'Pentesting': aprender a pensar como el enemigo para blindar la ciberseguridad

Es una herramienta muy efectiva, pero exige máxima precisión en su ejecución. «Un test de penetración mal ejecutado entraña riesgos importantes», advierte Víctor Ronco, CEO de Zerod. «Si no se planifica con precisión, un ataque simulado puede saturar sistemas críticos, corromper bases de datos o interrumpir servicios esenciales», asegura. También existe el peligro de que la información recopilada quede expuesta si no se gestiona con controles rigurosos, añade el consejero delegado de Zerod.

La inteligencia artificial (IA) no ha sustituido el papel de los 'pentesters', aunque sí ha cambiado su manera de operar. Luis Corrons, experto de Gen, observa que muchas tareas antes laboriosas, como mapear sistemas o preparar 'exploits', ahora pueden automatizarse en pocos días. Aun así, advierte, la creatividad y el criterio humano continúan siendo insustituibles a la hora de analizar resultados y decidir los siguientes pasos.

Noticia Relacionada

'Insiders', el gran enemigo de la ciberseguridad está de puertas adentro

Adrián Espallargas

Ya sean por descuido, negligencia, despecho o ánimo de lucro, los ataques propiciados por trabajadores desde el interior de la empresa se han convertido en el gran coladero para los sistemas de protección

La inteligencia artificial ha rebajado de forma notable la barrera de entrada para lanzar ataques complejos. Jesús Alcalde, CTO de Flameera, apunta en este sentido que ahora «es habitual ver campañas 'de phishing' escritas con un lenguaje impecable y adaptadas al perfil de la víctima, lo que hace mucho más difícil detectar el engaño. A esto se suman 'deepfakes' de voz y páginas falsas que replican con detalle extremo la imagen de empresas legítimas».

La inteligencia artificial no se limita a fortalecer a los atacantes. Según Jesús Alcalde, está abriendo la puerta «a una ciberseguridad más proactiva, con sistemas capaces de aprender patrones normales y detectar comportamientos anómalos antes de que escalen en amenazas». Pese a todo, coincide en que el conocimiento humano «sigue siendo crucial para interpretar las señales y tomar decisiones con criterio».

Aunque cada sector tiene sus peculiaridades, Guillermo González, director de Technology Risk & Cibersecurity de KPMG en España, subraya que «muchos fallos parten del uso de sistemas obsoletos o sin actualizar, que se convierten en puertas de entrada habituales para los atacantes». También influye la presión por lanzar plataformas al mercado sin haberlas probado ni protegido de forma suficiente, «lo que genera riesgos difíciles de subsanar más adelante».

Precisamente por este motivo, el 'pentesting' actúa como una simulación realista que permite comprobar si las defensas funcionan de verdad. No obstante, González advierte de que «no debe quedarse en un trámite rutinario: en entornos complejos, sigue siendo clave la experiencia de analistas capaces de identificar rutas de ataque que la automatización por sí sola no detecta».

El perfil de un ingeniero de 'pentesting' «ha cambiado de forma notable», señala Marc Rivero, Lead Security Researcher de Kaspersky. Aunque la figura clásica del hacker ético sigue existiendo, «hoy se requieren competencias más amplias que incluyen el conocimiento de entornos cloud, contenedores, IoT y normativa especializada. Cada vez es más habitual que estos profesionales cuenten con titulaciones regladas y certificaciones como OSCP o CEH». Además, el Lead Security Researcher de Kaspersky destaca que el 'pentester' actual trabaja integrado en equipos corporativos y participa en procesos continuos de mejora de la seguridad.

Para Mastercard, la prevención es la base de cualquier estrategia de seguridad. La compañía recuerda que el 'pentesting' permite detectar fallos antes de que un atacante los aproveche, pero advierte que no basta con la tecnología. Si los equipos no están formados y concienciados, la reacción ante un incidente será siempre insuficiente, por mucho que se invierta en herramientas sofisticadas.

Revisar el código de aplicaciones, detectar vulnerabilidades y generar correcciones en tiempo récord. Son tareas que, hasta hace poco, requerían semanas de trabajo manual. José Manuel Moreno Guerra, director de Ciberseguridad en NTT DATA, apunta que «la IA generativa está cambiando ese escenario». Según explica, «esta tecnología ya actúa como un asistente que automatiza procesos repetitivos y libera a los especialistas para centrarse en actividades estratégicas». Con la evolución de los agentes inteligentes, prevé que estas capacidades seguirán ampliándose este año.

Moreno Guerra apunta que muchas empresas siguen mostrando reticencias a incorporar servicios de 'pentesting', «sobre todo por desconocimiento o barreras culturales». Algunas organizaciones temen que estas pruebas «pongan en evidencia el trabajo de sus equipos técnicos». A esto se suma el factor económico, ya que no siempre se percibe un retorno directo de la inversión. Sin embargo, subraya que «identificar riesgos a tiempo resulta clave para evitar ataques y fortalecer la resiliencia».

Todavía hay pymes que perciben el 'pentesting' como un servicio reservado a las grandes corporaciones. Marc Rivero, de Kaspersky, lamenta que no sea solo cuestión de presupuesto: pesa tanto el desconocimiento como la falta de una cultura preventiva. Muchas empresas prefieren esperar a sufrir un incidente antes de actuar. Además, la ausencia de perfiles técnicos que sepan elegir proveedores o interpretar informes complica aún más su adopción.

Guillermo González, de KPMG en España, sostiene que el 'pentesting' ha dejado de ser un recurso limitado a grandes compañías y se está consolidando como una práctica estratégica también entre empresas medianas. Según explica, la presión normativa de estándares como NIS2 o DORA y el aumento de los ciberataques en España, uno de los países más afectados de Europa, están llevando a más organizaciones a destinar presupuesto a pruebas periódicas de detección y prevención.

Por su parte, Andrés de Benito, de Capgemini España, señala que el nivel de protección «varía mucho según el sector y el tamaño de la empresa. Mientras las entidades financieras y de infraestructuras críticas muestran un grado de madurez elevado, muchas pymes siguen siendo más vulnerables. Subraya que la seguridad reactiva ya no es suficiente: anticiparse a las amenazas es esencial para garantizar la continuidad del negocio ante cualquier incidente.

Víctor Ronco, de Zerod, recuerda que el 'pentesting' es una simulación controlada que reproduce técnicas de ataque real –como escalado de privilegios o 'phishing'– «pero siempre bajo autorización y con un propósito constructivo». A diferencia de una intrusión ilegal, «que persigue un beneficio malicioso, estas pruebas siguen un contrato que delimita su alcance y culminan con un plan detallado de remediación», subaraya este experto.

En definitiva, el 'pentesting' ha evolucionado desde un recurso casi anecdótico hasta convertirse en un componente esencial de la ciberseguridad moderna. La combinación de inteligencia artificial, talento experto y cultura preventiva permite anticiparse a amenazas cada vez más sofisticadas. Aunque ninguna defensa es infalible, contar con pruebas periódicas y rigurosas puede marcar la diferencia entre un susto controlado y un incidente con consecuencias irreversibles.

Desde Mastercard recuerdan en todo caso que ninguna tecnología, por avanzada que sea, puede sustituir la necesidad de una cultura de seguridad bien arraigada. El 'pentesting' es solo una pieza de un ecosistema más amplio que requiere formación constante, protocolos actualizados y una implicación real de todos los niveles de la organización.

Al final, esta combinación de prevención, concienciación y compromiso continuo es lo que permite reducir de manera sostenible el riesgo y reforzar la confianza de clientes y socios en un entorno digital cada vez más expuesto y en el que las amenazas se sofistican.