Cómo saber si tu empresa está expuesta en internet sin contratar un pentest
Resume este artículo con tu IA
Descubre qué ve un atacante de tu empresa sin hacer un pentest: dominios, servicios abiertos, credenciales filtradas y datos de empleados en fuentes públicas.
Puedes conocer buena parte de tu exposición sin ninguna prueba intrusiva y sin autorización especial. La superficie que ve un atacante se compone de información pública: dominios y subdominios activos, servicios abiertos, certificados, tecnologías identificables, credenciales filtradas y datos de empleados en fuentes abiertas. Todo eso se revisa desde fuera, sin tocar tus sistemas y sin riesgo de caída.
Un atacante empieza mirando, y tú puedes mirar lo mismo antes que él
Existe una idea extendida de que un ataque comienza con alguien lanzando herramientas contra tu web. En la práctica, la primera fase es mucho más silenciosa: reconocimiento.
Durante días o semanas, quien prepara un ataque recopila lo que tu organización publica de forma involuntaria. Qué dominios tienes. Qué servicios responden. Qué tecnología usas y en qué versión. Quién trabaja contigo, con qué formato de correo y quién firma las facturas.
Esa fase ocurre fuera de tus sistemas, consultando registros públicos, certificados, buscadores especializados y filtraciones anteriores. Y ahí está la oportunidad: es exactamente la misma información que tú puedes consultar sobre ti mismo, con las mismas fuentes y en menos tiempo.
Se puede ver más de lo que la mayoría de empresas imagina
Dominios y subdominios olvidados. Entornos de pruebas que quedaron publicados, webs de campañas antiguas, paneles de administración accesibles desde internet. Completar esta lista suele ser el primer hallazgo valioso del ejercicio.
Servicios y puertos expuestos. Acceso remoto, escritorios, paneles de gestión, bases de datos que alguien abrió «temporalmente» hace dos años.
Certificados y tecnologías. Los certificados son públicos por diseño y revelan nombres de servidores internos. Las cabeceras y respuestas identifican versiones de software, lo que permite cruzarlas con vulnerabilidades conocidas.
Credenciales filtradas. Correos corporativos y contraseñas aparecidos en brechas de terceros. Si algún empleado reutilizó la contraseña del trabajo en un servicio personal que sufrió una filtración, esa credencial circula y conviene rotarla cuanto antes.
Información de personas. Perfiles públicos, organigramas deducibles, formato de correo corporativo y quién ocupa puestos financieros. Es la materia prima del fraude al CEO y del phishing dirigido.
La diferencia con un pentest: qué ve el atacante frente a qué consigue
Conviene no confundir dos servicios que responden a preguntas distintas:
| Análisis de exposición | Pentest | |
|---|---|---|
| Pregunta que responde | ¿Qué ve un atacante antes de intentar nada? | ¿Qué consigue si lo intenta? |
| Intrusividad | Ninguna: solo fuentes públicas | Activa sobre tus sistemas |
| Autorización necesaria | No requiere ventana ni permisos especiales | Autorización formal por escrito |
| Plazo típico | Días | Semanas |
| Riesgo de afectar a producción | Nulo | Bajo, pero existe |
| Cuándo encaja | Cuando aún no hay un mapa del terreno | Cuando ya sabes qué proteger |
La secuencia lógica es hacer primero el análisis de exposición. Es rápido, se puede lanzar sin fricción interna y suele revelar suficiente trabajo útil como para ocupar el trimestre.
El hallazgo más frecuente es algo que ya existía y estaba fuera del inventario
En la mayoría de los análisis, el resultado más revelador suele ser sorprendentemente sencillo: un servidor que un proveedor montó para una prueba y sigue en pie, un subdominio de una campaña de 2021 que aún responde, o veinte credenciales corporativas circulando en filtraciones antiguas.
Esos elementos quedaron fuera del inventario porque se crearon para algo puntual y la organización siguió adelante. Y es justamente ahí donde conviene mirar primero: la puerta que vigilas está cubierta; la que aparece en el análisis es la que puedes cerrar hoy mismo.
Qué hacer con los hallazgos, en orden de urgencia
- Retirar lo que ya no presta servicio. Entornos de prueba, paneles y servicios en desuso. Es la medida más barata y la de mayor efecto inmediato.
- Rotar las credenciales filtradas y activar autenticación multifactor en todos los accesos remotos. Con MFA activo, una credencial filtrada deja de ser una vía de entrada.
- Actualizar lo identificable como obsoleto, priorizando lo que da servicio hacia internet.
- Documentar el inventario resultante. El análisis te entrega algo muy útil: la lista real de lo que expones.
- Repetir la revisión de forma periódica. Cada servicio nuevo publicado cambia tu superficie al día siguiente.
Se mide de forma continua porque la superficie cambia sola
Un análisis puntual describe tu empresa en una fecha concreta. Tres meses después, la realidad es distinta: ha entrado gente nueva, se ha publicado una landing, un proveedor ha levantado un entorno y alguien ha abierto un puerto para resolver una urgencia.
Por eso la exposición se trata como una métrica viva. El indicador útil es «cuánto tardamos en detectar y cerrar cada nuevo elemento expuesto», más que el recuento de hallazgos de una fecha concreta.
Preguntas frecuentes
Sí, siempre que se limite a fuentes públicas y deje fuera las pruebas activas contra los sistemas. Funciona sin generar carga, sin autorización de terceros y con riesgo nulo de caída.
Una parte sí, con herramientas públicas. Lo que suele marcar la diferencia es la interpretación: distinguir el hallazgo relevante del ruido y traducirlo a un plan de acción priorizado.
De forma continua si es posible, y como mínimo trimestral. Tras cualquier lanzamiento, adquisición o cambio de proveedor, conviene revisar de inmediato.
