Cuando platicamos de seguridad con dueños de MiPyMEs, escuchamos mucho la misma respuesta: “tenemos antivirus, firewall y respaldos, estamos cubiertos”. Y es entendible. Son herramientas que se compran, se instalan y aparecen en la factura, así que se sienten como protección.
El problema es que ninguna de ellas responde la pregunta que más importa: si alguien quisiera entrar hoy a tu empresa, ¿por dónde lo haría? Esa pregunta solo se contesta de una forma: intentándolo, con permiso y con método. Eso es una prueba de penetración.
Qué es una prueba de penetración (y qué no es)
Una prueba de penetración, también llamada pentest, es un ataque controlado y autorizado contra los sistemas de tu empresa. Un equipo especializado usa las mismas técnicas que un atacante real para encontrar debilidades, comprobar hasta dónde se puede llegar con ellas y documentar cómo cerrarlas antes de que alguien más las aproveche.
Vale la pena distinguirla de otras cosas con las que se suele confundir:
- Antivirus: detecta software malicioso conocido en un equipo. No revisa si tu red está mal configurada ni si tienes accesos abiertos a internet.
- Escaneo de vulnerabilidades: una herramienta automática que genera una lista de fallas posibles. Es útil, pero incluye falsos positivos y no te dice cuáles son realmente explotables ni qué tan grave sería el daño.
- Prueba de penetración: personas con criterio técnico que toman esos hallazgos, los combinan y demuestran el impacto real en tu negocio.
Una forma sencilla de verlo: el escaneo es el detector de humo. La prueba de penetración es el simulacro de incendio.
Lo que solemos encontrar en una MiPyME
En OCD Tech México vemos patrones que se repiten sin importar el giro del negocio. Ninguno requiere un atacante sofisticado, y por eso mismo son los más aprovechados.
1. Contraseñas de fábrica o reutilizadas
El router, las cámaras de seguridad, el equipo de almacenamiento o el conmutador telefónico siguen con la contraseña que traían de fábrica. O la misma contraseña del correo se usa en el sistema contable y en el banco.
2. Accesos remotos expuestos a internet
El escritorio remoto que se habilitó para que alguien trabajara desde casa y nunca se cerró, o una VPN que no se ha actualizado en años. Son de las puertas más buscadas por los grupos de ransomware, porque dan acceso directo a la red interna.
3. Software sin actualizar
Un complemento viejo en el sitio web, un servidor sin parches de seguridad o un firewall con firmware de hace varios años. Cada versión desactualizada puede tener fallas públicas que cualquiera puede buscar.
4. Una sola red para todo
La red de invitados, las cámaras, las terminales y la computadora de nómina conviven en el mismo segmento. Si un atacante compromete el equipo más débil, tiene camino libre hacia los demás.
5. Permisos de más y cuentas olvidadas
Todos los usuarios son administradores de su computadora, o una persona que dejó la empresa hace meses sigue con su cuenta activa y su acceso al correo.
6. Información sensible a la vista
Carpetas compartidas con un archivo de contraseñas, respaldos sin cifrar o documentos de clientes en una nube con enlace público.
Lo importante no es cada hallazgo por separado, sino cómo se encadenan. Una contraseña reutilizada más una red sin segmentar pueden convertirse, en pocas horas, en acceso a la información de todos tus clientes. Eso es justo lo que una prueba de penetración demuestra y una herramienta automática no.
Tipos de prueba de penetración
- Externa: simula a un atacante desde internet contra todo lo que tienes expuesto, como sitio web, correo, VPN y accesos remotos.
- Interna: parte del supuesto de que alguien ya está dentro, por ejemplo un colaborador que abrió un correo malicioso o un dispositivo conectado a tu red. Mide qué tan lejos podría llegar.
- Aplicaciones web y móviles: revisa a fondo tu tienda en línea, portal de clientes o app, incluyendo cómo maneja usuarios, sesiones y datos.
- Ingeniería social: pone a prueba a las personas con campañas de phishing controladas o llamadas de pretexto.
También se define cuánta información recibe el equipo antes de empezar. En caja negra no recibe nada, como un atacante externo. En caja gris recibe algunas credenciales o documentación. En caja blanca tiene acceso completo para una revisión más profunda. Para la mayoría de las MiPyMEs, una prueba externa e interna en caja gris da el mejor balance entre costo y profundidad.
Cómo es el proceso, paso a paso
- Alcance y reglas: se acuerda qué se prueba, qué no, en qué horarios y a quién se avisa si aparece algo crítico. Todo queda por escrito y autorizado.
- Reconocimiento: se identifica todo lo que tu empresa tiene expuesto, que muchas veces es más de lo que el propio negocio tiene inventariado.
- Explotación controlada: se intenta aprovechar las debilidades sin afectar la operación, para comprobar el impacto real.
- Informe: un resumen ejecutivo en lenguaje de negocio y un detalle técnico para tu equipo o proveedor de TI, con cada hallazgo priorizado por riesgo y una recomendación concreta.
- Revalidación: una vez hechas las correcciones, se vuelve a probar para confirmar que la puerta quedó cerrada.
Una duda muy común es si la prueba puede tirar los sistemas. Una prueba bien planeada está diseñada para no interrumpir la operación: las acciones más delicadas se acuerdan antes y se ejecutan en horarios definidos con tu equipo.
Cuándo conviene hacer una
- Si nunca has hecho una. Es la forma más rápida de saber dónde estás parado.
- Al menos una vez al año, porque tu infraestructura cambia: entran colaboradores, se agregan sistemas, cambian proveedores.
- Después de un cambio importante, como una migración a la nube, un sitio o tienda en línea nuevos, o la apertura de una sucursal.
- Cuando un cliente, una aseguradora o un estándar te lo pide. Cada vez más contratos con empresas grandes la solicitan, y marcos como PCI DSS exigen pruebas periódicas.
Qué preguntarle a quien te la va a hacer
- ¿La prueba es manual o es solo un escaneo automático con otro nombre?
- ¿Quién la ejecuta y qué experiencia tiene?
- ¿El informe incluye un resumen que la dirección pueda entender?
- ¿Está incluida la revalidación de los hallazgos corregidos?
- ¿Cómo se protege la información que encuentren durante la prueba?
Del miedo a la certeza
Descubrir que tu empresa tiene puertas abiertas no es agradable. Pero es mucho mejor enterarte por un informe que por un mensaje de rescate en la pantalla de tu equipo.
En OCD Tech México hacemos pruebas de penetración pensadas para el tamaño y la realidad de cada negocio: con alcance claro, sin frenar tu operación y con un informe que te dice exactamente qué corregir primero.
Si quieres saber por dónde entraría un atacante a tu empresa antes de que él lo descubra, platiquemos.
Conoce nuestro servicio de pruebas de penetración: ocd-tech.com.mx/pruebas-de-penetracion/
Leave a Reply
Your email is safe with us.