Lanzamos contra tus sistemas modelos de IA creados para pruebas de seguridad, dentro del alcance que firmas. Nuestros testers dirigen cada ejecución y verifican cada hallazgo antes de que llegue a tu informe.
Los atacantes ahora usan modelos de IA a los que se les han quitado los límites de seguridad. Estos modelos encuentran debilidades más rápido y siguen toda la noche. HackMoat lanza primero el mismo tipo de modelo contra tu empresa, con una autorización por escrito, dentro de los objetivos y la ventana de pruebas que tú fijas. Testers con experiencia deciden qué puede intentar la IA, siguen cada paso en directo y confirman cada hallazgo a mano. Recibes un informe que tu auditor acepta, para que corrijas los problemas antes de que otro los encuentre.
Mira el vídeo de 57 segundos (en inglés, con subtítulos)
¿Por qué con IA?
Pentest clásico
Atacante con IA
HackMoat
Velocidad
Pentest clásicoDías de trabajo manual por objetivo
Atacante con IAHoras, día y noche
HackMoatHoras, día y noche
Cobertura
Pentest clásicoLo que cabe en los días presupuestados
Atacante con IATodo lo que puede alcanzar
HackMoatTodo lo que está dentro de tu alcance firmado
Control
Pentest clásicoTesters
Atacante con IANadie
HackMoatTu alcance, tu ventana, nuestros testers
Resultado
Pentest clásicoUn informe
Atacante con IAUna brecha
HackMoatUn informe verificado y una nueva prueba
Los atacantes ya usan estos modelos contra empresas como la tuya. Cada semana sin prueba es una semana en la que ellos miran primero.
Elige la profundidad
Cada paquete es un alcance definido a un precio cerrado. Los paquetes mayores incluyen todo lo de los menores.
01
Scout
Un ataque impulsado por IA contra tu perímetro externo, verificado por un tester. Tu superficie de ataque pública, probada desde fuera.
Ataques impulsados por IA contra tu perímetro y tus aplicaciones web, con un tester dirigiendo cada ejecución. Desde fuera y desde dentro: aplicación web, red interna y entorno de trabajo.
La campaña completa impulsada por IA: externa, interna y nube, dirigida y verificada por nuestros testers. Personas, nube y recuperación, a prueba durante un año entero.
Una llamada de 45 minutos con uno de nuestros testers. Repasamos tu superficie de ataque, te recomendamos el paquete adecuado y respondemos a tus preguntas sobre cómo trabajamos.
Los 500 € se descuentan íntegramente si reservas un paquete en los 30 días siguientes.
Elige un paquete y paga en línea con Stripe. El precio es cerrado y se publica de antemano. No hay presupuesto que esperar.
2
Firma la autorización
Firmas en línea la autorización de pruebas. Es el permiso legal para probar: fija el alcance, los sistemas y la ventana de pruebas.
3
Probamos
Solo probamos lo que has autorizado y solo dentro de la ventana acordada. Si encontramos algo crítico, te avisamos el mismo día.
4
Lee el informe y repetimos
Consultas el informe completo en tu portal privado de cliente. Cuando hayas corregido los hallazgos, volvemos a probarlos.
Así es un hallazgo
Cada hallazgo explica qué hicimos, qué supone para tu negocio y cómo corregirlo. Este es un ejemplo, sin datos del cliente.
Ejemplo. Anonimizado, no es un cliente realHM-0417-01
CríticoCVSS 9.8
Administrador de dominio en 3 h 12 min a través de una pasarela VPN sin parchear
// Ruta de ataque
1vpn.client.example:443
2CVE-2024-3400
3ad01.corp.local
Qué encontramos
La pasarela VPN expuesta a internet usaba una versión de firmware con una vulnerabilidad conocida públicamente. Desde allí accedimos a la red interna y tomamos el control del controlador de dominio.
Impacto en el negocio
Un atacante con el mismo acceso podría leer, cifrar o borrar los datos de todos los sistemas Windows de la empresa.
Corrección
Aplicar el parche del fabricante, renovar todas las credenciales almacenadas en la pasarela y restringir el acceso de gestión a la red de administración. Volvemos a probar cuando nos lo confirmes.
Un informe para actuar
01
Resumen ejecutivo
Dos páginas en lenguaje claro para la dirección: qué probamos, los riesgos principales y qué hacer primero.
02
Hallazgos puntuados
Cada hallazgo lleva una puntuación CVSS, la escala de gravedad habitual en el sector, y una prioridad basada en el contexto de tu negocio.
03
Evidencias
Capturas de pantalla, peticiones y marcas de tiempo de cada hallazgo, para que tu equipo pueda reproducirlo y verificarlo.
04
Pasos de corrección
Correcciones concretas por hallazgo, escritas para quienes van a aplicarlas.
05
Alcance y método
Qué entraba exactamente en el alcance, cuándo probamos y qué métodos usamos. Los auditores lo piden.
06
Resultados de la reprueba
Tras la reprueba, el informe muestra qué hallazgos están cerrados y cuáles siguen abiertos.
NIS2 e ISO 27001
NIS2 es la directiva de la UE que obliga a las entidades esenciales e importantes a gestionar los riesgos de ciberseguridad y a evaluar si sus medidas son eficaces. ISO 27001 es la norma internacional para los sistemas de gestión de la seguridad de la información y exige pruebas técnicas periódicas.
Una prueba de penetración no te hace cumplir la normativa por sí sola. Sí te da evidencia independiente de que tus controles se probaron, de qué hallazgos se detectaron y de cuándo se cerraron.
NIS2
Evidencia para evaluar la eficacia de tus medidas de gestión de riesgos (artículo 21).
ISO 27001
Información para la gestión de vulnerabilidades técnicas y para las pruebas de seguridad durante el desarrollo (anexo A, 8.8 y 8.29).
Fortress
Incluye un resumen para el consejo que vincula cada hallazgo con los requisitos de NIS2 e ISO 27001 aplicables.
Preguntas frecuentes
¿Es legal?
Sí, porque tú lo autorizas. Antes de empezar firmas una autorización de pruebas que identifica los sistemas, el alcance y la ventana de pruebas. No probamos nada fuera de ella. Si un sistema está alojado por un tercero, confirmas que tienes permiso para que se pruebe.
¿Las pruebas pueden romper algo?
Probamos los sistemas en producción con cuidado. Evitamos técnicas de denegación de servicio y acciones destructivas, y acordamos contigo una ventana de pruebas que te convenga. Si algo parece inestable, paramos y te llamamos.
¿Es seguro dejar que una IA ataque nuestros sistemas?
La IA solo toca los objetivos de tu autorización firmada, solo dentro de tu ventana de pruebas, y se detiene al obtener la evidencia: no modifica, borra ni extrae datos. Un tester sigue cada ejecución en directo y puede detenerla al instante, y tu contacto de emergencia puede detener la prueba en cualquier momento.
¿Quién hace las pruebas?
Pentesters con experiencia que siguen métodos públicos como OWASP y PTES. Los nombres de quienes trabajan en tu encargo figuran en tu autorización de pruebas, y están sujetos a confidencialidad.
¿Cuánto tarda?
Las pruebas suelen empezar en las dos semanas siguientes a la firma de la autorización. El informe de Scout se entrega en un plazo de 10 días hábiles desde el inicio de las pruebas. Siege y Fortress llevan más tiempo porque el alcance es mayor. Acordamos las fechas contigo antes de empezar.
¿Qué necesitáis de nosotros?
Una autorización firmada, una persona de contacto localizable durante las pruebas y los datos de los sistemas incluidos en el alcance. Para Siege y Fortress te enviamos un pequeño dispositivo remoto que conectas a tu red interna.
¿Nuestros datos acaban en un modelo de IA?
Los hallazgos y las evidencias se quedan en tu portal de cliente privado y se eliminan según lo descrito en nuestra declaración de privacidad.
Descúbrelo antes que ellos
Contrata un paquete en línea o escríbenos si no tienes claro qué alcance encaja.