Reproducible, no anecdótica
Cada hallazgo lleva vector, comando, captura, ventana temporal y condiciones exactas de reproducción. Si su equipo no puede repetirlo, no lo doy por cerrado.
Red team · TIBER-EU y DORA TLPT
Alguien ya está evaluando su perímetro.La diferencia está en quién le entrega el informe.
Simulación de adversario contra objetivos de negocio, alineada con TIBER-EU y con el TLPT que exige DORA. También pentesting de plataformas de IA, test de intrusión, seguridad industrial, DFIR y peritaje judicial. Veinticinco años ejecutando el lado del atacante para organizaciones que necesitan evidencia, no tranquilidad.
· Red team TIBER-EU y DORA· NATO Locked Shields· Perito judicial informático· DFIR y CSIRT· Entornos OT/ICS· Pentesting de IA y agentes· Habilitación de seguridad
0+
Años en el lado ofensivo del sector
0
Líneas de servicio, casi siempre combinadas
0h
Respuesta máxima en día laborable
0%
Hallazgos verificados a mano antes de entregar
Catálogo
Seis líneas de trabajo
Casi todos los encargos combinan dos o tres. Una intrusión sin ingeniería social deja fuera el vector más rentable, y una simulación sin retest no cambia nada.
Cómo entra un atacante
La cadena que su organización tiene que romper
Ningún compromiso serio ocurre en un solo paso. El atacante encadena cinco fases, y basta con cortar una para que la operación fracase. El trabajo consiste en averiguar cuál de las cinco es la que su organización todavía no corta.
01
Reconocimiento
Lo que su organización publica sin saberlo: activos olvidados, metadatos, ofertas de empleo, credenciales filtradas.
02
Acceso inicial
Correo dirigido, servicio expuesto sin parchear o proveedor comprometido. Casi nunca es un exploit exótico.
03
Escalada
De usuario sin privilegios a control del directorio. Rutas de certificado, delegaciones, contraseñas en atributos.
04
Movimiento
Salto entre segmentos hasta el sistema que de verdad importa. Aquí es donde falla la segmentación.
05
Objetivo
Exfiltración, fraude o interrupción. Cuando se llega aquí, la detección ya no sirve de nada.
Qué recibe
Un informe que aguanta tres lecturas distintas
El mismo hallazgo tiene que sostenerse ante su equipo técnico, ante su comité de dirección y, si el asunto acaba ahí, ante un juzgado. Escribo pensando en los tres lectores.
Evidencia
Priorización
Riesgo real, no CVSS a secas
La puntuación base se ajusta a su exposición, su segmentación y su capacidad de detección. Un crítico teórico inalcanzable baja; un medio que encadena a dominio sube.
Continuidad
Retest incluido
Verificación de las correcciones y acta de cierre. Sin la segunda pasada, un informe de intrusión es un documento, no una mejora de seguridad.
Marco de referencia
MITRE ATT&CK como lenguaje común
Cada técnica del informe se referencia con su identificador ATT&CK, de modo que su equipo de defensa pueda mapear directamente la cobertura de sus controles. Las resaltadas son las que aparecen con mayor frecuencia en los encargos que ejecuto.
Acceso inicial
Phishing dirigidoExplotación públicaRelación de confianzaServicio remoto externoMedio extraíbleEjecución
Intérprete de comandosTarea programadaWMIEjecución por usuarioPersistencia
Cuenta válidaServicio nuevoManipulación de cuentaArranque automáticoEscalada
Abuso de ADCSDelegación KerberosToken de accesoElusión de UACEvasión
Firma legítimaBorrado de indicadoresOfuscaciónDeshabilitar herramientasCredenciales
Volcado de LSASSKerberoastingCaptura NTLMFuerza brutaMovimiento lateral
SMB / admin remotoPass-the-hashRDPWinRMImpacto
Objetivo alcanzadoExfiltración simuladaCifradoDestrucciónSobre las severidades
Por qué su informe tendrá menos críticos
La distribución típica de un informe mío frente a la de un escáner comercial. Menos ruido no significa menos trabajo: significa que alguien ha comprobado a mano qué es realmente alcanzable en su entorno antes de escribirlo.
Distribución orientativa · reflejo del criterio de priorización, no una estadística de mercado
Crítico8%
Alto22%
Medio41%
Bajo21%
Informativo8%
Capacidad de ejecución
Un interlocutor. Un equipo detrás cuando hace falta.
Los encargos pequeños y medianos los ejecuto yo. Cuando el alcance excede a una persona —varias sedes, ventanas comprimidas, red team de larga duración o incidente con múltiples frentes— movilizo a los equipos de confianza con los que llevo años trabajando. Usted sigue teniendo un único responsable técnico y un único informe.
- La composición del equipo se acuerda con usted antes de firmar, con nombres, empresa y roles.
- Todo el personal asignado firma acuerdo de confidencialidad específico del encargo.
- El alcance, la metodología y la redacción final los mantengo yo, sea quien sea quien ejecute.
- Si un encargo exige habilitación de seguridad, se asigna personal habilitado o no se acepta.
Posición
Consultor único, no bolsa de horas
Quien negocia el alcance es quien dirige la intrusión y quien firma el informe. No hay capa comercial entre usted y el operador, ni junior aprendiendo sobre su infraestructura.
- Reglas de enfrentamiento por escrito antes de tocar nada: ventanas, sistemas excluidos, criterio de parada y contacto de emergencia.
- Aviso inmediato ante hallazgo crítico o indicio de compromiso previo. No espera al informe final.
- Trazabilidad completa de la actividad ofensiva para que su SOC pueda contrastar detecciones.
- Destrucción certificada del material recolectado al cierre del encargo.
Preguntas frecuentes
Lo que preguntan antes de firmar
¿Trabaja solo o tiene equipo?
Los encargos pequeños y medianos los ejecuto yo de principio a fin. Cuando el alcance excede a una persona —varias sedes, ventana comprimida, red team de larga duración o incidente con múltiples frentes— movilizo células de dos a cinco operadores a través de Minery Report y Jaymon Security, dos equipos de origen militar con los que llevo años trabajando. La composición se acuerda con usted por escrito antes de firmar, con nombres y roles, y el interlocutor, el método y la redacción del informe siguen siendo los mismos.
¿Cuánto tarda en empezar un encargo?
Para una auditoría planificada, entre dos y cuatro semanas desde la firma, según la ventana que necesite su operación. Para un incidente activo, el mismo día: esos hilos se atienden fuera de horario y la primera llamada es siempre gratuita, porque las decisiones de las primeras horas condicionan el coste total del incidente.
¿Firma acuerdo de confidencialidad?
Sí, antes de cualquier conversación técnica, y no hace falta que lo pida. Todo el personal asignado firma además un acuerdo específico del encargo. Al cierre se emite certificado de destrucción del material recolectado. Ninguna referencia identificable a un cliente aparece en este sitio ni en material comercial: por eso aquí no verá logotipos ni casos de éxito con nombre.
¿Puede concurrir a licitaciones públicas?
Sí, tanto de forma directa como en unión temporal de empresas a través de esos equipos. Ambas cuentan con personal con Habilitación Personal de Seguridad en grado Secreto y en grado Reservado, concedida por la Autoridad Nacional de Seguridad, requisito habitual en pliegos de Defensa, infraestructuras críticas y administración con información clasificada. La dirección técnica dispone además de habilitación en un grado que permite el manejo de información clasificada al máximo nivel. Indíqueme el grado exigido y el objeto del contrato y le confirmo si podemos concurrir y con qué composición.
¿Qué necesita saber para darme un precio?
Sector, número aproximado de activos o de empleados, modalidad que le interesa y motivo del encargo: certificación, exigencia de un cliente, incidente previo o requisito regulatorio. Con eso doy un orden de magnitud en la primera conversación y una propuesta cerrada en menos de una semana. No trabajo con bolsas de horas sin alcance definido.
Empecemos por el alcance
Una conversación de treinta minutos basta para determinar si el encargo tiene sentido, qué modalidad encaja y qué orden de magnitud tiene. Sin coste y sin compromiso.