¿Cuánto perderías si mañana te hackean?Hallazgos verificados. Cero ruido de escáner.
Encontramos por dónde te pueden atacar, lo cerramos y te lo demostramos. Lo hacen los Lops: personas, no un robot que tira alertas.
Pentest multidominio y vigilancia continua (CTEM) bajo autorización firmada y alcance fijado por hash. Cada hallazgo lo verifica y firma un Lop, con PoC, fix y re-test.
Solo miramos lo público. Para ir más allá, primero firmas una autorización.
Ejemplo: “cualquiera puede mandar correos como tu CEO”Ejemplo: DMARC p=none · 1 CNAME colgado
Olfateamos. Cavamos. Cerramos.
1
Encontramos
Te decimos qué puede salir mal y cuánto dinero te costaría.
Batería automatizada, pasada creativa de un Lop y revisión adversarial de falsos positivos.
2
Arreglamos
Lo cierra un Lop o tu equipo. Tú decides.
Fix por hallazgo con PoC reproducible. Lop Fix por hora o a precio fijo.
3
Te lo probamos
Evidencia para tu aseguradora, tu auditor o ese cliente grande que te la pide.
Re-test sobre el mismo alcance fijado por hash (sha256), con registro firmado.
¿Qué te preocupa?
Empieza por lo que te puede pasar. Cada caso explica el riesgo, lo que cuesta y cómo lo cerramos.
Basado en un hallazgo real de uno de nuestros análisis, anonimizado. Una revisión por lista lo da por seguro; nosotros lo encontramos.
Severidad: Alta · CWE-639
Se podían descargar las facturas de otros clientes, aunque a primera vista el sistema parecía seguro
IDOR en la exportación a PDF: la autorización estaba en la vista, no en la descarga
Qué puede pasar
La pantalla de facturas sí bloqueaba a quien no era el dueño. Pero el enlace de descarga en PDF, que maneja otra parte del sistema, entregaba el archivo de cualquier cliente a quien tuviera el enlace.
Cuánto cuesta
Una filtración de datos cuesta en promedio US$4,99 millones, un récord según IBM. Y la ley obliga a avisar: en la Unión Europea hay 72 horas para notificar al regulador.Fuentes: IBM Cost of a Data Breach 2026 (promedio global); GDPR, artículo 33.
Qué hacer
Comprobar quién pide el archivo en cada parte del sistema, no solo en la pantalla principal. Un Lop lo cerró y lo volvió a probar.
Evidencia
GET /app/invoices/9f3c-e21 403 # vista: valida al dueño
GET /files/invoices/9f3c-e21.pdf 200 OK # descarga: no valida
→ ██████ · ████@████ · items: [...]
Impacto
Los IDs son UUID (no enumerables) y la vista valida al dueño, así que el test directo da 403. Pero el UUID se filtraba en una reseña pública, y /files/…pdf, servido por otro controlador, no revalida la propiedad (CWE-639). Lectura de datos personales de cualquier cliente.
Fix
Autorización a nivel de objeto en todos los controladores que tocan el recurso, incluida la exportación. El UUID no alcanza como control de acceso.
Olfatea lo que nadie ve, se mete donde otros no entran y conoce cada salida de la madriguera. Así trabajan los Lops, nuestro equipo: diez especialistas en seguridad con certificaciones que puedes verificar (OSCP, OSWE, CISSP, entre otras). Las herramientas dan la señal. El veredicto lo da un Lop, y su firma va al pie de cada informe.
Cuánto pierdo es nuestra calculadora de pérdidas por ciberataque. Estima lo que te costaría cada escenario, del ransomware al fraude de facturas, y cada número dice de dónde sale.