lógica de negocio y la matriz de roles de tus apps.
Ver el servicioAPIs
REST y GraphQL: autorización por endpoint, abuso de parámetros, exposición de datos.
Ver el servicioInfraestructura y perímetro
Superficie externa expuesta: servicios, cifrado, configuración y segmentación.
Ver el servicioRed interna y Active Directory
Lo que ve y alcanza un atacante ya dentro: movimiento lateral y escalamiento.
Ver el servicioConfiguración cloud
AWS, Azure o GCP: identidades, buckets, llaves y exposición accidental.
Ver el servicioComplementos
Aplicación móvil (por plataforma), revisión de código fuente (por repositorio) y campaña de phishing / ingeniería social. Se suman a cualquier alcance.
Tres alcances. El B es el de una recertificación.
El valor exacto se fija con el formulario de alcance; no publicamos rangos porque cada alcance real es distinto.
Esencial
Primer ejercicio, una aplicación.
- Perímetro externo (hasta 20 IPs o dominios)
- 1 aplicación web con todos sus roles
- API base del portal
Auditoría
Recertificación, etapa 2 o SOC 2.
- Todo lo del alcance A
- 1 aplicación web adicional
- Grupo de APIs independientes
- Cobertura de A.8.8, A.8.29 y A.8.20
Integral
Empresa con red interna y Active Directory.
- Todo lo del alcance B
- Red interna (hasta 100 hosts)
- Active Directory
- Revisión de configuración cloud
Siempre incluido: ambos informes, clasificación CVSS, plan de remediación, carta de atestación, reunión de resultados, re-test y 15 días de soporte. Siempre fuera: DDoS, pruebas físicas y acciones destructivas sobre datos productivos.
Planificado hacia atrás desde tu fecha de auditoría.
Cronograma tipo del alcance B. Los hallazgos críticos se avisan de inmediato, no al final.
- Día 0 · 10 min
Formulario de alcance
Cantidades reales de apps, IPs y hosts. Con eso fijamos el valor exacto.
- Semana 0 · 30 min
Llamada de alcance
Validamos el alcance y calzamos fechas contra tu calendario de auditoría.
- Semana 0–1
Propuesta, NDA y autorización
Propuesta definitiva, NDA y Rules of Engagement firmadas por el titular de los activos.
- Semana 1 · 30 min
Kick-off
Credenciales por rol y whitelisting de IPs. Arrancan las pruebas.
- Semanas 2–3
Ejecución
Reconocimiento, análisis y explotación controlada. Los críticos se notifican al momento.
- Semana 4 · 60 min
Informes y resultados
Informe ejecutivo, informe técnico, carta de atestación y reunión de presentación.
- +30 a 90 días
Re-test de verificación
Verificamos la remediación y actualizamos el estado de cada hallazgo.
Compliance y ofensiva, en la misma casa.
StrixHack es de BuhoSec AI, la misma empresa que construye Vigía, plataforma de compliance con la que trabajamos ISO 27001, SOC 2, Ley 21.719 y los auditores que los revisan. Por eso sabemos qué informe se sostiene frente al área de seguridad de un cliente corporativo y cuál termina devuelto.
- Acelerado con nuestro propio motor de IA en el reconocimiento, el triaje de hallazgos y la explotación asistida — pero el pentester decide, explota y redacta cada informe. La IA no firma nada.
- Validación manual de cada hallazgo, no exportación de un escáner.
- Metodologías reconocidas: OWASP WSTG, NIST SP 800-115 y PTES.
- Líder técnico con certificación CEH.
- NDA antes de recibir cualquier información técnica; la evidencia se destruye a los 90 días del cierre.
- Enfoque en startups y empresas en crecimiento, donde el ethical hacking suele llegar tarde.
Preguntas frecuentes
¿En qué se diferencia de un escaneo automático de vulnerabilidades?
¿Sirve como evidencia para mi recertificación ISO 27001?
¿Cuánto cuesta?
¿Cuánto se demora?
¿Firman NDA?
¿Prueban sobre producción o sobre staging?
¿Tu auditoría es en menos de 8 semanas?
Cuéntanos el alcance hoy y calzamos las fechas. Diez minutos ahora te ahorran correr contra el calendario después.