PROBAR · PENTESTING Y PRUEBAS TÉCNICAS

Pentesting y pruebas técnicas, con una ruta clara para corregir

Pentesting (y Red Team si ya tienes monitoreo), revisión de Microsoft 365 o Google Workspace y búsqueda de credenciales expuestas, con autorización escrita y especialistas que conoces antes de firmar.

Conversemos sobre tu prueba Ver todos los servicios

Qué es

Un ataque controlado, con permiso y con método

Una prueba técnica mira tu empresa como la miraría un atacante, pero con tu autorización, con reglas acordadas y con un informe al final. Sirve para saber por dónde podría entrar alguien, qué alcanzaría y qué conviene corregir primero.

Tiene tres especialidades, que puedes contratar por separado o juntas: pentesting y Red Team, revisión de Microsoft 365 o Google Workspace y credenciales expuestas e inteligencia de amenazas de tu sector.

Es para ti si…

«Necesito saber qué ve alguien desde internet»
Tienes sitios, accesos remotos o aplicaciones publicadas y nadie los ha probado desde fuera.
«Mi cliente o mi aseguradora me pide un pentest»
Te exigen un informe de pruebas reciente para un contrato, una póliza o una auditoría.
«Hace tiempo que pido reforzar esto y necesito evidencia»
Tu equipo de TI ve el riesgo y le falta una prueba independiente para que la gerencia lo apruebe.
«Usamos Microsoft 365 o Google Workspace y nunca lo revisamos»
Se configuró al empezar y desde entonces se han sumado usuarios, aplicaciones y archivos compartidos.

Pentesting y Red Team

Encontrar la puerta abierta y cerrarla con un plan

Pruebas de penetración y, si ya tienes monitoreo, ejercicios de Red Team, con una ruta de remediación para cada hallazgo.

Un pentest (prueba de penetración) es un ataque controlado contra los sistemas que tú eliges, para encontrar fallas que se puedan aprovechar y mostrar hasta dónde llegaría alguien. Un Red Team va un paso más allá: simula a un adversario con un objetivo de negocio, durante más tiempo, y pone a prueba también si tu empresa lo detecta y cómo responde.

Externo: Lo que está expuesto a internet: sitios, accesos remotos (VPN), correo y servicios publicados.
Interno: Qué alcanzaría alguien que ya está dentro de la red, por ejemplo con un equipo comprometido.
Aplicaciones y API: Aplicaciones web y móviles y sus interfaces de programación (API), con usuario y sin usuario.
Ingeniería social: Correos de engaño simulados, acordados con la gerencia y con TI. Sirven para formar, no para sancionar: los resultados se entregan agregados, sin nombres ni rankings.
Red Team: Para empresas que ya tienen monitoreo (SOC o MDR) y quieren medir si detecta y responde. Es un escenario con objetivo de negocio, acordado con un grupo acotado que incluye a quien dirige TI o seguridad. Si aún no tienes monitoreo, conviene partir por un pentest.
Nueva prueba: La verificación de que lo corregido quedó corregido, cuando se incluye en el alcance.

La ruta de remediación. Cada hallazgo llega con su evidencia, su severidad y una recomendación concreta: qué corregir primero, quién lo hace, cuánto esfuerzo implica y cómo verificar que quedó resuelto. Lo urgente va separado de lo importante.

Microsoft 365 o Google Workspace

Tu correo y tu nube de oficina, configurados para protegerte

Ahí están tus cuentas, tus archivos compartidos y tus conversaciones con clientes, proveedores y bancos.

Revisamos la configuración de seguridad de tu Microsoft 365 o de tu Google Workspace frente a referencias reconocidas, como los CIS Benchmarks de cada plataforma (guías de configuración segura que publica el Center for Internet Security). Te entregamos los cambios ordenados por prioridad, con el efecto que tendrá cada uno en tus usuarios.

Cuentas: Quién tiene segundo factor (un código o una aprobación en el celular, además de la clave), qué cuentas no se usan y cuáles se comparten.
Administradores: Cuántas cuentas tienen control total, de quién son y con qué protección.
Correo: Reglas que reenvían correos hacia fuera, filtros y protección contra la suplantación de tu dominio (SPF, DKIM y DMARC).
Archivos: Enlaces abiertos a cualquiera y archivos compartidos con personas fuera de tu empresa.
Aplicaciones: Aplicaciones de terceros con permiso para leer tu correo o tus archivos.
Registros: Si la plataforma guarda el rastro de lo que pasa, por cuánto tiempo y quién lo revisa.

Trabajamos con permisos de sólo lectura siempre que la plataforma lo permita. Los crea tu equipo y se retiran al terminar. Los cambios los aplica tu equipo o tu proveedor, a su ritmo.

Credenciales expuestas e inteligencia sectorial

Ver venir lo que todavía no llegó

Qué se sabe de tu empresa fuera de tu empresa, y qué amenazas afectan a tu sector.

Muchos accesos indebidos no empiezan con una falla técnica, sino con una clave filtrada que todavía funciona. Buscamos credenciales de tus dominios en filtraciones ya conocidas y en fuentes abiertas, y dominios parecidos al tuyo que podrían usarse para suplantarte ante tus clientes o tus proveedores.

Credenciales: Cuentas de tus dominios que aparecen en filtraciones, con su origen y qué hacer con cada una.
Suplantación: Dominios y perfiles parecidos a los tuyos que podrían usarse para engañar a tus clientes o a tus proveedores.
Sector: Qué amenazas documentadas en fuentes públicas afectan a tu sector y qué significan para tu empresa.
Alertas: Avisos con su fuente, la acción recomendada y la decisión que se necesita, con un resumen para la gerencia sin sensacionalismo.

Lo encontrado se entrega sólo a quien tú designes, por un canal acordado. Las credenciales halladas no se usan para entrar a tus sistemas fuera de una prueba autorizada. No compramos datos filtrados ni tratamos con quienes los venden. Te informamos la cuenta, la fuente y la fecha; si aparece una contraseña, va enmascarada, y lo encontrado se elimina en el plazo que fijan las reglas de trabajo.

Qué recibes

Detalle para corregir, claridad para decidir

Reglas de trabajo: El documento que fija qué se prueba, cómo, cuándo y quién lo autoriza. Se firma antes de empezar.
Informe ejecutivo: Qué encontramos, qué riesgo implica para el negocio y qué hay que decidir, en pocas páginas.
Informe técnico: Cada hallazgo con su evidencia, cómo reproducirlo, su severidad y la recomendación.
Ruta de remediación: Prioridades con responsable sugerido, esfuerzo y forma de verificar.
Presentación: Primero a tu equipo de TI; después, si lo quieres, a la gerencia o al directorio.
Nueva prueba: La verificación de lo corregido, cuando forma parte del alcance.

Una hoja del informe técnico

Hallazgo: El acceso remoto (VPN) acepta usuario y contraseña, sin segundo factor.
Severidad: Alta
Para el negocio: Con una clave filtrada, alguien podría entrar a la red como si fuera un trabajador.
Evidencia: Ingreso con la cuenta de prueba entregada por tu equipo, con fecha y hora.
Recomendación: Exigir segundo factor en el acceso remoto, partiendo por administradores y finanzas.
Lo hace: Tu equipo de TI, con tu proveedor de red. Esfuerzo: medio.
Verificación: Nueva prueba del acceso remoto después del cambio.
Referencias: MITRE ATT&CK T1133 · ISO/IEC 27001:2022 A.8.5

Ejemplo ilustrativo, no corresponde a un cliente real.

Antes de tocar nada

Primero la autorización, después la prueba

En Chile, acceder a un sistema informático sin autorización, o excediendo la que se tiene, superando sus medidas de seguridad, es delito (art. 2 de la Ley N° 21.459). Por eso ninguna prueba empieza sin una autorización escrita de quien puede darla y sin reglas de trabajo firmadas.

Qué se prueba: Sistemas, direcciones, aplicaciones y cuentas incluidas, y lo que queda fuera.
Quién autoriza: La persona con facultades en tu empresa. Si el sistema está en manos de un tercero (nube, hosting o software como servicio), también se revisan las condiciones de ese tercero.
Cuándo: Ventanas de prueba acordadas con tu equipo, también fuera del horario laboral si conviene.
Qué no se hace: Técnicas excluidas, como las que pueden interrumpir un servicio, salvo acuerdo expreso.
Cómo se detiene: Contactos de ambos lados y un criterio claro para parar si algo se ve afectado.
Hallazgo grave: Si aparece algo crítico, avisamos de inmediato a tu contraparte, sin esperar el informe.
Evidencia: Quién la ve, dónde se guarda y cuándo se elimina.

Quién hace las pruebas. Las ejecutan especialistas que te presentamos con nombre y perfil en la propuesta, antes de firmar. Pueden ser de Aexis o especialistas asociados; en ambos casos firman con Aexis la misma confidencialidad, trabajan con las reglas de trabajo firmadas y Aexis responde por su trabajo ante tu empresa. Conversas con ellos de técnico a técnico. Si necesitas un acuerdo de confidencialidad antes de compartir información, lo firmamos primero.

Con tu equipo de TI

Una prueba técnica no es un examen a tu equipo

Trabajamos con tu equipo de TI, no sobre él. Lo que llega a la gerencia lo conoce antes, y escribimos los hallazgos como decisiones y recursos pendientes, con su causa y su evidencia: buscamos causas, no culpables. Y si ya venías pidiendo reforzar algo, la prueba te da la evidencia para conseguirlo.

Hay una sola excepción, la misma de cualquier asesor: si un hallazgo pudiera involucrar una falta grave, un delito o un deber legal de reporte, lo informamos directamente a quien nos contrató.

Lo que sigue siendo tuyo

La operación diaria y tus usuarios.
Las decisiones técnicas y el orden en que corriges.
Aplicar los cambios, con tu equipo o con tu proveedor.
Decidir qué se prueba y cuándo.

Lo que hacemos nosotros

Preparar contigo el alcance y las reglas de trabajo.
Ejecutar las pruebas con especialistas presentados antes de firmar.
Explicar cada hallazgo de técnico a técnico.
Volver a probar lo corregido, si se incluye.

Para tu equipo técnico

Metodologías de referencia: OWASP WSTG v4.2 (aplicaciones web) · NIST SP 800-115 (pruebas y evaluación técnica de seguridad) · MITRE ATT&CK® Enterprise v20 (técnicas de adversario).
Microsoft 365 y Google Workspace: CIS Microsoft 365 Foundations Benchmark · CIS Google Workspace Foundations Benchmark, como referencia, no como lista para cumplir a ciegas.
Severidad: criterio declarado en cada informe; CVSS v4.0 (FIRST) para vulnerabilidades técnicas cuando corresponde.
NIST CSF 2.0: ID.RA-01 vulnerabilidades identificadas, validadas y registradas · ID.RA-02 inteligencia de amenazas · ID.IM-02 mejoras a partir de pruebas y ejercicios.
ISO/IEC 27001:2022, Anexo A: A.5.7 inteligencia de amenazas · A.8.8 gestión de vulnerabilidades técnicas · A.8.29 pruebas de seguridad en desarrollo y aceptación · A.8.34 protección de los sistemas durante las pruebas de auditoría.
Ley N° 21.459, art. 2: el inciso final que agregó la Ley N° 21.663 (art. 55) exime de sanción penal sólo a quien esté inscrito en el registro que lleve la ANCI, le informe antes el acceso y cumpla las demás condiciones; fuera de los organismos del Estado, exige además el consentimiento del responsable del sistema. Nuestras pruebas no se apoyan en esa excepción: se hacen con autorización escrita.
Técnicas ATT&CK relacionadas con estas pruebas: T1133 External Remote Services · T1078 Valid Accounts · T1566 Phishing · T1190 Exploit Public-Facing Application.

Cómo empieza

De la conversación a la prueba, sin sorpresas

ConversarNos cuentas qué quieres poner a prueba y por qué. La primera conversación no tiene costo y te respondemos en 2 días hábiles.
AcordarTe proponemos alcance, especialistas con nombre, reglas de trabajo, duración y valor, antes de contratar.
ProbarCon la autorización firmada, probamos en las ventanas acordadas y avisamos de inmediato si aparece algo grave.
VerificarInforme, ruta de remediación, presentación a tu equipo y nueva prueba de lo corregido, si se incluye.

Conversemos sobre tu prueba Ver cómo trabajamos con TI

Qué no incluye

Lo que una prueba no hace, dicho antes

No es monitoreo permanente ni un SOC (centro de operaciones de seguridad): muestra el estado de lo probado en un momento.
No demuestra que no existan otras fallas: las conclusiones valen para lo revisado, con las técnicas acordadas y en la fecha de la prueba.
No aplicamos las correcciones en tus sistemas: las hace tu equipo o tu proveedor. Si necesitas apoyo para implementarlas, se acuerda aparte.
No probamos sistemas de terceros sin la autorización que corresponda.
No vendemos herramientas ni licencias: recomendamos sin comisión de fabricante.
No es un servicio de emergencia: el alcance fuera de horario y ante incidentes se acuerda en el contrato.

¿Está pasando algo ahora?

Este no es un canal de emergencia. Desde un equipo que no esté comprometido, cambia las claves, cierra todas las sesiones abiertas y activa el segundo factor en el correo; revisa si hay reglas que reenvían correos hacia fuera; avisa de inmediato a tu banco si hubo pagos; no borres correos ni registros, y llama a tu técnico o proveedor de TI. Puedes reportar el incidente al CSIRT Nacional en csirt.gob.cl o llamando al 1510. Si tu empresa presta servicios esenciales o es operador de importancia vital, la Ley N° 21.663 te exige enviar una alerta temprana al CSIRT Nacional dentro de tres horas desde que conoces un incidente que pueda tener efectos significativos (art. 9). Si hubo un delito, como un fraude o una extorsión, puedes denunciarlo ante la PDI, Carabineros o la Fiscalía.

Preguntas frecuentes

Lo que conviene saber antes de una prueba

¿Cuánto cuesta?

Depende de lo que se prueba: cuántos sistemas, con qué profundidad y si incluye una nueva prueba. El valor y la duración los conoces antes de contratar, y la primera conversación no tiene costo.

¿Se puede caer algo durante la prueba?

Las pruebas se diseñan para no interrumpir tu operación: se acuerdan ventanas, técnicas excluidas y un contacto para detener todo si algo se ve afectado. Ninguna prueba sobre sistemas reales tiene riesgo cero; por eso se planifica con tu equipo.

¿Mi equipo de TI tiene que saberlo?

Sí. Trabajamos con ellos desde el inicio. En un ejercicio de Red Team, que mide si se detecta un ataque, lo sabe un grupo acotado que incluye a quien dirige TI o seguridad, y eso queda por escrito.

Tengo una pyme. ¿Por dónde empiezo?

Si tu empresa trabaja en Microsoft 365 o Google Workspace, la revisión de esa plataforma suele ser el mejor primer paso: ahí están tu correo, tus cuentas y tus archivos. Si no sabes qué necesitas, parte por el Diagnóstico inicial para pymes: te dice si una prueba técnica vale la pena ahora o si conviene resolver antes otras cosas.

¿Qué pasa con lo que ven en mis sistemas?

Se trata como confidencial. Las reglas de trabajo fijan quién ve la evidencia, dónde se guarda y cuándo se elimina, y si lo pides firmamos antes un acuerdo de confidencialidad. Si accedemos a datos personales, lo hacemos como encargado de tu empresa y, si usamos herramientas de inteligencia artificial, te lo declaramos en la propuesta: así trabajamos con tus datos.

¿Me sirve para ISO 27001 o para responderle a un cliente?

Sí, como evidencia: un informe de pruebas con su ruta de remediación ayuda a demostrar la gestión de vulnerabilidades técnicas (control A.8.8 de ISO/IEC 27001:2022) y a responder cuestionarios de clientes. No es una certificación.

Sigue por aquí

Lo que suele venir después

Conversemos

Cuéntanos qué quieres poner a prueba. Te proponemos cómo hacerlo

La primera conversación no tiene costo. Escríbenos a contacto@aexis.cl y te respondemos en 2 días hábiles.

Conversemos sobre tu prueba

Fuentes

Actualizado al 19.10.2026 · Información general; no reemplaza asesoría legal.