Qué es un pentest real (y por qué un escáner automático no basta) — NyxqLab

Hay una frase que escuchamos con demasiada frecuencia en primeras reuniones con clientes: "ya nos hicieron un pentest el año pasado, nos dieron un informe de 40 páginas con 180 hallazgos". Cuando pedimos ver ese informe, en la mayoría de los casos nos encontramos con la salida cruda de un escáner automático (Nessus, OpenVAS, o similar) con el logo de la consultora pegado encima del PDF.

Eso no es un pentest. Es un escaneo de vulnerabilidades. Y la diferencia importa muchísimo más de lo que parece.

La diferencia entre escanear y explotar

Un escáner de vulnerabilidades compara las versiones de software que detecta contra bases de datos públicas de CVEs (Common Vulnerabilities and Exposures) y te dice: "esta versión de Apache tiene 14 vulnerabilidades conocidas". Eso es información útil, pero es solo el primer paso — y automatizable en minutos.

Lo que un escáner no hace es:

• Verificar si esa vulnerabilidad es realmente explotable en tu configuración concreta (muchas veces no lo es, por mitigaciones que el escáner no puede ver).
• Encadenar varias vulnerabilidades de severidad "media" para conseguir un impacto crítico (que es, de hecho, cómo ocurren la mayoría de las brechas reales).
• Encontrar fallos de lógica de negocio — por ejemplo, que puedas ver el pedido de otro cliente cambiando un número en la URL, algo que ningún escáner de firmas detecta porque no es una "vulnerabilidad conocida", es un error de diseño específico de tu aplicación.
• Priorizar según el impacto real sobre tu negocio, en lugar de según una puntuación CVSS genérica que no sabe qué datos maneja tu sistema.

Un pentest real hace todo esto. Un consultor —o un equipo— intenta activamente entrar, moverse lateralmente, y demostrar el impacto real de cada hallazgo con una prueba de concepto reproducible.

Cómo es un pentest de verdad, paso a paso

Fase 1 — Reconocimiento. Se mapea la superficie de ataque real: subdominios, servicios expuestos, tecnologías usadas, empleados y su huella pública si el alcance incluye ingeniería social. Esto no es "lanzar nmap", es entender cómo funciona el objetivo.

Fase 2 — Análisis de vulnerabilidades. Aquí sí entran las herramientas automáticas, pero como punto de partida, no como entregable final. Se cruza lo que dicen las herramientas con el conocimiento del pentester sobre la tecnología concreta.

Fase 3 — Explotación. El paso que marca la diferencia real. Se intenta explotar cada vulnerabilidad candidata de forma controlada, documentando exactamente los pasos, para que el hallazgo tenga una prueba de concepto reproducible — no "creemos que esto podría ser explotable", sino "esto es exactamente lo que hicimos y esto es lo que conseguimos".

Fase 4 — Post-explotación y movimiento lateral. Si se consigue acceso inicial, ¿qué se puede alcanzar desde ahí? Esta fase es la que revela el impacto real: un acceso "de bajo riesgo" a un servidor de logs puede ser la puerta a credenciales que dan acceso a la base de datos de clientes.

Fase 5 — Informe. No una lista de hallazgos ordenada alfabéticamente. Un informe que distingue con claridad lo crítico de lo cosmético, prioriza por impacto real sobre el negocio (no por puntuación automática), y da recomendaciones técnicas concretas, no genéricas ("mantenga el software actualizado" no es una recomendación útil sin más contexto).

Por qué esto importa para tu presupuesto de seguridad

Si tu único dato de partida es "tenemos 180 vulnerabilidades", es imposible priorizar de forma racional. ¿Cuáles de esas 180 son realmente explotables en tu contexto? ¿Cuáles, si se explotan, dan acceso a algo valioso? ¿Cuáles son ruido — vulnerabilidades técnicamente reales pero sin ningún camino práctico de explotación?

Un pentest real te da esa priorización. En la mayoría de nuestros informes, de decenas de hallazgos automáticos iniciales, el número de vulnerabilidades verdaderamente críticas — las que de verdad merecen presupuesto urgente — suele ser de un puñado, no de cientos. Eso no significa que el resto no importe nunca; significa que ahora sabes en qué orden atacarlo.

Marco legal: por qué la autorización no es un trámite

En España, el artículo 197 bis del Código Penal tipifica como delito el acceso no autorizado a sistemas informáticos, incluso sin intención de causar daño. Esto significa que, técnicamente, intentar explotar una vulnerabilidad en un sistema — aunque sea "para ayudar", aunque sea contra tu propia empresa si no tienes la autorización adecuada dentro de la organización — puede constituir un delito.

Por eso en NyxqLab trabajamos siempre bajo:

• Alcance definido por escrito: qué sistemas, qué técnicas están permitidas y cuáles no (por ejemplo, si se permite denegación de servicio o no), y qué ventana temporal.
• Autorización firmada por alguien con capacidad legal para otorgarla.
• Contacto de emergencia durante la prueba, por si algo sale de lo esperado (un sistema en producción se cae, por ejemplo, aunque el objetivo sea evitarlo).
• Reglas de compromiso claras: qué hacer si durante la prueba se encuentra evidencia de un compromiso previo real, no simulado — esto pasa más de lo que la gente cree, y requiere un protocolo distinto al del hallazgo normal.

Cómo saber si lo que te ofrecen es un pentest real

Algunas preguntas que puedes hacerle a cualquier proveedor antes de contratar, y que separan rápidamente lo serio de lo que no lo es:

• ¿El precio depende del número de IPs a escanear, o del tiempo de trabajo humano estimado? (Si es lo primero, sospecha: eso es precio de escaneo automático, no de pentest.)
• ¿Puedes ver un ejemplo de informe anterior (anonimizado) antes de contratar?
• ¿Te van a entregar pruebas de concepto reproducibles, o solo descripciones de "posibles" vulnerabilidades?
• ¿Quién firma el informe, y qué experiencia demostrable tiene esa persona o equipo?
• ¿Incluye una fase de re-test después de que corrijas los hallazgos, para verificar que la corrección realmente funcionó?

Un pentest real no es barato ni rápido, porque implica trabajo humano cualificado, no solo tiempo de máquina. Pero es la única forma de saber, con evidencia real y no con una lista genérica, dónde está tu exposición de verdad.