Un pentesting (prueba de penetración) es un ataque controlado y autorizado contra tu app, tu API o tu red para encontrar las fallas que un atacante real podría explotar, con evidencia de cada una y un plan para corregirlas. En Ecuador, el pentesting de una app móvil con su API suele partir de unos USD 2,500 y tomar de 1 a 3 semanas; el precio final depende sobre todo del alcance: cuántas aplicaciones, roles de usuario, endpoints y entornos entran en la prueba.
Qué es un pentesting y en qué se diferencia de un escaneo o una auditoría
Un pentesting es una evaluación manual, apoyada en herramientas, en la que un especialista intenta explotar vulnerabilidades para demostrar su impacto real. La confusión más cara del mercado es pagar por un pentesting y recibir otra cosa. Esta tabla separa los tres servicios que más se mezclan:
| Servicio | Qué hace | Qué entrega | Cuándo usarlo |
|---|---|---|---|
| Escaneo de vulnerabilidades | Una herramienta automática busca versiones vulnerables y configuraciones conocidas. | Lista larga de hallazgos, muchos falsos positivos, sin explotación. | Mensual o continuo, como higiene básica. |
| Pentesting | Un especialista combina herramientas y trabajo manual para explotar fallas, incluida la lógica de negocio. | Hallazgos confirmados, severidad, evidencia, pasos de reproducción y remediación. | Antes de lanzar, tras cambios grandes y al menos una vez al año. |
| Auditoría de seguridad | Revisa controles, políticas, configuraciones o código contra un estándar (ISO 27001, LOPDP, buenas prácticas). | Brechas de cumplimiento y recomendaciones. | Para certificarse, responder a clientes o preparar una inspección. |
Un escaneo te dice que una puerta podría estar abierta; un pentesting la abre, documenta qué hay detrás y te explica cómo cerrarla. Los dos son útiles, pero no son intercambiables.
Tipos de pentesting según el objetivo
El tipo de prueba se elige según dónde está tu riesgo. Para la mayoría de pymes y startups ecuatorianas, el riesgo principal vive en la app y en la API que la alimenta.
- Aplicación web: autenticación, sesiones, control de acceso, inyección, carga de archivos y lógica de negocio, siguiendo la OWASP Web Security Testing Guide.
- App móvil (iOS y Android): almacenamiento local, tráfico de red, certificate pinning, secretos embebidos en el binario y comunicación con el backend, con base en OWASP MASVS y MASTG. Complementa con nuestra guía de seguridad en apps móviles.
- API: el objetivo con más hallazgos críticos hoy, porque concentra la autorización de datos. Lo detallamos en la guía de seguridad de APIs y OWASP API Top 10.
- Nube: permisos IAM, buckets expuestos, redes y servicios mal configurados en AWS, Google Cloud o Azure. Si usas AWS, revisa el checklist de hardening de AWS.
- Red interna y externa: qué ve un atacante desde internet y qué puede alcanzar si compromete un equipo de la oficina.
- Ingeniería social: campañas de phishing simulado o llamadas para medir cuántas personas entregan credenciales.
Caja negra, gris o blanca
En caja negra el evaluador no recibe información, como un atacante externo. En caja gris recibe usuarios de prueba por rol y documentación de la API. En caja blanca accede además al código fuente y a la arquitectura. Para apps y APIs recomendamos caja gris: con el mismo presupuesto se prueba mucho más, y los fallos de autorización entre roles solo aparecen cuando el evaluador tiene cuentas de distintos perfiles.
Cómo el alcance define el precio
Un pentesting se cotiza por esfuerzo: días de especialista necesarios para cubrir el alcance con profundidad. Estos son los factores que más mueven el número:
- Número de aplicaciones y plataformas: una app solo Android no es lo mismo que iOS, Android y un panel web de administración.
- Roles de usuario: cada rol (cliente, operador, administrador, aliado) multiplica las combinaciones de autorización que hay que probar.
- Endpoints de la API: 30 endpoints se cubren en días; 300 requieren priorizar o ampliar el tiempo.
- Entornos: probar en staging es más rápido y seguro; producción exige ventanas y más cuidado.
- Flujos críticos: pagos, transferencias, recargas o datos de salud merecen pruebas de lógica de negocio dedicadas.
- Re-test y requisitos formales: carta de cierre, informe en inglés o formato para un auditor externo.
Cuánto cuesta un pentesting en Ecuador: rangos orientativos
Los valores siguientes son rangos orientativos, no una cotización: el precio real sale del alcance concreto. Sirven para saber si una propuesta está en un orden de magnitud razonable.
| Alcance típico | Rango orientativo | Duración |
|---|---|---|
| API sola, pocos roles | USD 2,000 a 4,000 | 1 a 2 semanas |
| App móvil + su API | Desde USD 2,500 | 1 a 3 semanas |
| iOS + Android + API + panel web | USD 5,000 a 10,000 | 3 a 5 semanas |
| Revisión de configuración cloud (una cuenta) | USD 2,500 a 6,000 | 1 a 2 semanas |
| Red externa e interna de una oficina | USD 3,000 a 8,000 | 1 a 3 semanas |
Desconfía de dos extremos: un "pentesting completo" por unos cientos de dólares casi siempre es un escaneo automático, y una propuesta sin alcance definido no permite comparar precios. Si quieres ver cómo encaja este costo dentro de un presupuesto de seguridad más amplio, revisa nuestro servicio de ciberseguridad, donde cotizamos con alcance y precio cerrado.
El proceso paso a paso
- Alcance y reglas de enfrentamiento: activos incluidos y excluidos, entornos, ventanas horarias, pruebas prohibidas (por ejemplo, denegación de servicio), contactos de emergencia y criterios de parada.
- Autorización escrita: firmada por quien tiene potestad sobre los sistemas, más NDA. Si la app corre en AWS u otro proveedor, se revisa su política de pruebas. En Ecuador, la Ley Orgánica para el Fortalecimiento de la Ciberseguridad, publicada en mayo de 2026, reconoce que las pruebas de penetración no constituyen infracción administrativa cuando cuentan con autorización previa y escrita del titular y se realizan con fines de seguridad por profesionales habilitados. Sin autorización, no hay pentesting.
- Ejecución: reconocimiento, mapeo de la superficie, pruebas manuales y explotación controlada. Un hallazgo crítico se reporta de inmediato, sin esperar al informe.
- Informe: técnico y ejecutivo, con priorización por riesgo.
- Remediación y re-test: tu equipo corrige y el evaluador verifica que cada hallazgo quedó cerrado. Sin re-test no sabes si la corrección funcionó.
Qué debe contener un buen informe de pentesting
El informe es el producto que pagas. Antes de contratar, pide un informe de ejemplo anonimizado y verifica que incluya:
- Resumen ejecutivo en lenguaje de negocio: nivel de riesgo general, los tres o cuatro problemas que importan y qué decisión se necesita.
- Severidad estandarizada con CVSS (la versión 4.0 está vigente desde 2023) ajustada al contexto de tu negocio, no solo el puntaje bruto de la herramienta.
- Evidencia: peticiones y respuestas, capturas y datos de prueba que demuestran el impacto.
- Pasos de reproducción que tu equipo pueda seguir para confirmar la falla.
- Remediación concreta para tu stack, no un enlace genérico.
- Alcance y limitaciones: qué se probó, qué no y con qué cuentas.
Cómo elegir proveedor y señales de alerta
Pregunta qué metodología siguen (OWASP WSTG, MASTG, NIST SP 800-115), quién ejecuta las pruebas, cuántos días de trabajo manual incluye la propuesta y si el re-test está incluido. Las señales de alerta más comunes:
- Informe de cientos de páginas exportado de una herramienta, sin pasos de reproducción ni explotación confirmada.
- Precio fijo sin preguntar por roles, endpoints ni plataformas.
- Ningún hallazgo de autorización o lógica de negocio: son los que un escáner no encuentra.
- No piden autorización escrita ni definen reglas de enfrentamiento.
- Prometen "cero vulnerabilidades" o un "certificado de seguridad" tras la prueba.
Con qué frecuencia hacer un pentesting
La práctica habitual es una vez al año y después de cada cambio significativo: nueva app, nuevo módulo de pagos, migración de nube o rediseño de la autenticación. Si procesas tarjetas, PCI DSS v4.0.1 (requisito 11.4) exige pentesting interno y externo al menos cada 12 meses y tras cambios significativos, con re-test de las fallas explotables. Entre pruebas, integra controles automáticos en tu pipeline, como explicamos en DevSecOps en CI/CD. Y si manejas datos personales, el pentesting es una de las evidencias más claras de las medidas de seguridad que exige la LOPDP.
Preguntas frecuentes
¿Cuánto cuesta un pentesting en Ecuador?
Depende del alcance: número de aplicaciones, plataformas, roles de usuario, endpoints y entornos. Como referencia, el pentesting de una app móvil con su API suele partir de USD 2,500 y tomar de 1 a 3 semanas. Plataformas con iOS, Android, panel web y varias integraciones pueden requerir varias semanas más. Pide siempre una propuesta con alcance escrito, días de trabajo manual y re-test incluido.
¿Cuál es la diferencia entre un escaneo de vulnerabilidades y un pentesting?
Un escaneo es automático: detecta versiones vulnerables y configuraciones conocidas, con muchos falsos positivos y sin explotar nada. Un pentesting lo ejecuta un especialista que confirma cada falla, demuestra su impacto y prueba la lógica de negocio y la autorización entre usuarios, donde están los hallazgos más graves. El escaneo es higiene continua; el pentesting es una evaluación profunda periódica.
¿El pentesting puede afectar mi sistema en producción?
Con reglas de enfrentamiento bien definidas, el riesgo es bajo. Se acuerdan ventanas de prueba, se excluyen pruebas destructivas como la denegación de servicio y se prefiere un entorno de staging equivalente a producción. Cualquier prueba con riesgo de impacto se acuerda por escrito antes de ejecutarla, y un hallazgo crítico se comunica de inmediato.
¿Cada cuánto debo hacer un pentesting?
Al menos una vez al año y después de cada cambio significativo, como lanzar una app, añadir pagos, migrar de nube o cambiar la autenticación. Si procesas tarjetas, PCI DSS exige pruebas internas y externas al menos cada 12 meses y tras cambios significativos. Entre pruebas, conviene mantener escaneos automáticos en el pipeline de desarrollo.
¿Qué es un pentesting de caja gris?
Es una prueba en la que el evaluador recibe información parcial: usuarios de prueba para cada rol y documentación de la API, pero no el código fuente. Es el enfoque más eficiente para apps y APIs, porque permite probar si un usuario puede ver o modificar datos de otro, el tipo de falla más frecuente y grave, sin gastar días en reconocimiento a ciegas.
Conclusión
Un buen pentesting no se mide por el número de hallazgos sino por su utilidad: fallas confirmadas, priorizadas por riesgo real y con una ruta clara para corregirlas. Define bien el alcance, exige caja gris para apps y APIs, pide un informe de ejemplo y no aceptes un escaneo con otro nombre. Si quieres saber qué tan expuesta está tu app hoy, conoce nuestro servicio de ciberseguridad o agenda una consulta gratuita y te proponemos un alcance con precio cerrado.