No está seguro de qué está realmente expuesto a internet.
Se levantan activos, quedan registros DNS, los servicios se van abriendo. Tiene una lista de activos — pero ninguna certeza de que coincida con lo que un atacante puede alcanzar ahora mismo.
Pruebas manuales de penetración de red externa
Ingenieros senior atacan su perímetro expuesto a internet como lo haría un adversario real — para encontrar lo que está expuesto, demostrar lo que es explotable y cerrar el camino antes de que lo recorra otro.
Confían en nosotros
¿Le suena?
Los equipos levantan servicios sin avisar a seguridad.
Un servidor de staging olvidado, un panel de administración abierto, una VPN de desarrollo que quedó activa. El host peligroso suele ser el que nadie recuerda — y confirmar que es alcanzable y explotable es trabajo manual, no una línea en un informe.
Su aseguradora quiere pruebas, no una autoevaluación.
La renovación o una nueva póliza dependen ahora de evidencia de que su perímetro ha sido probado de forma independiente. Necesita un informe de pentest real que acepten los suscriptores — no otro cuestionario.
Un cliente le está evaluando como proveedor.
Su equipo de seguridad quiere una prueba independiente de su superficie externa antes de firmar o renovar. El acuerdo se estanca hasta que entregue un informe que supere su revisión.
Acaba de heredar el perímetro de otro.
Una adquisición o fusión duplicó su superficie de ataque de un día para otro — hosts desconocidos, configuraciones desconocidas, exposición no documentada. Necesita saber qué vino con el acuerdo antes de que un atacante lo mapee por usted.
Su escaneo externo salió «limpio».
Un escaneo automático marca parches faltantes y TLS débil — pero no encadena un servicio mal configurado hasta un acceso real. No sabe si un informe limpio significa que está seguro o simplemente sin escanear donde importa.
El coste de no actuar
73%
de las brechas implican a actores externos — y la mayoría empieza con una única debilidad expuesta a internet: un servicio abierto, una credencial débil, un dispositivo perimetral sin parchear.
~15 min
es lo rápido que el escaneo automatizado de adversarios suele encontrar y sondear un servicio recién expuesto a internet.
1 host
es todo lo que hace falta. Su perímetro es tan fuerte como su activo alcanzable más débil — y basta con que se le escape uno.
Qué debería probar
Pruebas manuales profundas de todo lo que un atacante puede alcanzar desde fuera — y todo lo que olvidó que era alcanzable.
Black-box
Simulación de atacante externo no autenticado, partiendo únicamente de su dominio o rangos de IP. Descubrimos qué es alcanzable antes de atacarlo.
Grey-box
El mismo ataque, acelerado. Usted comparte activos conocidos, rangos y contexto para que dediquemos el proyecto a explotar en profundidad en lugar de redescubrir el alcance.
Clases de vulnerabilidad a cazar
- Interfaces de administración expuestas
- Credenciales por defecto y débiles
- Credential stuffing / password spraying
- Fallos en gateways VPN
- Exposición de RDP
- Bases de datos expuestas
- Explotación de CVE en dispositivos perimetrales
- Servicios de perímetro sin parchear
- Mala configuración de SSL/TLS
- Toma de control de subdominios
- Mala configuración de DNS
- Debilidades de SPF / DKIM / DMARC
- Abuso de mail relay
- Puertos de gestión expuestos
- Acceso remoto inseguro
- Firewalls mal configurados
- Exposición de almacenamiento en la nube
- APIs expuestas
- Secretos / claves de API filtrados
- Divulgación de información
- Enumeración de directorios y servicios
- Evasión de autenticación
- Puntos de entrada de aplicaciones web
- Encadenamiento de exploits conocidos
- Recursos compartidos inseguros
- Acceso anónimo
- Oportunidades de pivote lateral
- Punto de apoyo interno desde una entrada externa
- Fallos de lógica y control de acceso en apps expuestas
Superficie de ataque a cubrir
- Hosts expuestos a internet
- Rangos de IP
- Servidores web
- Aplicaciones web
- APIs públicas
- Gateways VPN
- Portales de acceso remoto
- Servidores de correo
- Infraestructura DNS
- Subdominios
- Activos olvidados / huérfanos
- Entornos de staging y desarrollo expuestos
- Paneles de administración
- Interfaces de gestión
- Firewalls y dispositivos perimetrales
- Endpoints en la nube
- Buckets de almacenamiento de objetos
- Capas de CDN / proxy
- Balanceadores de carga
- Activos alojados por terceros
- Servicios alcanzables desde el exterior
- Puertos abiertos
- El perímetro de red en su conjunto
- Activos recién adquiridos (M&A)
Qué significa manual de verdad
La mayoría de las pruebas de seguridad se detienen al encontrar una vulnerabilidad. Para nosotros, eso es solo el punto de partida.
¿No está seguro de qué está realmente expuesto en su perímetro? Mapéemoslo.
Un pentester senior (no un comercial) le responderá con una valoración honesta de qué valdría realmente la pena probar.
Casos de éxito
De proyectos reales
Algunos proyectos que muestran cómo es trabajar con nosotros — a escala, durante años, en distintos sectores.
Manufactura · FMCG
Múltiples proyectos de pentesting para una empresa global de alimentación y bebidas en más de 120 mercados.
Pruebas Blackbox y Greybox en múltiples servicios de TI — garantizando una alta protección para consumidores, empleados, contratistas y accionistas, y cumpliendo los controles de compliance a nivel de grupo.
Leer caso de éxito
B2B SaaS · LMS
Pentest integral de aplicación web en apoyo de la certificación ISO 27001 para una plataforma LMS corporativa.
Pruebas Blackbox y Graybox alineadas con OWASP — seguidas de un re-test de remediación y un informe final que validó la postura de seguridad para la auditoría ISO 27001.
Leer caso de éxitoQué recibirá
Cinco entregables — diseñados para quienes realmente los van a usar: sus ingenieros, su C-level, sus auditores y sus clientes Enterprise.
¿Quiere ver cómo son realmente?
Estructura real, hallazgos reales, formato real. Los mismos documentos que verán su equipo y sus auditores.
Informe urgente intermedio
Cuando encontramos algo crítico, usted lo sabe el mismo día.
Si durante el trabajo descubrimos una vulnerabilidad de severidad crítica que requiere atención inmediata, recibe una alerta con pasos de reproducción y acciones recomendadas. Nosotros seguimos probando, usted empieza a remediar en paralelo. Sin esperar al informe final.
Para
Su equipo de ingeniería, su CTO
Informe técnico
Hallazgos priorizados sobre los que sus ingenieros pueden actuar el mismo día.
Cada vulnerabilidad con pasos de reproducción, prueba de concepto, impacto de negocio y un roadmap de remediación priorizado. Sin falsos positivos. Sin paja. Pensado para que sus desarrolladores sepan exactamente qué arreglar y en qué orden.
Para
Sus ingenieros, su CTO, su equipo de seguridad
Resumen ejecutivo
Lo que el consejo y los inversores realmente necesitan saber.
Un informe en lenguaje de negocio sobre la postura de seguridad de su producto, los riesgos identificados, su impacto de negocio potencial y el camino hacia la remediación. Redactado para CEOs, consejos, inversores y equipos de compras de Enterprise — no para ingenieros.
Para
Su CEO, su consejo, inversores, contrapartes M&A y sus clientes
Informe de re-test
Evidencia verificada de que las correcciones funcionan.
Tras la remediación por parte de su equipo, re-testamos cada hallazgo y confirmamos que la corrección resiste los mismos intentos de explotación. El informe actualizado es su prueba de que las vulnerabilidades están realmente cerradas — no solo parcheadas sobre el papel.
Para
Sus auditores, sus clientes Enterprise
Certificado de seguridad
Un documento público para compartir con clientes y prospectos.
Tras la remediación y el re-test emitimos un certificado oficial que acredita que su producto ha superado un pentest manual profundo. Úselo en su web, en cuestionarios de seguridad, en conversaciones de venta Enterprise — el documento que sus prospectos y compras quieren ver.
Para
Su equipo comercial, su marketing, sus prospectos Enterprise
Cómo cumplimos con sus objetivos
Metodologías estándar de la industria, ejecutadas por ingenieros senior.
Estándares
Metodologías que seguimos
- OWASP
- PTES
- NIST SP 800-115
- MITRE ATT&CK
Requisitos de pentest de cumplimiento que satisfacemos
- SOC 2
- ISO 27001
- GDPR
- HIPAA
- PCI DSS
Los principios detrás de ello
Hacking manual
Los escáneres solo se usan como línea base. Cada hallazgo se construye a mano y lo verifica un ingeniero senior — explotado y encadenado manualmente, teniendo en cuenta el contexto de su plataforma.
Cíclico, no lineal
Cada hallazgo alimenta al siguiente. Cada nuevo acceso revela nueva superficie de ataque. Volvemos atrás, profundizamos y encadenamos — hasta alcanzar el mayor impacto que su arquitectura permita.
Impacto de negocio, no una lista de bugs
Una lista de CVEs no le dice lo que un atacante haría realmente con su negocio. Traducimos cada hallazgo a un escenario real — qué se compromete, quién pierde qué y cómo se desarrolla la cadena.
Solo ingenieros senior
Sin juniors aprendiendo con su producto, sin subcontrataciones, sin cambios de ingenieros a mitad del trabajo. Cada engagement lo dirige ingeniería ofensiva senior con experiencia profunda en B2B SaaS.
Calidad antes que velocidad
No somos una cadena de montaje optimizando volumen. Tomamos menos proyectos simultáneos y profundizamos en cada uno — esa es la decisión.
No causar daño
Todas las pruebas se ejecutan bajo Rules of Engagement firmadas. Las acciones de alto riesgo en producción se coordinan con usted con antelación. Los hallazgos críticos disparan una alerta inmediata — sin sorpresas, sin entornos rotos.
Hallazgos accionables, cero falsos positivos
Cada hallazgo se verifica, prioriza y documenta con pasos de reproducción y guía de remediación. Sus ingenieros saben exactamente qué arreglar primero — y no pierden un día en ruido.
Comunicación de ingeniero a ingeniero
Acceso directo a nuestros ingenieros durante todo el proyecto. Sin intermediarios comerciales, sin project managers filtrando el detalle técnico.
Hacking como oficio
Contratamos ingenieros que hackean en su tiempo libre — para investigar, para CTFs, por amor al oficio. Nuestro equipo trata cada engagement como un reto que resolver, no como un ticket que cerrar.
De su primer mensaje a su certificado final
Un engagement estructurado en torno a su equipo — con ingenieros senior, comunicación directa y cero sorpresas.
-
Primera conversación
Qué ocurre- Usted nos contacta — por llamada, formulario o email, como prefiera
- Un ingeniero senior (no un comercial) le responde
- Definimos juntos sus objetivos y el alcance del trabajo
- Le damos una lectura honesta sobre si somos el encaje adecuado, y sobre qué merecería realmente la pena probar
Usted recibe Una respuesta clara sobre la dirección a tomar — y sobre si encajamos — antes de firmar nada. -
Alcance y propuesta
Qué ocurre- Una sesión técnica con su equipo para entender su arquitectura, sus roles y la superficie de su aplicación
- Le mostramos un informe de muestra para que sepa exactamente qué aspecto tienen los entregables
- Recibe una propuesta detallada: alcance, enfoque, plazos y precio
Usted recibe Una propuesta completa y un informe de muestra que puede revisar con su CTO, CISO, CEO y compras antes de decidir. -
Arranque
Qué ocurre- Contrato y NDA firmados
- Rules of Engagement firmadas — límites claros sobre qué probamos, cuándo y cómo
- Provisión de accesos y traspaso de documentación
- Se asigna un equipo senior de ingeniería al proyecto y se le pone en contexto
Usted recibe Contrato de engagement firmado, documento Rules of Engagement, resumen de la reunión de arranque. -
Reconocimiento y threat modeling
Qué ocurre- Recopilación pasiva de inteligencia sobre su superficie pública
- Mapeo de arquitectura — cómo está construida su aplicación y dónde están las zonas de mayor riesgo
- Modelo de amenazas: qué merece la pena atacar y cómo abordaría realmente un atacante su producto
- Se establece un canal directo de comunicación ingeniero-a-ingeniero para toda la duración del engagement
Usted recibe Cualquier urgencia que aparezca en esta fase se le notifica de inmediato. En caso contrario, esta fase alimenta directamente las pruebas posteriores. -
Explotación activa
Qué ocurre- Hacking manual, descubrimiento y explotación de vulnerabilidades
- Construcción de cadenas de ataque combinando varios hallazgos
- Evaluación de impacto de cada hallazgo antes de explotar en producción
- Bucle continuo: cada nuevo acceso revela nueva superficie de ataque, y profundizamos más
Usted recibe Si encontramos un camino de ataque crítico fácilmente explotable que exige acción inmediata, recibe un Informe urgente intermedio — una alerta con pasos de reproducción y respuesta recomendada. Nosotros seguimos probando, usted empieza a remediar en paralelo. -
Entrega del informe principal
Qué ocurre- Hallazgos consolidados, verificados y documentados
- Informe Técnico y Resumen Ejecutivo redactados
- Roadmap de remediación priorizado
Usted recibe Un Informe Técnico (para sus ingenieros) y un Resumen Ejecutivo (para su consejo, clientes Enterprise y auditores). -
Llamada de cierre
Qué ocurre- Repaso de hallazgos con su equipo de ingeniería
- Repaso del impacto de negocio con su liderazgo
- Q&A sobre prioridades de remediación — qué arreglar primero y por qué
Usted recibe Un roadmap de remediación priorizado y respuestas directas a las preguntas de su equipo. -
Soporte durante la remediación
Qué ocurre- Soporte a sus desarrolladores durante todo el ciclo de corrección
- Aclaración de vectores de ataque y enfoques de remediación
- El ritmo lo marca su equipo — ni presionamos ni alargamos
Usted recibe Acompañamiento técnico durante la remediación, dentro del alcance de su engagement. -
Re-test y certificado final
Qué ocurre- Cada hallazgo remediado se re-testa contra la explotación original
- Verificación de que la corrección aguanta — no solo parcheada sobre el papel
- Se emiten informes actualizados y el certificado de seguridad
Usted recibe Un Informe de re-test, un Informe Técnico actualizado y su Certificado de Seguridad.
Reconocidos por la industria
Mejor valorados en plataformas del sector
Nuestros ingenieros poseen certificaciones como
En sus propias palabras
XRAY CyberSecurity entregó un informe completo y bien estructurado, con recomendaciones prácticas orientadas a reforzar la seguridad de nuestra aplicación. Recibimos dos informes — un Técnico detallado y un Ejecutivo aparte — lo que nos permitió presentar resultados al liderazgo con rapidez y trazar un plan de acción. Su disposición a comunicarse directamente con nuestros proveedores aceleró notablemente la remediación.
XRAY CyberSecurity llevó a cabo pentesting sobre productos construidos con tecnologías distintas. Pudimos descubrir vulnerabilidades, corregirlas y obtener confirmación, mediante re-test, de que estaban mitigadas. Comunicarnos con su equipo se parecía más a trabajar con compañeros que con un proveedor externo — profesionales, expertos y con consejos valiosos.
XRAY CyberSecurity realizó un pentest grey-box siguiendo metodologías OWASP. Su análisis manual exhaustivo identificó vulnerabilidades que merecían atención, y sus informes técnico y ejecutivo detallados — seguidos de un re-test que validó la remediación — nos permitieron avanzar con la certificación ISO 27001.
XRAY CyberSecurity realizó evaluaciones exhaustivas sobre nuestras aplicaciones web y entornos cloud, simulando escenarios de ataque reales. Sus informes detallados aportaron conclusiones claras y accionables que mejoraron significativamente nuestra postura de seguridad, y su capacidad para comunicar hallazgos complejos de forma comprensible fue inestimable para nuestro equipo.
El trabajo se realizó con rapidez y profesionalidad. Los especialistas de XRAY CyberSecurity señalaron nuestros puntos vulnerables y nos permitieron mejorar la calidad de nuestro software. Recibimos un informe con escenarios de penetración detallados y recomendaciones técnicas y organizativas para la remediación y la prevención.
5/5 en Clutch
ver todas las reseñas
¿Listo para probar su perímetro?
Preguntas frecuentes
¿Cómo definen el perímetro — les damos una lista o lo encuentran ustedes?
Ambas cosas. Si tiene un inventario de activos empezamos por ahí, pero no lo damos por completo — descubrir activos olvidados y de shadow IT es parte del trabajo. El host más peligroso suele ser el que falta en su lista, y le reportamos esa desviación del alcance como un hallazgo en sí mismo.
¿En qué se diferencia de un escaneo de vulnerabilidades?
Un escaneo le dice que un servicio es potencialmente vulnerable; nosotros demostramos si es realmente explotable y qué le da a un atacante. Encadenamos una mala configuración en un host hasta el acceso a otro — el trabajo que un escáner no puede hacer. Obtiene rutas explotadas e impacto de negocio, no una lista de CVE que clasificar por su cuenta.
¿Las pruebas afectarán a nuestro entorno de producción?
No, y es por diseño. Cada proyecto se rige por unas Rules of Engagement firmadas que definen exactamente qué probamos y cómo. Las acciones de alto riesgo — cualquier cosa que pueda afectar a la disponibilidad de un servicio en producción — se coordinan y solo se ejecutan con su aprobación explícita.
¿Activarán las políticas de abuso de nuestro proveedor cloud o ISP?
Lo tenemos en cuenta desde el principio. Para las principales plataformas cloud seguimos sus reglas de pruebas y, cuando es necesario, coordinamos la autorización antes de probar activos alojados. No pondremos en riesgo su cuenta ni su hosting para realizar un test.
¿Cómo gestionan la confidencialidad, nuestros datos y la responsabilidad legal?
Cada proyecto comienza con un NDA firmado y un contrato con plena responsabilidad corporativa. Los hallazgos y cualquier dato accedido se almacenan cifrados, solo acceden a ellos los ingenieros asignados y se eliminan al cerrar el proyecto según el periodo de retención de su contrato. Contamos con un seguro de responsabilidad civil profesional — si algo sale mal, tiene una empresa a la que pedir cuentas.
¿Deberíamos coordinarnos con nuestro SOC / equipo de monitorización durante las pruebas?
Usted decide. Podemos operar «a oscuras» para comprobar si su equipo nos detecta, o coordinar notificaciones para que las pruebas no desencadenen una respuesta a incidentes innecesaria. Lo acordamos en el kickoff y nos adaptamos a lo que quiera medir.
¿Cuánto esfuerzo requiere de nuestro equipo?
Menos de lo que la mayoría espera. La configuración se concentra en los primeros días — confirmar alcance, rangos y autorizaciones. Después, su participación se reduce a preguntas de aclaración puntuales. La verdadera inversión de tiempo por su parte llega durante la remediación, que va a su propio ritmo.
¿Y si no encuentran una vía de entrada?
Es raro, pero ocurre — y un resultado limpio de un equipo senior es significativo. Aun así recibe todos los entregables: un informe que documenta la profundidad de las pruebas, la metodología aplicada y cada activo cubierto — el mismo artefacto que necesita su aseguradora, auditor o cliente.
¿Hay costes ocultos? ¿Se incluye el re-test?
El precio de la propuesta es el precio que paga — fijo, en el contrato, vinculado al alcance acordado. El re-test tras su remediación está incluido, con un informe actualizado y un Certificado de Seguridad. Lo único que cambia el precio es que usted amplíe el alcance a mitad del proyecto, y acordamos cualquier cambio por escrito antes de empezar.