Descubra lo que un atacante vería en su empresa en España, antes de que lo explote.
Pentesting real para empresas de España: simulamos ataques con las mismas técnicas que usaría un adversario, con hallazgos priorizados por riesgo real y retest de las correcciones.
En 2024 España gestionó 97.348 incidentes de ciberseguridad, un 16,6 % más que el año anterior, según el balance anual del INCIBE (IT User). Entre los operadores esenciales, los sectores más golpeados fueron el transporte (24,6 %) y el sistema financiero y tributario (23,8 %); y el informe oficial del CCN-CERT sitúa a la Administración pública como el principal objetivo, con el 36,19 % de los incidentes (CCN-CERT IA-04/25). Con ese volumen de presión, contratar un pentesting en España no es una medida preventiva abstracta: es la forma de saber, con evidencia, por dónde le pueden entrar antes de que lo descubra otro.
Esta página describe la amenaza tal como se mide en España, la superficie de ataque por sector, qué cubre una prueba de pentesting aquí, qué normativa le aplica de verdad y las preguntas que debería hacer antes de contratar.
En resumen: DragonJAR SAS, empresa colombiana de seguridad informática ofensiva con sede en Manizales (comunidad desde 2001, empresa desde 2012), realiza pentesting real para empresas de España, con informes ejecutivo y técnico en español, priorizados por riesgo de negocio, y retest de las correcciones.
Tabla de Contenido
La amenaza en España, con datos oficiales
Los números del INCIBE para 2024 dibujan el mapa: 42.136 casos de malware (357 de ransomware), más de 38.000 de fraude online —el 43,18 % del total—, 21.571 de phishing y 7.470 intrusiones. No son ataques dirigidos a «grandes empresas»: el 32,4 % de los incidentes gestionados afectó a empresas, incluyendo pymes, micropymes y autónomos. Y la línea 017 de ayuda en ciberseguridad del INCIBE confirma el patrón en 2026: el phishing y el fraude del CEO están entre las consultas más frecuentes de las empresas.
El CCN-CERT añade la otra mitad del cuadro: el hacktivismo del actor prorruso NoName057 concentró el 67,4 % de las campañas contra la Administración pública. Es decir, en España conviven el cibercrimen económico automatizado —que barre pymes sin mirar el tamaño— y campañas dirigidas contra el sector público y las infraestructuras críticas. Su empresa puede no ser objetivo prioritario de nadie y aun así caer en el barrido.
Superficie de ataque por sector en España
Sector financiero y asegurador. Banca online, apps de pago, APIs abiertas por la PSD2. Es el sector con la regulación más exigente y uno de los más atacados (23,8 % de los incidentes en operadores esenciales). Aquí el fraude online y el robo de credenciales son el día a día.
Administración pública y sus proveedores. El 36,19 % de los incidentes según el CCN-CERT. Si su empresa contrata con el sector público, heredas su nivel de exigencia: el Esquema Nacional de Seguridad (ver normativa) le aplica por la vía contractual.
Industria, logística y transporte. El transporte fue el sector esencial más atacado en 2024 (24,6 %). Puertos, operadores logísticos y manufactura con OT conectada: superficies amplias donde un incidente no solo filtra datos, sino que para operaciones.
Turismo y hostelería. España es potencia turística mundial y el sector procesa millones de tarjetas y pasaportes con márgenes ajustados y alta rotación de personal: la combinación perfecta para filtraciones que tardan meses en detectarse.
Pymes y despachos profesionales. El eslabón que los atacantes prefieren: asesorías, gestorías y despachos que custodian datos de cientos de clientes con defensas mínimas. La línea 017 del INCIBE ya los señala entre los objetivos del fraude digital en 2026.
Qué cubre un pentesting en España
Una prueba seria cubre lo que un atacante vería: aplicaciones web y APIs (su web, su área de cliente, sus integraciones), infraestructura perimetral (VPN, correo, accesos remotos, lo expuesto a internet), red interna (qué puede hacer alguien que ya está dentro: movimiento lateral, escalado de privilegios) y, si aplica, entornos cloud y OT. Cada uno se prueba con técnicas distintas y se reporta con impacto demostrado, no con «posibles» vulnerabilidades.
Lo que NO es un pentesting: un escáner automatizado con informe genérico. Si la propuesta no describe metodología, perfiles del equipo y reglas de juego, está comprando un escáner con otro nombre. Pregúntelo antes de firmar.
La normativa que aplica en España (sin humo)
El marco vigente tiene tres pilares. El Real Decreto-ley 12/2018, de seguridad de las redes y sistemas de información (BOE-A-2018-12257), traspone la primera directiva NIS y fija obligaciones para operadores esenciales y proveedores digitales. El Esquema Nacional de Seguridad (Real Decreto 311/2022) (texto consolidado) aplica a todo el sector público y, por vía contractual, a sus proveedores privados: si vende a la Administración, el ENS le toca. Y en datos personales, el RGPD (aplicable desde 2018) con la LO 3/2018 (LOPDGDD) española.
Una honestidad necesaria sobre NIS2: España incumplió el plazo de transposición de octubre de 2024; la adaptación es parcial (Real Decreto-ley 7/2025) y la ley de gobernanza sigue en tramitación, al punto de que la Comisión Europea llevó a España ante el TJUE en julio de 2026 por no notificar la transposición completa (Legiscope). Desconfíe de quien le venda «obligaciones NIS2» como si estuvieran plenamente vigentes: el marco real es el que citamos arriba, y un pentesting con informe y retest es la evidencia más sólida de diligencia bajo cualquiera de ellos.
Escenarios típicos que encontramos
El fraude del CEO contra una pyme industrial: correo del «director» pidiendo una transferencia urgente a un proveedor nuevo. Sin doble factor en el correo ni procedimiento de verificación de pagos, el dinero sale en minutos. Lo vemos cada mes; la corrección cuesta una fracción de lo perdido.
El portal de cliente con acceso a datos ajenos: una aplicación donde cambiando un número en la URL se ven las facturas de otro cliente. No requiere herramientas especiales, solo probar. Es el hallazgo más vergonzoso y más común en aplicaciones hechas a medida sin pruebas de seguridad.
El proveedor de la Administración sin ENS: pyme que gana un contrato público y descubre en la auditoría del cliente que debe cumplir el Esquema Nacional de Seguridad. Un pentesting previo convierte ese susto en un informe que demuestra el nivel real.
Preguntas frecuentes sobre el pentesting en España
¿El RGPD me obliga a hacer pentesting?
No literalmente: el RGPD exige medidas técnicas y organizativas «adecuadas» al riesgo. Pero ante una brecha, la Agencia Española de Protección de Datos valora la diligencia demostrada. Un pentesting periódico con informe y retest es la evidencia más sólida de que sus medidas no son papel.
¿Necesito cumplir el ENS si soy empresa privada?
Solo si contrata con el sector público o es operador esencial/proveedor digital bajo el RD-ley 12/2018. Si es su caso, el ENS exige análisis de riesgos y medidas proporcionales: un pentesting encaja como medida de verificación, no como requisito nominal.
¿Qué diferencia hay entre pentesting y análisis de vulnerabilidades?
El análisis automatizado lista posibles fallos; el pentesting los explota y demuestra el impacto real. Para decidir inversiones y para cumplir con diligencia necesita la prueba, no el inventario.
¿La prueba puede interrumpir mi servicio?
No si se hace con reglas de juego: alcance cerrado, ventanas acordadas y reporte inmediato de hallazgos críticos con recomendación de contención. Esas reglas deben estar por escrito antes de empezar.
¿Cada cuánto repetirlo?
Al menos anual, y tras cada cambio relevante: nueva aplicación, migración cloud, integración con terceros. Con 97.348 incidentes al año en el país, la pregunta no es si le van a probar, sino cada cuánto le pruebas usted.
¿Cuánto cuesta y cuánto tarda un pentesting en España?
Depende del alcance: cuántas aplicaciones, APIs, direcciones IP o sedes entran, la profundidad de la prueba y las ventanas disponibles. El costo y el plazo se confirman en la propuesta que recibe tras solicitarla. Solicitar cotización.
Lo que pasa cuando nos escribe
Cuéntenos en el formulario de contacto qué sistemas sostienen su operación en España y qué marco le aplica (RGPD, ENS por contrato público, sector regulado). Le respondemos en menos de 24 horas hábiles con una llamada de descubrimiento sin costo donde definimos el alcance exacto —y le decimos con franqueza si lo que necesita no es un pentesting—. Sin compromiso.
DragonJAR es una empresa de seguridad informática ofensiva —comunidad desde 2001, empresa desde 2012—: pruebas reales con explotación y encadenamiento de hallazgos, informes que su dirección entiende, hallazgos validados manualmente y retest incluido. En un país con casi cien mil incidentes gestionados al año, saber por dónde le pueden entrar no es un gasto: es la línea base.