Lo que encontramos. Lo que hicieron después nuestros clientes.

Los problemas de seguridad se entienden mejor cuando son concretos. Estos casos describen problemas detectados en proyectos reales con clientes y las medidas que se tomaron después.

No revelamos la identidad de los clientes ni datos que permitan reconocerlos, para proteger la confidencialidad. Cuando un resultado concreto no puede respaldarse con el material de origen, no lo afirmamos.

SeguriScan

01/ 09 Todos los casos ↑

Servidores olvidados con contraseñas de fábrica

Empresa de software B2B · Descubrimiento de la superficie de ataque

Resultado

Se identificaron sistemas accesibles desde internet que habían pasado desapercibidos, y el equipo de TI obtuvo una lista clara de riesgos y de infraestructura innecesaria que resolver.

El reto

A medida que la empresa de software crecía, su infraestructura en internet aumentaba más rápido que su inventario. Un nuevo responsable de TI necesitaba saber a qué sistemas podía llegar alguien de fuera, incluidos los servicios que habían quedado de proyectos anteriores.

Qué hicimos

SeguriScan identificó los activos de la empresa accesibles desde internet y los revisó en busca de debilidades de seguridad. Los analistas revisaron los hallazgos relevantes y los organizaron en prioridades concretas.

Qué encontramos

Entre los sistemas expuestos había servidores, aplicaciones y bases de datos antiguos que ya no se usaban. Algunos entornos de pruebas aún contenían datos reales. Otros hallazgos incluían interfaces de administración con credenciales por defecto, debilidades en la autenticación y sistemas operativos que ya no recibían actualizaciones de seguridad.

Qué cambió

El equipo de TI ganó visibilidad sobre sistemas que faltaban en sus registros y obtuvo un plan priorizado para atender las exposiciones más graves. Los sistemas innecesarios se apagaron, lo que redujo los costes de infraestructura. La empresa también empezó a usar sus hallazgos de seguridad y el trabajo de corrección como respaldo en las conversaciones con clientes potenciales.

Vea lo que su empresa expone en internet

Revisar mi empresaSin instalación · Sin acceso a su red interna · Usted autoriza las pruebas activas por separadoTodos los casos ↑

02/ 09 Todos los casos ↑

Una contraseña de trabajo expuesta a través de un servicio externo

Empresa minorista · Vigilancia de credenciales expuestas

Resultado

Un acceso corporativo apareció en la filtración de datos de un tercero y reveló un riesgo que las políticas de contraseñas por sí solas no podían evitar.

El reto

La empresa minorista exigía contraseñas robustas. Pero un empleado había usado un correo y una contraseña de trabajo para registrarse en un servicio externo. Cuando ese servicio sufrió una brecha, las credenciales aparecieron en los datos filtrados.

Qué hicimos

SeguriScan identificó el correo corporativo y la contraseña asociada en una filtración conocida y comunicó la exposición al cliente. El hallazgo señalaba una posible vía para que un atacante intentara un acceso no autorizado si las credenciales se reutilizaban en otros sistemas.

Qué encontramos

La exposición no se originó en la infraestructura de la propia empresa. Provenía de un servicio fuera de su control. El incidente mostró por qué unas normas internas de contraseñas estrictas no eliminan los riesgos que crean las brechas de terceros.

Qué cambió

La empresa usó el hallazgo para reforzar sus pautas sobre el uso de cuentas corporativas en servicios externos y la concienciación de los empleados. La respuesta se centró en las prácticas y los procedimientos de uso de las cuentas, no en comprar más equipos.

Encuentre credenciales de su empresa expuestas

Revisar mi empresaSin instalación · Sin acceso a su red interna · Usted autoriza las pruebas activas por separadoTodos los casos ↑

03/ 09 Todos los casos ↑

Un router que respondía a las preguntas de cualquiera

Empresa de servicios financieros · Revisión externa de la configuración

Resultado

Un piloto detectó un servicio de gestión accesible desde el exterior en un router VPN, a pesar de los controles de seguridad que ya tenía la empresa.

El reto

La empresa ya usaba herramientas de seguridad modernas. Quería saber si una mirada independiente a su infraestructura accesible desde internet podía revelar algo que esos controles hubieran pasado por alto.

Qué hicimos

Durante un piloto de SeguriScan, el equipo examinó los servicios de red expuestos e identificó un router VPN que respondía a solicitudes por SNMP, un protocolo de gestión de red. Su configuración permitía obtener información sin las restricciones de acceso esperadas.

Qué encontramos

El servicio expuesto revelaba información sobre el router y los usuarios de la VPN, incluidos nombres de usuario y datos del equipo. Este tipo de información puede ayudar a un atacante a entender el entorno de su objetivo y a preparar ataques más dirigidos.

Qué cambió

La empresa restringió el acceso al servicio de gestión y revisó el resto de su equipamiento de red en busca de configuraciones similares. El piloto mostró cómo una evaluación externa puede complementar las defensas existentes al identificar exposiciones que habían pasado desapercibidas.

Descubra lo que sus herramientas actuales pueden pasar por alto

Revisar mi empresaSin instalación · Sin acceso a su red interna · Usted autoriza las pruebas activas por separadoTodos los casos ↑

04/ 09 Todos los casos ↑

Un negocio que crece, un objetivo en movimiento

Empresa con varias sedes · Descubrimiento y priorización de activos

Resultado

Una organización en crecimiento obtuvo una visión unificada de sus sistemas accesibles desde internet, incluidos activos que no figuraban en su inventario.

El reto

A medida que el negocio crecía, aparecían nuevos dominios, sitios web y servicios en distintas áreas de la empresa. Mantener un inventario fiable se volvió difícil, y el equipo de TI no tenía una visión externa y constante de lo que necesitaba atención.

Qué hicimos

SeguriScan descubrió los activos accesibles desde internet a partir de información observable desde el exterior y revisó su nivel de seguridad. Los analistas revisaron los hallazgos relevantes y ayudaron a ordenar los resultados por prioridad.

Qué encontramos

La evaluación identificó sistemas que faltaban en los registros de la empresa y problemas de configuración que requerían seguimiento. Cada hallazgo dio al equipo una base más clara para decidir qué investigar y qué resolver.

Qué cambió

La organización obtuvo un inventario más útil de sus activos expuestos. Sus equipos técnicos pudieron usar los hallazgos como lista de tareas y centrarse primero en los problemas con mayor impacto potencial.

Descubra activos que quizá no tenga registrados

Revisar mi empresaSin instalación · Sin acceso a su red interna · Usted autoriza las pruebas activas por separadoTodos los casos ↑

05/ 09 Todos los casos ↑

La seguridad no termina con la revisión anual

Distribuidor mayorista · Vigilancia externa periódica

Resultado

Las evaluaciones periódicas dieron al equipo de TI una forma de seguir los nuevos problemas entre una revisión de seguridad y la siguiente.

El reto

Una evaluación puntual describe la infraestructura en un momento concreto. El software cambia, se publican nuevas vulnerabilidades y los servicios accesibles desde internet evolucionan. El distribuidor necesitaba una forma de detectar los cambios relevantes sin esperar a su siguiente revisión anual.

Qué hicimos

SeguriScan revisó los sistemas de la empresa accesibles desde internet de forma programada. El trabajo incluyó identificar servicios expuestos, software desactualizado y otros riesgos observables desde el exterior. Los hallazgos relevantes se revisaron y se presentaron con indicaciones para corregirlos.

Qué encontramos

Las evaluaciones identificaron vulnerabilidades conocidas en software accesible desde internet, junto con otros problemas que requerían atención. Los informes vinculaban cada hallazgo con los sistemas afectados y recomendaban los siguientes pasos.

Qué cambió

El equipo de TI recibió informes estructurados que podía incorporar a su proceso de corrección. En lugar de depender solo de evaluaciones periódicas, la organización contó con una fuente regular de información sobre los cambios en su seguridad externa.

Siga los cambios en lo que su empresa expone

Revisar mi empresaSin instalación · Sin acceso a su red interna · Usted autoriza las pruebas activas por separadoTodos los casos ↑

Servicios de expertos

06/ 09 Todos los casos ↑

Respuestas de seguridad que ayudaron a avanzar en las ventas a grandes empresas

Startup de software · Evaluación y asesoría de seguridad

Resultado

Una pequeña empresa de software recibió un plan priorizado de mejoras de seguridad y material que podía usar en sus conversaciones con clientes corporativos.

El reto

Los grandes clientes potenciales pedían a la startup que demostrara cómo protegía sus sistemas y los datos de sus clientes. Con un equipo pequeño y sin un especialista dedicado a la seguridad, la empresa necesitaba identificar sus carencias y responder de forma creíble a las preguntas de seguridad.

Qué hicimos

El proyecto evaluó las prácticas de seguridad y el entorno técnico de la empresa. Los hallazgos se tradujeron en mejoras inmediatas y acciones a más largo plazo, con atención a los requisitos planteados por los clientes potenciales.

Qué encontramos

La evaluación identificó áreas en las que los controles y procesos de seguridad debían reforzarse. El resumen del proyecto disponible no respalda una lista pública más detallada de hallazgos técnicos.

Qué cambió

La empresa reforzó su organización de la seguridad y entendió con más claridad qué requisitos de los clientes podía cumplir y cuáles necesitaban más trabajo. Pudo presentar su evaluación y su plan de mejora como prueba de un enfoque estructurado de la seguridad.

¿Necesita responder a las preguntas de seguridad de un cliente?

Hablar con un expertoTodos los casos ↑

07/ 09 Todos los casos ↑

Un plan de seguridad sin contratar a un director de seguridad

Empresa de distribución · Auditoría y asesoría de seguridad

Resultado

La dirección recibió un plan de seguridad priorizado que su equipo de TI actual podía ejecutar, junto con una base para presupuestar.

El reto

Una empresa de distribución funcionaba sin un responsable dedicado de seguridad de la información. Su equipo de TI se ocupaba de los sistemas del día a día, pero la dirección necesitaba una imagen más clara de los riesgos, las mejoras más importantes y los recursos necesarios.

Qué hicimos

Una auditoría de seguridad realizada por expertos examinó el entorno y las prácticas de la empresa. Los hallazgos se organizaron en acciones prácticas, teniendo en cuenta la capacidad del equipo y las consecuencias probables de cada riesgo para el negocio.

Qué encontramos

La auditoría señaló mejoras necesarias en áreas como la segmentación de la red, los controles de acceso y el cifrado. Estos hallazgos provienen de una auditoría de seguridad más amplia; no se presentan como descubrimientos de la vigilancia externa de la superficie de ataque.

Qué cambió

La organización asignó responsables del trabajo de seguridad, empezó a atender las prioridades con su equipo actual y obtuvo la aprobación de la dirección para un presupuesto anual de seguridad. Consiguió un plan más estructurado sin necesidad de crear de inmediato un puesto directivo de seguridad.

Convierta los hallazgos de seguridad en un plan práctico

Hablar con un expertoTodos los casos ↑

08/ 09 Todos los casos ↑

Una función de SMS que podía disparar la factura

Marca de consumo · Pruebas de penetración de aplicaciones web

Resultado

Una prueba de penetración detectó una función de SMS que podía usarse de forma abusiva para generar cargos a la empresa. El equipo de ingeniería aplicó la corrección en aproximadamente una semana.

El reto

Una empresa orientada al consumidor añadía con regularidad nuevas funciones a sus servicios digitales. Un flujo de confirmación por SMS creaba un posible riesgo financiero si alguien podía provocar el envío de mensajes de pago sin restricciones eficaces.

Qué hicimos

Los especialistas de IntruForce realizaron en remoto una prueba de penetración de la aplicación web, con un alcance acordado y un conocimiento parcial del sistema, para evaluar cómo podían usarse sus funciones de forma abusiva.

Qué encontramos

Era posible hacer que el flujo de SMS enviara mensajes a números de tarificación especial sin límites eficaces. Un atacante podría aprovechar este comportamiento para generar cargos a la empresa, incluso sin comprometer ningún servidor ni robar datos de clientes.

Qué cambió

El equipo documentó el problema, sus posibles consecuencias financieras y los pasos necesarios para resolverlo. Los ingenieros del cliente aplicaron la corrección en aproximadamente una semana, y la empresa incorporó revisiones de seguridad para las nuevas funciones.

Ponga a prueba su aplicación antes que los atacantes

Hablar con un expertoTodos los casos ↑

09/ 09 Todos los casos ↑

Lo que reveló un correo de phishing realista

Organización financiera · Simulación de phishing

Resultado

Una simulación autorizada mostró debilidades en la forma de reconocer, reportar y gestionar los mensajes sospechosos.

El reto

La organización quería entender cómo responderían sus empleados ante un intento de phishing creíble, más allá de lo que podían decirle sus defensas técnicas de correo.

Qué hicimos

IntruForce realizó en remoto un ejercicio de phishing acordado. El mensaje imitaba un aviso interno del soporte de TI sobre una herramienta de trabajo y dirigía a los destinatarios a un inicio de sesión simulado. La dirección del remitente se parecía mucho a una legítima.

Qué encontramos

Dos destinatarios de un pequeño grupo de prueba siguieron el enlace, y uno introdujo un acceso de trabajo. Otro respondió al supuesto remitente de soporte para pedir ayuda, lo que indica que hace falta aclarar el proceso para reportar mensajes sospechosos. La lista de destinatarios también incluía buzones de antiguos empleados.

Qué cambió

El ejercicio dio lugar a recomendaciones concretas: reforzar la formación para reconocer el phishing, establecer una vía clara para reportar mensajes sospechosos, revisar las cuentas inactivas y reforzar las protecciones técnicas adecuadas, entre ellas la autenticación del correo y la autenticación multifactor.

Vea cómo responde su equipo al phishing

Hablar con un expertoTodos los casos ↑

Su primer paso

Solicite una primera revisión de su empresa.

Comparta el sitio web de su empresa y un correo de trabajo. Enviaremos su solicitud al equipo de IntruForce. Indíquenos si prefiere hablar de una evaluación concreta.

  • Sin instalación
  • Sin acceso a su red interna
  • Usted autoriza las pruebas activas por separado
Solo si prefiere que le respondamos por ahí.

Este formulario envía una solicitud de revisión al equipo de IntruForce. Enviarla no le compromete a nada; nuestro equipo responde al correo de trabajo que indique.