Ciberseguridad · Hacking ético
Pentesting y test de intrusión para empresas
Atacamos tus sistemas de forma controlada y autorizada para encontrar las vulnerabilidades que un atacante real podría aprovechar. Te entregamos el impacto de cada fallo y cómo corregirlo, con un informe claro para dirección y otro técnico para tu equipo.
- Metodología OWASP y OSSTMM
- Caja negra, gris o blanca
- Informe ejecutivo y técnico
- Barcelona y toda España
¿Qué es un pentest o test de intrusión?
Un pentest (pentesting o test de intrusión) simula ataques reales sobre tus aplicaciones, redes y servicios, con tu autorización y dentro de un alcance acordado. A diferencia de un escaneo automático, cada vulnerabilidad se valida a mano, se intenta explotar de forma segura y se mide qué consecuencias tendría para el negocio.
Es lo que muchas empresas buscan como hacking ético: el mismo trabajo ofensivo, hecho por profesionales y con permiso, para corregir los fallos antes de que alguien los aproveche.
Tipos de pentest que realizamos
Pentest web y de aplicaciones
Autenticación, control de acceso, exposición de información, configuraciones inseguras y riesgos del OWASP Top 10. Para webs y apps, mira también la auditoría de seguridad web y apps.
Pentest de red interna y externa
Servicios expuestos a Internet, configuraciones débiles, segmentación y posibilidades de acceso no autorizado o movimiento lateral dentro de la red.
Pentest de APIs
Errores de autenticación y autorización, validación insuficiente de datos y exposición de información sensible en APIs e integraciones.
Pentest en entornos cloud
Permisos, accesos, almacenamiento, redes y servicios expuestos en AWS, Azure, Google Cloud o Microsoft 365.
Pentesting de sistemas de IA
Inyección de instrucciones, fugas de datos y abuso de herramientas en chatbots, asistentes y agentes. Más detalle en pentesting de IA.
Red Team
Un paso más allá del pentest: simulamos un ataque persistente con un objetivo concreto para medir también la detección y la respuesta de tu equipo.
Adaptamos la prueba a la información de partida: sin datos (como un atacante externo), con credenciales de usuario o con acceso completo a la documentación y el código. También hacemos test de DDoS controlados para medir la resistencia frente a ataques de denegación de servicio.
Cómo hacemos un pentest
No nos limitamos a lanzar herramientas automáticas: seguimos estándares como OWASP y OSSTMM y validamos cada hallazgo a mano.
Alcance y reglas
Definimos activos, tipo de prueba, ventanas horarias, contactos de emergencia y autorizaciones por escrito.
Reconocimiento
Identificamos la superficie de ataque con técnicas como OSINT, igual que haría un atacante.
Análisis de vulnerabilidades
Combinamos herramientas y revisión manual para detectar puntos débiles.
Explotación controlada
Validamos el riesgo real sin dañar los sistemas y medimos hasta dónde podría llegar un atacante.
Informe y remediación
Explicamos los fallos, su gravedad y cómo solucionarlos, y te ayudamos a priorizar las correcciones.
Qué recibe tu empresa
- Informe ejecutivo con el nivel de riesgo y las prioridades, pensado para dirección.
- Informe técnico con cada vulnerabilidad, evidencias, gravedad e instrucciones de corrección.
- Reunión de presentación de resultados con tu equipo técnico.
- Plan de remediación priorizado por riesgo y esfuerzo.
- Evidencias útiles para auditorías de NIS2, ENS e ISO 27001.
Pentesting y cumplimiento: NIS2, ENS e ISO 27001
NIS2, el ENS e ISO 27001 piden comprobar de forma periódica que los controles de seguridad funcionan. Un pentest recurrente es una de las formas más directas de demostrarlo, además de proteger tus datos, tu reputación y la continuidad del negocio frente al ransomware. Si estás en plena adecuación, lo coordinamos con nuestra consultoría NIS2, la implantación del ENS o la certificación ISO 27001.
¿Cuándo conviene hacer un pentest?
- Antes de lanzar una aplicación, una web o una API nueva.
- Tras una migración a cloud o un cambio importante de infraestructura.
- Al menos una vez al año, como revisión periódica de controles.
- Cuando un cliente, una aseguradora o una auditoría te lo pide.
- Después de un incidente, para comprobar que no quedan puertas abiertas.
Pentesting en Barcelona y en toda España
Somos un equipo de pentesting con sede en Barcelona (Carrer de Pau Claris, 167). Trabajamos de forma presencial con empresas de Barcelona y Cataluña cuando la prueba lo requiere, por ejemplo en redes internas, wifi o seguridad física, y en remoto con empresas de toda España para pruebas de aplicaciones web, APIs, cloud e IA.
Cómo contratar un pentest con nosotros: nos cuentas qué quieres probar, definimos juntos el alcance y el tipo de prueba (caja negra, gris o blanca), te enviamos una propuesta cerrada y, antes de empezar, firmamos la autorización y las reglas de la prueba. Al terminar recibes el informe y revisamos contigo el plan de corrección. Si no sabes por dónde empezar, una auditoría de ciberseguridad te ayuda a priorizar, y si usas chatbots o agentes, el pentesting de IA completa la prueba.
Por qué hacer tu pentest con BCNSoluciona
Técnica y cumplimiento juntos
Unimos seguridad ofensiva y cumplimiento normativo para que cada hallazgo se traduzca en una mejora y una evidencia.
Validación manual
Revisamos a mano cada hallazgo y descartamos los falsos positivos antes del informe, para que tu equipo no pierda tiempo.
Informes que se entienden
Dirección entiende el riesgo y tu equipo sabe exactamente qué corregir y en qué orden.
Equipo certificado
Profesionales con certificaciones de hacking ético y años de experiencia en seguridad ofensiva.
También IA
Hacemos pentesting de sistemas de IA y LLM además del pentest clásico.
Seguimiento
Si lo necesitas, un CISO as a Service se encarga de que las correcciones se completen.
Preguntas frecuentes sobre pentesting
Pentest, test de intrusión, hacking ético y Red Team.
¿Pentesting, test de intrusión y hacking ético son lo mismo?
En la práctica, sí. Pentesting (o pentest) y test de intrusión son el mismo servicio: atacar de forma controlada y autorizada tus sistemas para encontrar vulnerabilidades explotables. Hacking ético es el término general para este tipo de trabajo ofensivo con permiso.
¿Qué diferencia hay entre un pentest y un análisis de vulnerabilidades?
Un análisis de vulnerabilidades suele ser automático y lista posibles fallos. El pentest los valida de forma manual, comprueba si se pueden explotar, encadena debilidades y mide el impacto real para el negocio.
¿Qué diferencia hay entre un pentest y un Red Team?
Un pentest busca encontrar el mayor número de vulnerabilidades en un alcance y un tiempo definidos. Un Red Team simula un ataque real y persistente con un objetivo concreto para medir también la capacidad de detección y respuesta de tu equipo.
¿Es legal hacer un pentest?
Sí, siempre que exista una autorización expresa de la empresa titular de los sistemas. Antes de empezar firmamos el alcance, las reglas de ejecución, las ventanas de pruebas y los contactos de emergencia.
¿Puede afectar a los sistemas en producción?
Las pruebas se planifican para minimizar el impacto: se acuerdan horarios, se evitan acciones destructivas y se coordina con tu equipo cualquier prueba sensible. Si hace falta, se trabaja sobre un entorno de preproducción.
¿Cada cuánto conviene hacer un pentest?
Como mínimo una vez al año y después de cada cambio relevante: una nueva aplicación, una migración a cloud o una integración importante. NIS2, ENS e ISO 27001 piden revisar la eficacia de los controles de forma periódica.
¿Qué recibo al terminar?
Un informe ejecutivo para dirección y un informe técnico con cada vulnerabilidad, su gravedad, la evidencia y cómo corregirla, además de una reunión para explicar los resultados y priorizar la remediación.
¿Cuánto cuesta un pentest?
Depende del alcance: número de aplicaciones, IP o APIs, tipo de prueba (caja negra, gris o blanca) y profundidad. Tras una reunión de alcance te enviamos una propuesta cerrada.
Servicios relacionados
Lecturas recomendadas
¿Ponemos a prueba tu seguridad?
Cuéntanos qué quieres analizar y te enviamos una propuesta de pentest con alcance, tipo de prueba y plazos.
Contenido revisado por el equipo de consultoría de BCNSoluciona · octubre de 2026