Puntos clave
- El pentesting o prueba de penetración es un ataque simulado y autorizado que busca encontrar las fallas de tu empresa antes que un delincuente real las encuentre.
- Existen tres modalidades según cuánta información se le da al evaluador: caja negra, caja gris y caja blanca.
- Un ejercicio serio sigue fases ordenadas: alcance, reconocimiento, análisis, explotación y, lo más valioso, un informe con hallazgos priorizados.
- En 2025, el costo promedio global de una filtración de datos fue de 4.44 millones de dólares, según IBM. Prevenir siempre sale más barato que remediar.
- RealNet lo resume así: no existe el 100% seguro, pero el 95% de la seguridad está en la prevención, y ahí es donde entra el pentesting.
El pentesting, o prueba de penetración, es un ataque simulado y autorizado contra tus sistemas para encontrar las fallas antes de que lo haga un delincuente de verdad. Dicho simple: contratas a alguien para que intente entrar a tu casa, con tu permiso, y luego te diga por cuál ventana se metió y cómo cerrarla. En RealNet llevamos desde 1993 acompañando empresas, y desde 1997 metidos de lleno en ciberseguridad, así que esto lo decimos con conocimiento de campo: el 95% de la seguridad recae en la prevención, y una prueba de penetración es una de las mejores formas de prevenir.
Les platico algo que vemos seguido. Un empresario nos llama preocupado porque "escuchó" que lo pueden hackear, pero no sabe por dónde. Es como manejar un carro sin saber si los frenos sirven. ¿Esperas a quedarte sin frenos en la bajada, o los revisas antes? El pentesting es esa revisión, pero de tu seguridad informática.
¿Qué es una prueba de penetración, en palabras de un empresario?
Una prueba de penetración es un ejercicio controlado donde un especialista, con permiso firmado, usa las mismas técnicas que un atacante real para ver hasta dónde puede llegar dentro de tu empresa. La diferencia es la intención: no viene a robarte, viene a demostrarte dónde estás débil. Y vaya que importa. En 2025, el costo promedio global de una filtración de datos fue de 4.44 millones de dólares, de acuerdo con el reporte Cost of a Data Breach de IBM (IBM, 2025). Ese número, para una PYME, puede significar dejar de existir.
Aquí conviene aclarar un punto que confunde a muchos. El pentesting no es lo mismo que un análisis de vulnerabilidades. El análisis te entrega una lista de posibles huecos; el pentesting intenta meterse por ellos de verdad. Si quieres entender bien esa frontera, lo explicamos a fondo en pentesting vs análisis de vulnerabilidades. Ambos sirven, pero resuelven preguntas distintas.
Nuestra filosofía la repetimos como mantra porque es verdad: nadie te puede garantizar el 100% de la seguridad. Quien les diga que sí, que se los firme con sangre. Lo honesto es prevenir, y el pentesting es prevención en estado puro.
Tipos de pentesting: caja negra, gris y blanca
Hay tres modalidades, y la diferencia está en cuánta información le entregas al evaluador antes de empezar. Cada una responde a una pregunta distinta sobre tu seguridad. No es que una sea mejor que otra; es que sirven para cosas diferentes, igual que una radiografía y un análisis de sangre.
- Caja negra. El especialista no sabe casi nada de tus sistemas, igual que un atacante externo cualquiera. Mide qué tan expuesto estás desde afuera, desde internet. Es el escenario del desconocido que toca a tu puerta.
- Caja gris. Se le da información parcial, por ejemplo una cuenta de usuario normal. Simula a un empleado descontento o a alguien que ya robó una contraseña. Es, de lejos, el más realista para muchas empresas.
- Caja blanca. Se le entrega todo: diagramas, código, credenciales, accesos. Busca encontrar la mayor cantidad posible de fallas en el menor tiempo, porque no pierde horas en reconocimiento.
¿Cuál conviene a tu empresa? Depende de qué quieras responder. Si te preocupa el atacante externo, caja negra. Si lo que te quita el sueño es el abuso interno o una contraseña filtrada, caja gris. Y mucho antes de todo esto, revisa tus bases: una buena política de contraseñas le quita trabajo a cualquier atacante. En RealNet, con PentestGuru, ayudamos a elegir la modalidad según el riesgo real de cada negocio, no según lo que suena más impresionante en una cotización.
¿Cuáles son las fases de un ejercicio de pentesting?
Un pentesting serio no es "le picamos a ver qué sale". Sigue fases ordenadas, y esto importa porque hoy las vulnerabilidades de software ya son una de las puertas de entrada favoritas. El 31% de las filtraciones comienzan con la explotación de una vulnerabilidad de software, según el reporte DBIR 2026 de Verizon (Verizon, 2026). Encontrar esas puertas antes que el atacante es justo el trabajo. Las fases suelen ser:
1.- Alcance y reglas. Se define por escrito qué se puede tocar, qué no, en qué horario y hasta dónde llegar. Esto protege a tu operación y es innegociable.
2.- Reconocimiento. El especialista junta información pública y técnica sobre tu empresa, igual que haría un atacante paciente.
3.- Análisis y escaneo. Se identifican servicios, puertos y posibles fallas. Aquí se parece al análisis de vulnerabilidades, pero es solo el principio.
4.- Explotación. Se intenta aprovechar las fallas de verdad, con cuidado, para demostrar el impacto. Una cosa es "podría pasar" y otra "mira, aquí entré".
5.- Post-explotación y documentación. Se mide hasta dónde se llegó, qué información quedó expuesta y se registra todo con evidencia.
Si quieres un marco de referencia reconocido y neutral sobre estas etapas, el proyecto PTES (Penetration Testing Execution Standard) las describe con detalle (PTES, estándar de la industria). Es una buena lectura para entender que detrás hay método, no improvisación. Y cuando el objetivo es una aplicación específica, el enfoque cambia un poco, pero la estructura de fases se mantiene igual de ordenada.
¿Qué entrega un informe de resultados?
El informe es lo más valioso de todo el ejercicio, porque es lo que te deja hacer algo. Un buen reporte funciona como un plan de acción, no como un montón de términos técnicos. Debe decirte, en lenguaje que entienda hasta el dueño del negocio, qué encontró, qué tan grave es y cómo se arregla. El riesgo de no tenerlo es alto: el 48% de las filtraciones de datos involucran ransomware, de acuerdo con el DBIR 2026 de Verizon (Verizon, 2026), ese secuestro de información que puede dejar a una empresa en la era de la piedra de un día para otro.
Un informe completo debería incluir, al menos:
1.- Resumen ejecutivo. Para el director, sin tecnicismos: qué tan expuesto estás y qué deberías atender primero.
2.- Hallazgos priorizados. Cada falla clasificada por nivel de riesgo, de la más urgente a la menos.
3.- Evidencia. Pruebas de cómo se logró cada cosa, para que nadie diga "eso no es cierto".
4.- Impacto al negocio. Qué significaría cada falla en pesos y centavos para tu operación.
5.- Recomendaciones concretas. El paso a paso para cerrar cada hueco, no solo señalarlo.
Un detalle de experiencia: el informe sirve de poco si se guarda en un cajón. Lo que realmente mueve la aguja es lo que haces después, idealmente con un plan de respuesta a incidentes ya listo. Hemos visto empresas con el reporte perfecto que nunca corrigieron nada, y meses después pagaron el precio. Es como ir al médico, recibir el diagnóstico y no tomarte la medicina.
¿Cuándo debería mi empresa contratar un pentesting?
La respuesta corta: antes de que lo necesites de emergencia, no después. Hacer la prueba cuando ya te atacaron es como tapar el pozo después del niño ahogado. Nuestra sugerencia práctica, por experiencia, es contratarlo al menos una vez al año y, sobre todo, cuando ocurra alguno de estos cambios:
- Lanzaste una aplicación o un portal nuevo de cara a tus clientes.
- Migraste servicios a la nube o cambiaste de proveedor.
- Tuviste una fusión, compra o un crecimiento fuerte de personal.
- Una norma, auditoría o cliente grande te lo exige por contrato.
- Manejas datos sensibles: salud, financieros, personales de terceros.
Para los sectores que atendemos, manufactura, salud, educación, logística, SOFOM, SOFIPO, hoteleria y farmacéutica, la pregunta ya no es "si" sino "cuándo". A los empresarios nos cuesta mucho construir una empresa; perderla por una falla que se pudo prever duele doble. Esa es la lógica de nuestro 95%: prevenir cuesta una fracción de lo que cuesta remediar.
¿Y tú? ¿Cuándo fue la última vez que alguien intentó entrar a tus sistemas con tu permiso, para avisarte dónde estás débil? Si la respuesta es "nunca", ese es justo el punto de partida. En RealNet, con PentestGuru y el resto de nuestros servicios de seguridad, podemos ayudarte a dar ese primer paso sin dramas y con reglas claras. Escríbenos a través de realnet.com.mx y platiquemos de tu caso. Porque una relación de seguridad solo funciona cuando los dos tenemos la misma intención: crecer juntos y dormir tranquilos.
Preguntas frecuentes
¿Cuál es la diferencia entre pentesting y análisis de vulnerabilidades?
El análisis de vulnerabilidades lista las posibles fallas con herramientas automáticas. El pentesting va más allá: un especialista intenta explotarlas de verdad para demostrar hasta dónde llegaría un atacante. Son complementarios, no lo mismo.
¿Cada cuánto debería hacer una prueba de penetración mi empresa?
Nuestra sugerencia es al menos una vez al año, y además cada vez que haya un cambio importante: una aplicación nueva, una migración a la nube o una fusión. Muchas normas y auditorías ya lo piden como requisito.
¿El pentesting puede tirar mis sistemas o dañar mi información?
Un ejercicio profesional se hace con reglas claras y por escrito sobre qué se puede tocar y qué no. Por eso el alcance se firma antes de empezar. El riesgo real está en no saber que esas fallas ya existían.
¿Qué recibo al final de una prueba de penetración?
Un informe con los hallazgos clasificados por riesgo, la evidencia de cómo se lograron, el posible impacto para tu negocio y, sobre todo, recomendaciones concretas para corregir cada punto.
