¿Qué es el pentesting y para qué sirve?
El pentesting (o prueba de penetración) es un ataque controlado y autorizado contra los sistemas, aplicaciones o redes de una empresa, con el objetivo de encontrar vulnerabilidades reales antes de que lo haga un atacante de verdad. A diferencia de un escaneo automático, un pentest lo ejecuta una persona —un hacker ético— que intenta explotar las fallas que encuentra, tal como lo haría un atacante, para medir el impacto real de cada vulnerabilidad, no solo su existencia.
Para cualquier empresa que maneja datos de clientes, pagos o infraestructura crítica, entender qué es el pentesting y cómo se planea uno es el primer paso para saber si su seguridad resiste un ataque real o solo se ve bien en el papel.
Pentesting vs. escaneo de vulnerabilidades vs. auditoría de seguridad
Estos tres términos se confunden seguido, pero no son lo mismo:
- Escaneo de vulnerabilidades: una herramienta automática compara tus sistemas contra una base de datos de fallas conocidas y genera un listado. Es rápido, barato y útil, pero no confirma si esas fallas se pueden explotar de verdad ni qué tan grave sería el daño.
- Auditoría de seguridad: revisa si tu empresa cumple con políticas, controles y estándares (contraseñas, permisos, respaldos, documentación). Es un ejercicio de cumplimiento, no de ataque.
- Pentesting: combina herramientas automáticas con trabajo manual de un especialista que intenta entrar de verdad, encadenar fallas menores para lograr algo grave (como acceso a una base de datos) y documentar el camino exacto que siguió.
El pentesting es el único de los tres que responde a la pregunta que de verdad importa: si alguien con las mismas herramientas que un atacante lo intentara hoy, ¿lo lograría?
Black box, grey box y white box: los tres tipos de pentesting
La forma más común de clasificar un pentest es por cuánta información recibe el hacker ético antes de empezar:
- Black box (caja negra): el pentester no recibe ningún dato interno, ni diagramas, ni credenciales, ni código fuente. Empieza exactamente como lo haría un atacante externo real, solo con lo que es públicamente visible. Simula un ataque desde fuera, sin ayuda de nadie dentro de la empresa.
- White box (caja blanca): el pentester recibe acceso completo: código fuente, arquitectura, credenciales, documentación técnica. Es la prueba más profunda y detallada, útil para revisar a fondo una aplicación antes de lanzarla o para una auditoría de código enfocada en seguridad.
- Grey box (caja gris): un punto intermedio. El pentester recibe información parcial, como una cuenta de usuario normal o un mapa general de la red, similar a lo que tendría un empleado con acceso limitado o un atacante que ya logró entrar un poco. Es el enfoque más usado en la práctica porque equilibra realismo con profundidad, sin gastar semanas reconstruyendo información que la empresa ya tiene documentada.
Ninguno de los tres tipos es "el mejor" en general: la elección depende de qué escenario de riesgo te preocupa más, uno externo, uno interno o una revisión técnica exhaustiva.
Tipos de pentesting según el objetivo
Además de black, grey y white box, un pentest también se clasifica por lo que se está probando:
- Pentesting de red (interno y externo): revisa servidores, firewalls, routers y la segmentación entre áreas de la red.
- Pentesting de aplicaciones web: busca fallas como inyección SQL, control de acceso roto o manejo incorrecto de sesiones en sitios y portales.
- Pentesting de aplicaciones móviles: revisa cómo la app almacena datos localmente, cómo se comunica con el servidor y si expone información sensible en el dispositivo.
- Pentesting de redes inalámbricas: evalúa si la red wifi de la empresa puede comprometerse desde el estacionamiento o la calle.
- Ingeniería social: mide qué tan fácil es que un empleado entregue una contraseña por teléfono o dé clic en un correo de phishing simulado; es un complemento habitual de un pentest técnico, no un sustituto.
Una empresa con e-commerce, por ejemplo, suele priorizar el pentesting web y de red; una empresa con app propia agrega el componente móvil al alcance.
Cómo se define el alcance de un pentest
Antes de que empiece cualquier prueba, el proveedor y la empresa deben acordar por escrito el alcance (scope): qué sistemas, dominios, rangos de IP o aplicaciones están dentro de la prueba, cuáles quedan explícitamente fuera, en qué ventana de tiempo se ejecuta y qué técnicas están permitidas o prohibidas (por ejemplo, si se autorizan ataques de denegación de servicio o solo pruebas que no afecten la disponibilidad del sistema en producción).
Este documento de alcance también define las reglas de contacto: a quién se avisa si el pentester encuentra algo crítico a mitad de la prueba, y qué pasa si accidentalmente toca datos reales de clientes. Sin un alcance claro y firmado, un pentest deja de ser una prueba de seguridad autorizada y se vuelve, legalmente, un acceso no autorizado a un sistema.
Qué entregables recibe tu empresa al final de un pentest
Un pentest serio no termina con un correo diciendo "todo bien" o "encontramos varias cosas". Los entregables típicos son:
- Reporte técnico detallado, con cada vulnerabilidad encontrada, cómo se explotó paso a paso y evidencia (capturas, registros).
- Clasificación de severidad de cada hallazgo (crítico, alto, medio, bajo), normalmente basada en el impacto real que tendría si un atacante lo explotara.
- Recomendaciones de remediación específicas para cada falla, no solo genéricas como "actualiza tu software".
- Resumen ejecutivo en lenguaje no técnico, pensado para que dirección o el equipo de negocio entienda el riesgo sin necesitar conocimientos de ciberseguridad.
- Retest o prueba de verificación, una segunda revisión (después de que el equipo interno corrige lo encontrado) para confirmar que las fallas ya no existen.
Si un proveedor solo entrega un listado de vulnerabilidades sin evidencia de explotación ni plan de remediación priorizado, en realidad te vendió un escaneo automático disfrazado de pentest.
Con qué frecuencia se debe hacer un pentest
No hay una regla única para todas las industrias, pero la práctica más aceptada es hacerlo al menos una vez al año, y además cada vez que hay un cambio significativo: una nueva aplicación, una migración de infraestructura, un cambio grande en la arquitectura de red o la integración con un proveedor externo. Un pentest hecho hace dos años no dice nada sobre las vulnerabilidades que introdujo el sistema que lanzaste el mes pasado.
Algunos estándares lo hacen obligatorio: PCI DSS 4.0, el estándar que rige a cualquier negocio que procesa pagos con tarjeta, exige pruebas de penetración externas e internas al menos cada 12 meses y después de cualquier cambio significativo en la infraestructura, además de una prueba de segmentación de red. Fuera de ese tipo de obligación regulatoria, el criterio práctico es simple: entre más sensibles sean los datos que manejas y más rápido cambie tu infraestructura, más seguido necesitas repetir la prueba.
Preguntas frecuentes
¿Qué es el pentesting y en qué se diferencia del hacking ético?
El hacking ético es la disciplina general: usar técnicas de ataque con autorización y fines defensivos. El pentesting es una de sus aplicaciones concretas, enfocada en probar un sistema específico dentro de un alcance y un tiempo definidos.
¿Cuánto dura un pentest típico?
Depende del alcance: una aplicación web puede tomar entre una y dos semanas, mientras que una red completa con varios sistemas puede extenderse varias semanas más. El proveedor debe definir la duración exacta al fijar el alcance, no como una estimación genérica.
¿Un pentest puede afectar mis sistemas en producción?
Puede pasar, especialmente en pruebas agresivas contra sistemas en vivo. Por eso el documento de alcance especifica horarios, técnicas permitidas y un protocolo de contacto inmediato si algo crítico ocurre durante la prueba.
¿Necesito un pentest si ya tengo un firewall y antivirus?
Sí. Un firewall y un antivirus son controles preventivos, pero no confirman si esos controles realmente detienen a un atacante decidido. El pentesting es la única forma de comprobar, con un ataque real, si tus defensas funcionan como crees que funcionan.
¿Qué pasa después de recibir el reporte del pentest?
El equipo interno prioriza y corrige los hallazgos según su severidad, y lo recomendable es contratar un retest para confirmar que las correcciones cerraron realmente las vulnerabilidades, no solo que "ya no aparecen" en un escaneo superficial.
Si tu empresa quiere saber con certeza qué tan expuesta está frente a un ataque real, en AISDC diseñamos pentesting y estrategias de seguridad empresarial a la medida de tu infraestructura, con alcance, entregables y retest definidos desde el inicio, y los conectamos con detección de amenazas continua para que la seguridad no dependa solo de una prueba anual. Si además quieres entender el panorama completo antes de contratar un pentest, revisa nuestra guía sobre qué es la ciberseguridad, o los riesgos específicos de phishing y de ingeniería social que un pentest bien planeado también debe cubrir.