FRANXEN

Hacking ético para empresas

Encontramos las vulnerabilidades de su empresa antes que un atacante

Escaneos de vulnerabilidades, verificación de aplicaciones antes de salir a producción, pruebas de intrusión y simulaciones de ataque. Cada hallazgo se entrega con su nivel de riesgo y las instrucciones para corregirlo.

Solicitar una evaluación Ver servicios

Metodologías alineadas con

  • OWASP
  • PTES
  • NIST SP 800-115
  • CVSS 3.1

franxen@lab: ~/evaluacion

Servicios

Trabajamos en cada etapa: antes de lanzar un sistema, mientras está en operación y cuando hace falta medir hasta dónde llegaría un ataque real. Todos los servicios empiezan con un alcance firmado y terminan con un informe para el equipo técnico y otro para la dirección.

Prevención

Escaneo de vulnerabilidades

Análisis periódico de aplicaciones, servidores y servicios expuestos a internet. Un especialista revisa cada resultado para descartar falsos positivos antes de entregarlo.

Verificación antes de producción

Revisamos su aplicación web antes de publicarla: configuración del servidor, cabeceras de seguridad, autenticación, sesiones y vulnerabilidades conocidas. Al finalizar, entregamos un informe que documenta el estado de seguridad con el que sale a producción.

Pruebas de intrusión

Aplicaciones web y APIs

Pruebas manuales sobre inyecciones, autenticación, control de acceso entre usuarios y lógica de negocio, siguiendo la guía de OWASP.

Infraestructura y redes

Desde internet o desde la red interna: servidores, Active Directory, Wi-Fi y segmentación. Medimos hasta dónde puede avanzar alguien que logra entrar.

Aplicaciones móviles

Apps Android e iOS y las APIs que consumen: almacenamiento local, comunicaciones, autenticación y resistencia a la ingeniería inversa.

Nube

Permisos, recursos expuestos, credenciales y configuración de AWS, Azure o Google Cloud, comparados con los CIS Benchmarks.

Simulación de ataques

Red team

Una campaña de varias semanas con un objetivo concreto, por ejemplo llegar a la base de clientes. Evalúa también la capacidad de su equipo para detectar y responder.

Ingeniería social y phishing

Correos, llamadas y mensajes similares a los que recibe su personal. Los resultados se usan para planificar la capacitación de cada área.

Aviso inmediato

Los hallazgos críticos se informan el mismo día en que se detectan.

Retest incluido

Verificamos cada corrección sin costo adicional.

Dos informes

Uno ejecutivo para la dirección y otro técnico para el equipo.

Confidencialidad

Acuerdo de confidencialidad firmado antes de comenzar.

Metodología

Cada evaluación sigue los mismos pasos, con autorización por escrito y un referente de su empresa durante todo el trabajo.

  1. Alcance

    Definimos qué sistemas se evalúan, cuáles quedan fuera, los horarios permitidos y los contactos de emergencia. Se firma antes de empezar.

  2. Reconocimiento

    Relevamos la información pública de la organización: dominios, tecnologías, servicios expuestos y filtraciones previas.

  3. Análisis

    Identificamos vulnerabilidades y comprobamos su impacto de forma controlada. Los hallazgos críticos se comunican el mismo día.

  4. Informe

    Resumen ejecutivo y detalle técnico con evidencia, pasos para reproducir cada falla y recomendaciones de corrección.

  5. Retest

    Una vez aplicadas las correcciones, volvemos a probar sin costo adicional y actualizamos el informe.

Ejemplo de hallazgo en un informe

Severidad alta · CVSS 8.1

Acceso a facturas de otros clientes modificando el número en la URL

Descripción
El portal devuelve la factura /facturas/10482 a cualquier usuario autenticado sin comprobar que le pertenezca.
Impacto
Cualquier cliente puede descargar los datos personales y los importes facturados al resto.
Corrección
Verificar en el servidor que la factura solicitada corresponde al usuario de la sesión.

Sectores

Adaptamos las pruebas a cada industria y a los requisitos de auditores y reguladores. Los informes sirven como evidencia en procesos de certificación.

  • Banca y fintechHome banking, billeteras, APIs de pago
  • SaludHistorias clínicas, portales de pacientes
  • Software y SaaSPlataformas multicliente, integraciones
  • Comercio electrónicoCheckout, cuentas de clientes, fraude
  • Industria y energíaRedes corporativas, accesos remotos
  • Sector públicoTrámites en línea, datos de ciudadanos

Normas y estándares

  • ISO/IEC 27001
  • PCI DSS
  • SOC 2
  • OWASP ASVS
  • Ley 18.331 de Protección de Datos Personales

Nosotros

Franxen nació de una idea simple: la forma más efectiva de proteger un sistema es entender cómo se ataca. Somos especialistas en seguridad ofensiva con experiencia en hacking ético, desarrollo de software y respuesta a incidentes, con sede en Montevideo y clientes en Uruguay y la región.

Trabajamos para que las empresas puedan lanzar productos, crecer y adoptar nuevas tecnologías sabiendo qué riesgos tienen y cómo resolverlos.

Toda prueba se realiza con autorización expresa y bajo acuerdo de confidencialidad. Ordenamos los hallazgos según el impacto que tendrían en el negocio y los explicamos de manera que tanto el equipo técnico como la dirección puedan tomar decisiones.

¿Vas a lanzar una aplicación?

Verifique su seguridad antes de salir a producción y lance con un informe que lo respalde.

Coordinar una verificación

Preguntas frecuentes

¿El hacking ético es legal?

Sí, siempre que exista autorización. Antes de empezar firmamos un contrato que define qué sistemas, qué técnicas y en qué fechas se realizarán las pruebas. Sin esa autorización no se realiza ninguna prueba.

¿Las pruebas pueden afectar mis sistemas?

No realizamos pruebas que puedan interrumpir la operación salvo que se soliciten expresamente. Las más sensibles se realizan en horarios acordados y con una persona de su equipo disponible.

¿Qué diferencia hay entre un escaneo de vulnerabilidades y un pentest?

Se complementan. El escaneo cubre muchos sistemas de forma periódica y detecta fallas conocidas; nuestro equipo valida cada resultado. El pentest es más profundo: combina fallas, prueba la lógica de la aplicación y demuestra qué impacto tendría un ataque. Le recomendamos el más adecuado según la etapa y los objetivos de cada proyecto.

¿Cuánto dura un servicio y cuánto cuesta?

Depende del alcance. Un escaneo o una verificación antes de producción se resuelven en pocos días, y el pentest de una aplicación web mediana suele llevar entre una y dos semanas. Después de una primera reunión enviamos una propuesta con precio cerrado.

¿Trabajan con pequeñas y medianas empresas?

Sí. Las pymes son un blanco frecuente de ataques y pocas veces se evalúan. Ajustamos el alcance a cada presupuesto.

Solicite una evaluación

Complete el formulario con los detalles de su proyecto. Un especialista de nuestro equipo se pondrá en contacto con usted en un plazo máximo de 24 horas hábiles.