Investigación de seguridad y análisis

Análisis en profundidad, divulgaciones y notas de campo de nuestros proyectos de seguridad ofensiva - escritos por el equipo que encuentra los fallos.

AI Security

Prompt Injection y el OWASP LLM Top 10: cómo asegurar las aplicaciones de IA

La prompt injection encabeza el OWASP LLM Top 10 por una razón. Así funcionan los ataques directos e indirectos, esto es lo que provocan en las aplicaciones agénticas y estas son las defensas en las que de verdad confiamos.

16 jun 202614 min de lectura

Leer artículo

Active Directory

El ataque Kerberoasting explicado: de un usuario de AD normal a Domain Admin

Un ataque Kerberoasting convierte una única cuenta de dominio con pocos privilegios en credenciales de cuenta de servicio descifradas, y a menudo en Domain Admin. Aquí tienes la cadena completa y las soluciones que de verdad funcionan.

6 may 202614 min de lectura

Cloud Security

De la SSRF a la toma total de una cuenta en la nube: atacando el servicio de metadatos

Un solo fallo SSRF en un recuperador de URL puede alcanzar el punto de acceso de metadatos de la nube, robar las credenciales de rol IAM y terminar en la toma total de la cuenta. Aquí tienes la cadena de ataque – y cómo romperla.

27 mar 202613 min de lectura

API Security

Broken Object-Level Authorization (BOLA / IDOR): el fallo de API que más encontramos

Una vulnerabilidad BOLA (también llamada IDOR) es el fallo que más reportamos en las pruebas de API. Así la cazamos intercambiando los ID de objetos entre dos cuentas, y así la cerramos con autorización del lado del servidor.

18 feb 202614 min de lectura

Guides

¿Cuánto cuesta un test de penetración en 2026? (Un desglose honesto)

Una respuesta directa sobre el coste de un test de penetración en 2026: los verdaderos factores detrás de la cifra, rangos honestos y las partidas que inflan un presupuesto sin que te des cuenta.

15 ene 202611 min de lectura

Application Security

Checklist de pentest de aplicaciones móviles: OWASP MASVS en la práctica

Una checklist de campo para el pentesting de aplicaciones móviles basada en OWASP MASVS: análisis estático y dinámico, almacenamiento inseguro, criptografía débil y bypass de certificate pinning, de testers que se dedican a esto.

20 nov 202512 min de lectura

Case Studies

SOC 2 en 90 días: cómo un SaaS sanitario superó su primera auditoría

Un SaaS sanitario tenía 90 días, un contrato enterprise firmado en juego y ningún control formal. Así llevamos su preparación para SOC 2 y así superó su primera auditoría.

14 oct 202512 min de lectura

Web Application Security

Cross-Site Scripting (XSS) en 2026: el fallo web que se niega a morir

El cross-site scripting lleva más de veinte años entre las principales vulnerabilidades web y sigue siendo uno de los fallos críticos más frecuentes que reportamos. Aquí explicamos cómo funcionan el XSS reflejado, almacenado y de DOM, cómo los probamos y las defensas que de verdad aguantan.

12 sept 202515 min de lectura

Methodology

Pruebas de penetración en la nube: nuestra metodología para AWS, Azure y GCP

Un recorrido práctico por la metodología de pruebas de penetración en la nube que aplicamos a AWS, Azure y GCP: cómo abusamos de IAM, cazamos configuraciones erróneas y almacenamiento expuesto, pivotamos de una SSRF al servicio de metadatos de instancia, escalamos privilegios y comprobamos si alguien estaba mirando.

28 ago 202513 min de lectura

Case Studies

Diario de un equipo Red Team: de un solo correo de phishing a administrador de dominio en seis días

Una evaluación de red team representativa, contada día a día: cómo un único correo de phishing convincente acabó en administrador de dominio en seis días, y los tres controles que nos habrían frenado en seco.

22 jul 202512 min de lectura

Social Engineering

Simulaciones de phishing bien hechas: cómo medir el riesgo humano

Un correo trampa que avergüenza a quienes hacen clic no enseña nada. Así es como ejecutamos una simulación de phishing que mide el riesgo humano y mueve las cifras que importan: tasa de notificación, tiempo de reacción y reincidentes en el clic.

27 jun 202512 min de lectura

Guides

Test de intrusión vs análisis de vulnerabilidades: cuál es la diferencia (y cuándo necesitas cada uno)

Un escáner te dice que un puerto está abierto y que una versión parece antigua. Un pentester te muestra cómo alguien encadena tres hallazgos “medios” hasta lograr la toma total de una cuenta. Esta es la diferencia real entre el test de intrusión y el análisis de vulnerabilidades, y cómo saber cuál necesitas de verdad.

20 may 202512 min de lectura

Compliance

SOC 2 y pruebas de penetración: lo que los auditores esperan de verdad

Un pentest no es una casilla que tu auditor marca y olvida. Esto es lo que las pruebas de penetración para SOC 2 tienen que demostrar de verdad, cómo se vinculan con los Common Criteria y los detalles del informe que piden los auditores.

15 abr 202511 min de lectura

Case Studies

Cómo una fintech en serie B corrigió 23 fallos críticos de API antes de su próxima ronda

Una fintech en serie B contrató una prueba de penetración de API seis semanas antes de su due diligence. Encontramos 23 problemas críticos, en su mayoría fallos de autorización que ningún escáner detectaría jamás. Así se desarrolló realmente el proyecto.

10 mar 202511 min de lectura

Penetration Testing

Lo que realmente encuentra una prueba de penetración de red externa

Las grandes victorias de las pruebas de penetración de red externa rara vez son zero-days exóticos. Son el servidor olvidado, la VPN sin parchear y el inicio de sesión que sigue diciendo admin/admin. Esto es lo que encontramos, y cómo.

19 feb 202512 min de lectura

Guides

Cómo elegir una empresa de test de intrusión (guía del comprador 2026)

La mayoría de los informes de pentest que nos piden revisar son escaneos automatizados en un PDF bonito. Así se elige una empresa de test de intrusión que de verdad prueba.

19 nov 202411 min de lectura

Methodology

La metodología de pentesting de aplicaciones web que aplicamos

La metodología exacta de pentesting de aplicaciones web que aplicamos en cada proyecto: desde mapear la aplicación hasta encadenar hallazgos menores en una brecha real y volver a probar la corrección.

5 ago 202411 min de lectura

Cyber SecuritySecurity Research

Hackeamos GitHub durante un mes: esto es lo que encontramos

Tras una larga pausa, volvemos con un nuevo write-up. Aunque normalmente no participamos en programas de bug bounty debido a otros compromisos, aceptamos el reto de hackear GitHub durante un mes y estamos encantados de compartir nuestros hallazgos. Todo empezó cuando Shivam Singh (Mr. Rajput Hacker) se puso en contacto … Read more

10 feb 202316 min de lectura

Security Research

Cómo podíamos hackear cualquier empresa con un simple mensaje – recompensa de 20.000 $ [CVE-2021-34506]

La historia de un XSS universal (uXSS) en el traductor de Microsoft Edge, que obtuvo una recompensa de 20.000 $ (CVE-2021-34506), y cómo permitía comprometer a los usuarios en Facebook, Google y YouTube.

25 jun 20218 min de lectura