Walkthroughs, publicaciones de CVE e investigaciones escritos por los especialistas que ejecutan, no por un equipo de contenidos que los parafrasea.
Protegido por reCAPTCHA. Se aplican la Política de Privacidad y las Condiciones del Servicio de Google.
Ya estás dentro.
La próxima Newsletter te llega el martes a tu bandeja de entrada.
No se ha podido enviar. Inténtalo otra vez o escríbenos.
Qué es el ciclo de vida de desarrollo seguro, qué se hace en cada fase, qué aportan SAST, DAST y SCA, y por dónde empezar si hoy no tenéis nada montado.
Qué riesgos trae la IA generativa en empresa, por qué la inyección de prompts no es el problema real y qué se prueba en un pentest de IA.
Qué es un pentest, qué fases tiene, qué recibes al final, cuánto dura y en qué se diferencia de un análisis de vulnerabilidades.
Cómo funciona el 2FA, qué métodos son fuertes y cuáles no, por qué el SMS ya no basta y cómo lo esquiva el phishing actual.
Cómo llega hoy el ransomware a una empresa, qué familias operan como servicio, qué determina el rescate y qué controles cortan la cadena.
Las amenazas que más afectan hoy a la empresa española, qué obligan NIS2, DORA y ENS, y por dónde entran de verdad los ataques.
Qué es la suplantación de identidad, en qué se diferencia de la usurpación, cómo se comete contra empresas y personas y qué hacer si ya ha pasado.
Qué mira una empresa antes de contratar seguridad ofensiva en España: alcance, metodología, certificaciones, entregable y retest.
Qué es un antimalware, en qué se diferencia del antivirus, cómo detecta amenazas y dónde se queda corto frente a EDR y XDR en empresa.
Guía práctica de ciberseguridad para empresas: qué medidas dan resultado, en qué orden implantarlas y cómo comprobar que funcionan.
La secuencia real de un pentest de red externa: alcance y rules of engagement, reconocimiento, análisis del perímetro, explotación, informe y retest, además de lo que el test no va a cubrir.
La secuencia de un pentest de red interna real: el punto de partida que acordamos, en qué se convierte una cuenta de dominio, qué recibes al final, cuánto dura y qué cosas no cubre el ejercicio a propósito.
La secuencia real de un proyecto de iOS o de Android: qué se acuerda antes del primer día, qué pasa en un dispositivo que controlamos nosotros, qué llega a tu servidor, qué recibes y las seis cosas que este test no cubre a propósito.
La secuencia real de un proyecto cloud: rules of engagement, reconocimiento externo, mapa de identidades, demostración de la cadena, informe y retest. Incluido lo que deja fuera a propósito.
Las siete fases de un pentest de aplicación web, qué tiene que estar listo antes del primer día, cuánto dura, qué recibes al final y qué cosas deja fuera a propósito.
Un relato claro de un pentest de API, de las rules of engagement al retest: qué pasa en cada fase, qué recibes al final y hasta dónde llega lo que este test te puede decir.
El proyecto que hay detrás del botón, fase por fase: cómo se fijan el alcance y las rules of engagement, qué cubre el reconocimiento en un sistema de IA, las cuatro capas de la fase técnica, cómo se demuestran y se informan los hallazgos, cuánto dura y qué deja fuera el test a propósito.
Las siete fases de un proyecto de Asperis, del alcance y las rules of engagement hasta el retest, con la norma que hay detrás de cada una, los rangos de duración con los que acotamos y una lista clara de lo que un pentest no cubre.
La secuencia real de un pentest wifi, de las rules of engagement al retest: qué pasa en cada fase, qué necesitas tener listo, cuánto dura y qué cosas no cubre este test a propósito.
Un producto conectado es hardware, firmware, una radio y un servidor cloud a la vez. Esta es la secuencia que recorremos en los cuatro, qué recibes, cuánto dura y dónde se para el test.
Qué hacer en las primeras horas tras un incidente en España: contención, evidencias, el plazo de 72 horas para notificar a la AEPD y qué exigen NIS2 y DORA.
Comparamos Hack The Box y TryHackMe: enfoque, niveles, comunidad y planes, y para qué sirve cada una si estás formando a un equipo de seguridad.
Qué tipo de conocimiento dan los cursos gratuitos de la academia de Cisco, dónde se acaba ese camino y cómo se sigue hacia la seguridad ofensiva.
Las siete fases de la Cyber Kill Chain de Lockheed Martin, su equivalencia con MITRE ATT&CK y en qué punto sale más barato cortar un ataque real.
Las familias de malware que se ven hoy en empresa, clasificadas por cómo se propagan y qué buscan, y qué hacer paso a paso si sospechas que un equipo está infectado.
Qué es la seguridad de red, cómo se organiza por capas, qué aportan la segmentación y el Zero Trust, y qué falla de verdad cuando se prueba desde dentro.
Qué es un controlador de dominio, qué papel juega en Active Directory, cómo convive hoy con Entra ID y por qué es el activo que todo atacante busca primero.
Cada martes recibirás las últimas noticias del mundo de la ciberseguridad.
Protegido por reCAPTCHA. Se aplican la Política de Privacidad y las Condiciones del Servicio de Google.
Ya estás suscrito.
Mira tu bandeja de entrada: la próxima Newsletter va de camino.
No se ha podido enviar. Inténtalo otra vez o escríbenos.
Publicamos investigación de gente de fuera del equipo: hallazgos, walkthroughs y análisis con datos reales detrás. La revisamos técnicamente de forma interna, y si cumple con lo que promete, se publica con tu nombre y tu enlace, no con el nuestro. Revisamos todo lo que llega; no publicamos todo lo que llega.
Lo que más nos preguntan antes de la primera llamada.
Una empresa de ciberseguridad boutique es un especialista pequeño que trabaja a mano: sus profesionales senior llevan cada proyecto de principio a fin, ningún proyecto se resuelve solo con escáner automático y ninguna venta cruzada de servicios defensivos diluye el trabajo principal. Suele tener entre cinco y cincuenta especialistas con certificación ofensiva sólida, y acepta menos proyectos al año que una gran consultora. Para las empresas europeas que se toman en serio su seguridad, eso importa porque el atacante al que te enfrentas no va a usar una plantilla de escanear y entregar, y el equipo que contratas para probarte tampoco debería.
En tres cosas. Primero, quién hace el trabajo: los especialistas senior que acotan tu proyecto son los que lo ejecutan, los que te explican los hallazgos uno a uno en nuestra plataforma y los que vuelven a probar tus correcciones. Tratas directamente con ellos. Y rotamos auditores entre proyectos, así que la siguiente mirada sobre el mismo alcance viene de alguien que no lo ha visto antes: quien ya mapeó un sistema empieza a leerlo como se lo explicaron y deja de cuestionar las partes que ya da por buenas, mientras que un auditor nuevo no da nada por supuesto. Segundo, disciplina de alcance: solo hacemos trabajo ofensivo (red team, pentesting y Dark Web Monitoring). No te vendemos SIEM, ni SOC gestionado, ni GRC. Tercero, la entrega: cada proyecto se cierra con un repaso en directo, no con un PDF dejado en una bandeja de entrada. El informe es la evidencia, no el producto.
Sí. Nuestra práctica de red team funciona igual sea cual sea el contexto normativo: varias semanas, dirigida a un objetivo, manual y de punta a punta contra tu entorno de producción real dentro del alcance acordado. Cuando el ejercicio se enmarca en TIBER-EU o en las disposiciones de DORA sobre pruebas de penetración basadas en amenazas (TLPT), trabajamos con tu función de control y con el representante del equipo blanco designado por el regulador, y entregamos conforme a los requisitos de evidencia y de informe del marco.
Sí, completamente gratis. Introduces el dominio de tu empresa y lo cruzamos con una fuente de inteligencia que se actualiza de forma continua: foros, paste sites, volcados de brechas, exposición de credenciales y exposición de directivos. Los resultados te llegan al correo. Sin tarjeta, sin suscripción automática y sin llamada comercial de seguimiento, salvo que la pidas. Es gratis porque responde a una pregunta concreta (¿hay algo nuestro ya expuesto?) y esa conversación tiende a llevar de forma natural a otra más larga si la exposición es lo bastante seria como para actuar.
Especialistas senior en seguridad ofensiva. Nuestro equipo tiene las certificaciones OSCP, OSCE³, OSWE, OSEP, CRTO y CRTP, y la mayoría ha trabajado antes dentro de equipos de seguridad de grandes empresas o en unidades de red team orientadas a investigación. Somos contribuidores verificados del Bug Bounty de la NASA, lo que significa que nuestros hallazgos sobre un objetivo aeroespacial público cumplen un listón de calidad publicado y revisado por el equipo de seguridad de la NASA. En cuanto a sectores, nuestros especialistas han ejecutado proyectos en fintech, sanidad, SaaS, energía, industria y administración pública española.
Elige la hora que mejor te venga. Nos cuentas qué necesitas y en qué punto estás, y te explicamos cómo trabajamos y de qué forma podemos ayudarte.
