Perímetro
Digital, físico, personal.
Pentests y compliance para la empresa, barridos electrónicos y dispositivos blindados para personas a las que vale la pena atacar.
Cuatro áreas, una sola responsabilidad
En lugar de tres proveedores que se pasan el problema unos a otros.
Pentest y auditoría
Un ataque controlado a sus sistemas según OWASP y PTES, con un informe que entienden tanto el desarrollador como el director.
- Web y API
- Aplicaciones móviles
- Infraestructura y nube
- Ingeniería social
- Auditoría de código
Compliance y consultoría
Preparación para la certificación y políticas que funcionan, no que se quedan en una carpeta.
- ISO 27001
- SOC 2
- RGPD, NIS2, DORA
- vCISO
- Formación del personal
Detección de micrófonos
Inspección instrumental de locales, vehículos y equipos en busca de dispositivos de escucha y cámaras ocultas.
- Oficina y sala de reuniones
- Vehículo
- Vivienda
- Equipos y regalos
Protección de dispositivos
Teléfono y portátil configurados para su modelo de amenazas, y comunicaciones que ningún tercero lee.
- GrapheneOS
- Configuración del teléfono
- Portátil
- Mensajería y correo
- Llaves de hardware
Un perímetro, cuatro áreas
Cada línea del esquema es, con los proveedores habituales, un equipo distinto. Con nosotros es una sola responsabilidad.
- Pentest y auditoría
- Compliance y consultoría
- Detección de micrófonos
- Protección de dispositivos
Metodologías con las que trabajamos
Nada de «métodos propios», solo estándares abiertos que conocen su auditor y su desarrollador.
- OWASP WSTG
- OWASP API Top 10
- OWASP MASVS
- PTES
- NIST SP 800-115
- ISO 27001
- SOC 2
- NIS2
- DORA
- RGPD
Cómo trabajamos
01Conversación
Aclaramos qué protegemos exactamente y de quién. Sin cuestionarios de cuarenta preguntas.
02Alcance y contrato
Fijamos los límites de la prueba, los plazos y el formato del informe. Firmamos un NDA.
03Trabajo
Probamos y documentamos cada hallazgo con evidencia y nivel de riesgo.
04Informe y correcciones
Explicamos qué corregir primero. Volvemos a verificar tras las correcciones.
Para quién somos
Seis situaciones típicas con las que la gente acude a nosotros. Si reconoce la suya, el siguiente paso es una breve conversación.
Directivos y propietarios
Negociaciones que no deben filtrarse y un teléfono que nadie debe leer.
Lo que suele hacer falta: Revisión de despacho y coche, teléfono endurecido, comunicaciones
Abogados
Secreto profesional en el despacho, en el coche y en dispositivos que pueden ser incautados.
Lo que suele hacer falta: Revisión de locales, cifrado, dispositivos que pueden ser incautados
Periodistas
Protección de fuentes: comunicaciones, dispositivos, inspección de salas antes de entrevistas sensibles.
Lo que suele hacer falta: Comunicaciones seguras, dispositivos, revisión antes de entrevistas sensibles
Fintech y bancos
Pentest antes del lanzamiento, DORA y NIS2, informe para el regulador y los socios.
Lo que suele hacer falta: Pentest, DORA y NIS2, plan de respuesta a incidentes, vCISO
E-commerce y marketplaces
Protección del flujo de pagos, de los datos personales de los clientes y de las API de socios.
Lo que suele hacer falta: Pentest de web y API, flujo de pagos, políticas
SaaS y equipos de producto
Pentest de la aplicación y la API, SOC 2 para clientes de EE. UU., ciclo de desarrollo seguro.
Lo que suele hacer falta: Pentest de la aplicación, SOC 2, desarrollo seguro
Escáner o pentest
El escáner es útil, pero no es una evaluación de seguridad. Esta es la diferencia.
| Escáner de vulnerabilidades | Pentest | |
|---|---|---|
| Qué encuentra | Vulnerabilidades conocidas de una base | Escenarios reales de intrusión, incluida la lógica |
| Falsos positivos | Cientos, para que usted los revise | Cada hallazgo verificado a mano |
| Cadenas de ataque | No las ve | Encadena hallazgos menores en uno crítico |
| Informe | Una lista técnica | Para el director, el desarrollador y el auditor |
| Nueva verificación | El mismo escaneo | Confirmación de que está corregido |
Cómo trabajamos
Sin vender miedo
No vendemos miedo. Decimos qué riesgo es real y dónde puede ahorrar.
NDA antes de la primera palabra
Firmamos un acuerdo de confidencialidad antes de cualquier detalle. Su plantilla o la nuestra.
Un informe que se lee
Una página para la dirección, pasos para el desarrollador, evidencias para el auditor.
Nueva verificación incluida
Tras las correcciones volvemos a probar y confirmamos que está cerrado.
Confidencialidad como protocolo, no como promesa
Así tratamos su material desde el primer correo hasta la destrucción de los artefactos.
Cifrado desde el inicio
El material se guarda en un soporte cifrado y solo accede quien ejecuta el trabajo. El informe se entrega cifrado y la contraseña va por otro canal.
Permiso antes del primer escaneo
Ninguna prueba sin el consentimiento escrito del propietario del sistema. Alcance, ventanas de prueba y palabra de parada se acuerdan de antemano.
Lo crítico se comunica de inmediato
Un hallazgo peligroso se entrega el mismo día en que se detecta, sin esperar al informe final.
Destrucción programada
Al terminar el proyecto destruimos los artefactos y emitimos un certificado. Caso público solo con consentimiento escrito aparte.
- Sin base de datos
- El sitio es estático. No hay nada que vulnerar: sin panel, sin sesiones, sin contraseñas.
- Las solicitudes no se guardan
- El formulario envía el mensaje directamente a nuestro Telegram y no deja copia en el servidor.
- Cabeceras de seguridad
- CSP, HSTS, prohibición de incrustar en otros sitios. Compruébelo en securityheaders.com.
- Sin rastreadores
- Sin cookies, píxeles ni analítica de terceros.
Compruébelo usted mismo
Dos comprobaciones gratuitas que muestran lo que cualquiera puede ver de usted en un minuto. Sin registro, los resultados no se guardan.
Compruebe la protección de su web
Lo que su sitio entrega a cada visitante: redirección a HTTPS, cabeceras de seguridad, scripts y rastreadores de terceros, versiones de software expuestas.
Hacemos dos peticiones normales a la portada, como un navegador. No escaneamos ni guardamos nada.
Compruebe la protección de su correo
Sin SPF y DMARC cualquiera puede enviar correo en nombre de su dominio. La comprobación solo lee registros DNS públicos y no guarda nada.
Solo leemos los registros DNS públicos del dominio. No guardamos ni escaneamos nada.
Guía
Artículos breves sobre lo que hacemos y por qué. Cinco minutos de lectura que ahorran una hora de conversación.
Qué es un pentest y en qué se diferencia de un escáner de vulnerabilidades
El escáner encuentra agujeros conocidos según una lista. El pentester piensa como un atacante y encadena detalles en una intrusión real.
4 min de lectura
Cómo se hace un barrido de micrófonos ocultos
Qué hacemos en un despacho, un coche o una vivienda, qué instrumentos usamos y por qué lleva horas.
5 min de lectura
GrapheneOS: qué es y quién lo necesita de verdad
Un sistema operativo para Pixel sin servicios de Google por defecto. No es para todos, pero para algunos es la única opción.
4 min de lecturaPreguntas frecuentes
¿Cuánto cuesta un pentest?
Depende del alcance: número de aplicaciones, tamaño de la red, modo de acceso. Una app web pequeña y una infraestructura grande difieren varias veces. Tras una breve conversación damos un precio fijo y un plazo; no publicamos precios en la web porque sin alcance inducen a error.
¿Nos romperán algo durante el pentest?
Trabajamos dentro de límites y reglas acordados: sin DoS, sin destrucción de datos, acciones destructivas solo en entorno de pruebas y con permiso aparte. Avisamos con antelación de los pasos arriesgados.
¿Cuánto dura el trabajo?
Pentest de una aplicación: una o dos semanas con el informe. Infraestructura: de dos a cuatro semanas. Barrido de micrófonos: de unas horas a un día. Preparación para ISO 27001: de tres a nueve meses según el punto de partida.
¿Firman un NDA?
Sí, antes de empezar cualquier trabajo. Podemos firmar su plantilla o aportar la nuestra.
¿Puedo contactar de forma anónima?
Sí. El formulario tiene un modo confidencial: sin nombre ni teléfono, solo un alias de Signal o Session. Para un barrido de micrófonos acordamos una reunión sin testigos.
¿Es legal probar nuestros sistemas?
Sí, con el permiso escrito del propietario del sistema. Alcance, ventanas y palabra de parada se fijan en las reglas de intervención antes de empezar. Sin eso no empezamos.
¿Ayudan a corregir lo encontrado?
Sí. Explicamos cada hallazgo a los desarrolladores, acompañamos la corrección y después volvemos a probar con confirmación.
Escríbanos
El mensaje va directamente a nuestro Telegram. Nada queda en el servidor.
Telegram
