En abril de 2018, varios participantes del SPEI fueron comprometidos y los atacantes emitieron transferencias ilícitas desde la infraestructura de bancos como Banorte, Inbursa y Banjército. El Banco de México confirmó los ataques y respondió con regulación nueva para todo el sistema de pagos.
La lección de aquel episodio sigue vigente: los controles de seguridad que no se prueban bajo ataque real son una promesa, no una garantía. Un Pentesting o test de penetración es exactamente esa prueba: un ataque autorizado y controlado, con alcance definido, que intenta explotar tus sistemas como lo haría un adversario para medir tu exposición real.
Tabla de Contenido
En México, donde la banca, el comercio y la industria concentran sistemas críticos interconectados, contratar bien un pentest marca la diferencia entre un informe que duerme en un cajón y una hoja de ruta real de remediación. Esta guía te muestra qué pedir en el alcance, cómo comparar propuestas y qué señales delatan a un mal proveedor.
¿Qué es un pentesting y en qué se diferencia del Ethical Hacking?
Un pentest es una prueba puntual: se define un alcance cerrado, como una aplicación web, una API o un segmento de red, y un equipo autorizado intenta vulnerarlo dentro de reglas pactadas. El resultado es una fotografía técnica de tu riesgo en ese momento, con evidencias y pasos de reproducción.
No es lo mismo que un análisis de vulnerabilidades. El escáner automatizado lista posibles fallas; el pentest las explota para confirmar cuáles son realmente alcanzables y qué daño permitirían. Esa confirmación manual es lo que elimina el ruido y permite priorizar la remediación con criterio.
Tampoco es lo mismo que el ethical hacking como disciplina. El ethical hacking abarca red team, ingeniería social, OSINT y evaluación continua; el pentesting es una de sus piezas: la prueba puntual y delimitada. Si buscas una visión más amplia de la disciplina, la explicamos en nuestra guía de ethical hacking en México.
Un pentest puntual basta cuando hay un requisito contractual o regulatorio, antes de lanzar una aplicación, después de cambios grandes en la infraestructura o cuando un cliente exige evidencia de seguridad. Si el objetivo es vigilar la superficie de ataque durante todo el año, eso ya es otro servicio con otra cadencia y otro presupuesto.
Cómo elegir un proveedor de pentesting en México
La mayoría de los pentests mediocres no fallan por falta de herramientas, fallan por un alcance mal definido. Antes de pedir cotizaciones, haz este autodiagnóstico: lista qué activos quieres probar, qué tan crítico es cada uno y qué ventana de tiempo tolera tu operación. Con eso en mano, cualquier propuesta seria se puede comparar en igualdad de condiciones.
El alcance mínimo que debes exigir por escrito incluye: los activos dentro y fuera del alcance, la metodología de prueba (caja negra, gris o blanca), las ventanas y horarios autorizados, las reglas de juego para sistemas en producción, los entregables comprometidos y el re-test para verificar que las correcciones funcionaron.
Para comparar propuestas, mira más allá del precio: cuántas horas de trabajo manual incluye frente a escaneo automatizado, cuál es el perfil real del equipo que ejecutará la prueba, si te muestran una muestra anonimizada de un informe anterior, qué cubre el re-test y si tienen referencias verificables. Desconfía de la propuesta que no te deja ver cómo trabaja antes de firmar.
Señales de alerta de un mal proveedor
Hay patrones que se repiten en los proveedores que debes evitar. Un precio muy bajo para un alcance amplio casi siempre significa un escaneo automatizado vendido como pentest manual. Un informe lleno de hallazgos sin evidencia ni pasos de reproducción es ruido, no inteligencia.
- No entrega una muestra anonimizada de informe antes de contratar.
- El informe trae falsos positivos evidentes que un pentester manual habría descartado.
- No incluye re-test: te deja los hallazgos y desaparece.
- No documenta metodología, reglas de juego ni acuerdo de confidencialidad.
- La comunicación durante la prueba es escasa o inexistente.
- Pide credenciales o accesos amplios sin un alcance firmado que los justifique.
Si ves dos o más de estas señales, sigue buscando. Un mal pentest no solo desperdicia el presupuesto: genera una falsa sensación de seguridad que es peor que no haber probado nada.
Panorama de amenazas para las empresas en México
El perfil de riesgo mexicano está marcado por su economía: el fraude por compromiso de correo electrónico intercepta pagos de empresas con alto volumen de transferencias; el ransomware detiene operaciones en manufactura y servicios; el phishing dirigido apunta a empleados de banca y corporativos; y la cadena de suministro expone a plantas y proveedores interconectados.
Los sistemas de pago son un objetivo estructural. Desde los ataques al SPEI de 2018, los participantes del sistema operan bajo requerimientos de seguridad más estrictos del Banco de México, y cualquier empresa que mueva dinero electrónicamente debería asumir que sus controles serán puestos a prueba por atacantes reales.
La digitalización acelerada y la dependencia de terceros amplían la superficie de ataque: aplicaciones expuestas, APIs de socios y servicios en la nube mal configurados. Validar técnicamente los controles con un pentest periódico es la forma directa de saber dónde estás parado.
Normativa mexicana que impulsa el pentesting
En México no existe una ley que obligue a todas las empresas a hacer pentesting, pero varios frentes regulatorios lo vuelven prácticamente indispensable. La Ley Federal de Protección de Datos Personales en Posesión de los Particulares exige medidas de seguridad físicas, técnicas y administrativas para proteger los datos personales, y un pentest es la evidencia técnica más directa de que esas medidas funcionan.
En el sector financiero, el Banco de México impuso a los participantes del SPEI políticas y procedimientos adicionales de seguridad mediante las circulares 10/2018 y 11/2018, con protocolos de respuesta ante incidentes y responsables de seguridad designados. Las instituciones supervisadas por la CNBV operan además bajo requerimientos de control interno y seguridad de la información que hacen del pentest una práctica esperada, no opcional.
Y ojo con el estado de la Ley Federal de Ciberseguridad: a octubre de 2026 sigue siendo una iniciativa en el Senado, no una ley vigente. La propuesta plantea una Agencia Nacional de Ciberseguridad y equipos de respuesta a incidentes, pero hoy ninguna obligación deriva de ella. La norma exigible sigue siendo la de protección de datos.
Contexto empresarial en México
Ciudad de México es el centro económico y financiero del país: en la capital se concentran las sedes corporativas de los principales bancos, la Bolsa Mexicana de Valores y los distritos corporativos de Paseo de la Reforma y Santa Fe, donde operan empresas multinacionales, aseguradoras y despachos de servicios financieros. A esto se suma una industria manufacturera de alcance global, impulsada por el nearshoring en el norte y el Bajío, un sector energético de relevancia estratégica y un mercado de telecomunicaciones altamente competitivo.
Esta concentración de banca, industria y servicios digitales hace de México un objetivo prioritario de la ciberdelincuencia y, al mismo tiempo, un mercado donde el pentest se está volviendo un requisito comercial: si tu empresa provee a banca, industria o retail, es probable que tus clientes ya te pidan evidencia de pruebas de seguridad antes de firmar.
Riesgos de ciberseguridad para las empresas en México
Las empresas en México enfrentan un panorama de amenazas alineado con su perfil económico: el phishing y el compromiso de correo electrónico (BEC) apuntan a empleados de bancos, corporativos y maquiladoras para interceptar pagos y robar credenciales; el ransomware puede paralizar operaciones críticas en manufactura y servicios; el fraude financiero dirigido busca explotar los sistemas de pago de instituciones con alto volumen de transacciones; los ataques a la cadena de suministro amenazan a plantas y proveedores interconectados; y la exposición de superficies en la nube y en proveedores externos amplía el alcance de potenciales intrusiones.
Frente a este panorama, un pentest bien delimitado responde la pregunta que más importa a quien toma decisiones: de todo lo que podría fallar, qué es realmente explotable hoy y en qué orden hay que corregirlo. Esa priorización es lo que convierte el gasto en seguridad en una inversión defendible ante la dirección.
Evalúa la seguridad de tu empresa en Ciudad de México
Si tu empresa opera en Ciudad de México o desde México hacia la región, una evaluación técnica independiente es el primer paso para conocer tu exposición real frente a estas amenazas. DragonJAR ofrece servicios profesionales de pentesting: somos una comunidad de seguridad activa desde 2001 y una empresa constituida desde 2012, con profesionales en el top 100 mundial de hackers en plataformas especializadas, reconocidos como los más influyentes en seguridad informática de habla hispana.
Nuestros pentests incluyen re-test ilimitados para verificar que las correcciones funcionaron, informes sin falsos positivos con evidencia y pasos de reproducción, un informe ejecutivo para la dirección y uno técnico para tu equipo, y acompañamiento en la remediación. Contáctanos y descubre cómo proteger los activos digitales de tu negocio.
Preguntas frecuentes de quien contrata un pentest en México
¿Qué debe incluir el alcance mínimo de un pentest?
Por escrito y antes de firmar: la lista de activos dentro y fuera del alcance, el tipo de prueba (caja negra, gris o blanca), las ventanas y horarios autorizados, las reglas de juego para no afectar la operación, los entregables con fechas y el re-test incluido. Sin este documento, cualquier disputa sobre qué se probó queda en el aire.
¿Cómo comparo dos propuestas de pentesting?
Compara horas de trabajo manual contra escaneo automatizado, el perfil de quien ejecutará la prueba, una muestra anonimizada del informe, si el re-test está incluido o se cobra aparte, y referencias que puedas verificar. La propuesta más barata con un alcance amplio suele esconder un escáner vendido como pentest.
¿Cuánto dura un pentest?
Depende del alcance y la complejidad: una aplicación web pequeña puede tomar unos pocos días, mientras que una infraestructura completa con varias aplicaciones y red interna puede extenderse varias semanas. Desconfía de plazos irreales para alcances grandes; la explotación manual confirmada toma tiempo.
¿Qué entregables debo exigir?
Un informe ejecutivo para la dirección, con riesgos en lenguaje de negocio; un informe técnico con cada hallazgo evidenciado, severidad, pasos de reproducción y recomendaciones concretas; y un re-test que confirme que las correcciones cerraron las vulnerabilidades. Todo lo demás es opcional; esto no.
¿El pentest puede tumbar mis sistemas en producción?
Un proveedor serio define reglas de juego antes de empezar: qué técnicas están permitidas, en qué horarios se prueba y cómo se actúa ante cualquier degradación. La explotación se hace de forma controlada y con comunicación constante. Si el proveedor no te propone estas reglas, es una señal de alerta.
Conclusión
El costo de no probar es conocido: incidentes como los del SPEI en 2018 muestran que los atacantes no esperan a que estés listo. Un pentest bien contratado cuesta una fracción de una brecha: convierte la incertidumbre en un plan de remediación priorizado y te deja evidencia para clientes, auditores y reguladores.
DragonJAR te ayuda a contratar esa prueba con criterio: alcance definido por escrito, explotación manual confirmada, cero falsos positivos, re-test ilimitados y acompañamiento en la remediación. No esperes al incidente para conocer tu exposición real: evalúa hoy la seguridad de tu empresa.