El pentesting o test de penetración en España

El 14 de mayo de 2024, el Banco Santander comunicó a la CNMV un acceso no autorizado a una base de datos de la entidad alojada en un proveedor: se había accedido a información de clientes de España, Chile y Uruguay, además de empleados y exempleados del grupo. Sin datos transaccionales ni credenciales de acceso, según el propio banco —pero con datos personales suficientes para alimentar campañas de fraude (comunicado oficial). Fue la semana en la que el Ibex 35 descubrió su exposición: entre el 5 y el 7 de mayo, Iberdrola sufrió un ataque que expuso los datos de 850.000 clientes, y Telefónica investigaba la posible filtración de 120.000 usuarios. Cuando empresas con presupuestos de seguridad de ocho cifras aparecen en las noticias por lo mismo, la pregunta para el resto es incómoda y directa: ¿quién está probando tus defensas antes que un atacante? El Pentesting o test de penetración en España responde exactamente eso: una prueba autorizada, con reglas de juego claras, que busca y explota vulnerabilidades reales en tus sistemas para que las corrijas antes de que otro las encuentre.

Por qué las empresas en España están en el punto de mira

España concentra tres cosas que un atacante aprecia: dinero, datos y digitalización acelerada. El sector bancario procesa el día a día financiero de millones de personas a través de banca móvil y pagos electrónicos; el turismo —motor económico del país— opera sobre reservas, pagos y plataformas hoteleras completamente digitales; y la industria y la energía conectan cada vez más sus redes corporativas con sus sistemas de operación.

La magnitud del problema es pública: el INCIBE gestionó 122.223 incidentes de ciberseguridad en España durante 2025, un 26% más que en 2024, la cifra más alta registrada por el organismo (Revista Byte). De los 401 incidentes atendidos en operadores esenciales e importantes, el 34% golpeó a la banca, seguida del transporte y la energía. Y las pymes —el grueso del tejido empresarial español— operan ecosistemas digitales con presupuestos de seguridad mucho menores que los de las grandes corporaciones: son el eslabón donde el atacante encuentra menos resistencia.

A eso se suma el sector público y sus proveedores: cualquier empresa que preste servicios digitales a una administración española opera bajo el Esquema Nacional de Seguridad. En España, la superficie de ataque es nacional, y la exigencia también.

Errores típicos que vemos en empresas españolas

Después de años haciendo pruebas en empresas de todos los tamaños, los mismos errores aparecen una y otra vez:

• Confundir un escáner con un pentest. Un análisis de vulnerabilidades automatizado lista posibles fallos; no demuestra cuáles son explotables ni qué daño causarían. Pagar por un escáner creyendo que compraste un pentest es el error más caro y más común que vemos.
• Probar la web y olvidar las APIs. Las aplicaciones modernas viven de APIs: apps móviles, integraciones con terceros, microservicios. Una API sin probar es una puerta trasera con documentación pública.
• No probar a las personas. La mayoría de los incidentes empiezan con un correo, una llamada o un mensaje convincente, y el phishing sigue siendo la técnica predominante en España. Si tu plan de seguridad no incluye pruebas de ingeniería social, estás evaluando solo la mitad del riesgo.
• Creer que cumplir el RGPD equivale a estar seguro. El reglamento exige medidas adecuadas, no invulnerabilidad. Hemos visto empresas «cumplidoras» con paneles de administración expuestos a internet.
• Ignorar a los proveedores. Un proveedor tecnológico comprometido puede arrastrar a decenas de organizaciones clientes. Los ataques a la cadena de suministro crecen año tras año, y el ransomware dirigido a medianas empresas suele entrar por ahí, no por la puerta principal.

Qué pruebas recomendamos según tu sector

No todos los pentests son iguales, y el que necesita un banco no es el que necesita un hotel:

• Banca y finanzas: aplicaciones web y móviles, APIs de pago y lógica de negocio antifraude. Con DORA en vigor, las entidades financieras deben demostrar gestión del riesgo TIC de forma continua: el pentest periódico es evidencia directa.
• Turismo, retail y comercio digital: plataformas de reserva y pago, pruebas de lógica de negocio —precios, cupones, sesiones—, donde un fallo se traduce en fraude directo contra el ingreso.
• Industria y energía: convergencia IT/OT, con reglas de juego estrictas que nunca ponen en riesgo la operación. Aquí el objetivo es saber qué pasaría, no demostrarlo rompiendo nada.
• Pymes: un paquete realista —perímetro externo, aplicación web principal y una prueba de phishing a tu equipo— cubre la mayor parte del riesgo real por una fracción del costo de un incidente.
• Proveedores del sector público: si tratas información de una administración española, el ENS te aplica aunque seas una empresa privada. El pentest documenta las medidas que el esquema exige.

Qué exige la normativa en España

El marco español combina regulación europea de aplicación directa con normativa nacional:

• RGPD — Reglamento (UE) 2016/679. Su artículo 32 obliga a aplicar medidas técnicas y organizativas adecuadas para garantizar la seguridad de los datos personales, incluida la capacidad de garantizar la confidencialidad, integridad y disponibilidad de los sistemas. Un pentest es la forma de demostrar —con evidencia, no con declaraciones— que esas medidas funcionan (texto oficial en EUR-Lex).
• Directiva NIS2 — (UE) 2022/2555. Exige a entidades esenciales e importantes una gestión real de riesgos de ciberseguridad y la notificación de incidentes (texto oficial en EUR-Lex). En España la transposición aún está pendiente —el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad no ha llegado al BOE, y la Comisión Europea llevó a España ante el Tribunal de Justicia de la UE en julio de 2026 por el retraso (CA Noticias)—, pero las obligaciones europeas ya marcan lo que se va a exigir. Esperar a la ley para empezar es un error estratégico.
• DORA — Reglamento (UE) 2022/2554. De aplicación directa desde el 17 de enero de 2025 para las entidades financieras y sus proveedores críticos de TIC: exige pruebas de resiliencia operativa digital, incluidas pruebas de penetración para las entidades más relevantes.
• ENS — Real Decreto 311/2022. El Esquema Nacional de Seguridad fija los principios básicos y requisitos mínimos para la información tratada y los servicios prestados por las administraciones públicas… y por las empresas privadas que les prestan servicios. Si tu cliente es una administración española, el ENS te aplica (resumen del esquema).

Una corrección necesaria: el contenido anterior de esta página mencionaba la «Ley Orgánica de Protección de Datos de Carácter Personal» —esa denominación corresponde a la LOPD de 1999, derogada hace años. La norma vigente es la Ley Orgánica 3/2018 (LOPDGDD), que complementa al RGPD en España. Si tu asesor todavía te habla de «la LOPD» a secas, actualiza al asesor.

Cómo trabaja DragonJAR

DragonJAR es una empresa de seguridad informática con raíces en la comunidad técnica que le dio origen en 2001 y operación empresarial desde 2012. En la práctica, trabajar con el equipo significa:

• Explotación real, no solo escaneo. Cada vulnerabilidad reportada fue verificada manualmente: los informes no traen falsos positivos que hagan perder tiempo a tu equipo.
• Re-tests incluidos. Cuando corriges, volvemos a probar para confirmar que la remediación funciona según lo recomendado. Verificar tu trabajo no debería costar extra.
• Informes que aportan valor al negocio. Cada hallazgo trae su impacto real y su recomendación priorizada, más un resumen ejecutivo que la dirección entiende sin diccionario técnico.
• Ética y confidencialidad. Pruebas autorizadas, acuerdos de confidencialidad y manejo responsable de la evidencia: tus vulnerabilidades no salen del equipo que ejecuta la prueba.

Los servicios de seguridad informática de DragonJAR cubren aplicaciones web y móviles, redes inalámbricas, infraestructura en la nube, IoT, sistemas de control industrial (ICS/SCADA) y pruebas de ingeniería social, para empresas en España y en toda Europa.

Preguntas frecuentes sobre el pentesting o test de penetración en España

¿Cuánto tiempo toma realizar un pentest?

Depende del alcance: una aplicación web acotada puede resolverse en una o dos semanas; una infraestructura completa con varias sedes, en varias semanas. Lo importante no es solo la duración, sino la repetición: después de cada cambio significativo y, como mínimo, una vez al año.

¿Cada cuánto deberíamos hacerlo?

Anual como base; tras lanzamientos, migraciones o integraciones con terceros, de inmediato. Si eres entidad financiera bajo DORA u operador esencial bajo NIS2, el marco te empuja a un ciclo continuo de evaluación, no a un evento anual.

¿El informe sirve como evidencia de cumplimiento?

Sí: documenta con metodología profesional que evalúas tus riesgos y corriges lo encontrado, lo que respalda el artículo 32 del RGPD y los requisitos de NIS2 y DORA. No es una certificación —nadie serio te vende un sello de «empresa segura»—, es evidencia de diligencia.

¿El pentest interrumpe la operación?

Se ejecuta en ventanas acordadas y con reglas de juego claras. En entornos OT o sistemas que no pueden detenerse, se ajusta la agresividad: el objetivo es medir el riesgo, no tumbar la planta.

¿Qué diferencia hay entre un pentest y un análisis de vulnerabilidades?

El análisis lista posibles fallos de forma automatizada; el pentest los explota de forma controlada para demostrar el impacto real. El primero te dice dónde mirar; el segundo te dice qué pasaría. Para decidir en qué invertir tu presupuesto de seguridad, necesitas el segundo.

¿Cuánto cuesta?

Depende del alcance, la complejidad y los objetivos: no cuesta lo mismo probar una web que una infraestructura con OT y varias sedes. La propuesta que recibas debe desglosar el alcance por sistema, no un precio único misterioso.

¿Necesita tu empresa un pentest en España?

Tres preguntas de autodiagnóstico: ¿cuándo fue la última vez que alguien intentó explotar tus sistemas con tu autorización? Si un proveedor tuyo es comprometido mañana, ¿cómo te enteras? ¿Tus directivos sabrían reconocer un fraude del CEO por correo?

Y la honestidad de siempre: si no tienes activos expuestos a internet, o lo único que necesitas es tachar un requisito formal, un pentest completo quizá no sea tu primer paso. Un análisis de vulnerabilidades o un assessment enfocado puede ser lo correcto, y te lo diremos antes de cotizar.

Al llenar el formulario recibes una propuesta con el alcance recomendado para tu caso, los tiempos y el costo, sin compromiso. Sin telemercadeo, sin letra pequeña.

El pentesting o test de penetración en España es la diferencia entre suponer que tus controles funcionan y demostrarlo con evidencia. Con 122.223 incidentes gestionados por el INCIBE en un solo año, suponer sale caro. Si quieres entender las técnicas antes de contratar, la formación en pentesting de DragonJAR es el punto de partida.