La investigación parte del activo crítico que no puede ser comprometido y correlaciona las rutas capaces de llegar hasta él — técnicas, de identidad, de regla de negocio y de proceso.
El EHT empieza por el objetivo adversarial, no por la URL — la investigación parte del activo crítico que no puede ser comprometido y correlaciona las rutas capaces de llegar hasta él — técnicas, de identidad, de regla de negocio y de proceso.
Contratar a Berghem como empresa de pentesting le da acceso a un equipo ofensivo brasileño, con sede en São Paulo, que ejecuta pruebas de penetración manuales orientadas por un objetivo adversarial. Recibe evidencias reproducibles, severidad CVSS, hoja de ruta de corrección y repruebas incluidas — con metodología OWASP, MITRE ATT&CK y NIST SP 800-115 para reducir el riesgo de negocio, no solo generar una lista de hallazgos.
Un engagement de EHT de Berghem genera la evidencia técnica que esperan los reguladores brasileños: hallazgos reproducibles, severidad CVSS y una hoja de ruta de remediación que se conectan con las obligaciones de seguridad de la LGPD, las resoluciones de ciberseguridad del BACEN/CMN (incluida la 4.893), PCI DSS y los controles de ISO 27001. Recibe prueba de riesgo explotable, no un checkbox de cumplimiento.
Si sus aplicaciones, usuarios o datos están en Brasil, un equipo en São Paulo prueba en su zona horaria, lee las regulaciones en su idioma original y conoce el panorama local de amenaza y fraude. Berghem entrega EHT manual y adversarial, alineado con normas brasileñas e internacionales, comunicando los hallazgos con claridad a las áreas técnicas y de negocio.
Una prueba de penetración (pentest) es la simulación autorizada de un ataque real contra aplicaciones, APIs, redes y nube para probar, con evidencia, qué fallas explotaría un adversario y cuál sería el impacto en el negocio. A diferencia de un escaneo automatizado, el pentest combina técnica manual, encadenamiento de vectores y prueba de impacto controlada, siempre dentro de reglas de enfrentamiento acordadas.
Leer: qué es un pentest · Tipos de pentest
Cada plan evoluciona en metodología, alcance y duración de pruebas de revisión — no en volumen de promesas. Compare y elija según el modelo de amenazas que necesita cubrir.
Startups y Cumplimiento
Alcance de CumplimientoOWASP Top 10 · Controles alineados con LGPD · baseline de controles ISO 27001 · Controles PCI-DSS esencialesEntornos Críticos
Entornos Críticos y Regulados
Un pentest no tiene precio fijo: depende de factores de alcance y profundidad, no de una tabla única. Describa su entorno y recomendamos el nivel adecuado antes de cualquier presupuesto. Los principales factores de costo son:
Leer: cuánto cuesta un pentest
Las pruebas de penetración cubren distintos objetivos, cada uno con su metodología y superficie de ataque. Berghem define el alcance de engagements de web, API, red, mobile y cloud — por separado o combinados — para que la prueba corresponda a su exposición real.
Dimensionamos el engagement por esfuerzo, no por una tabla fija. Los rangos indicativos dependen de los factores siguientes; confirmamos el alcance exacto tras evaluar su entorno. No se compromete ningún valor antes de esa evaluación.
Cada engagement termina en un informe accionable. El entregable de pentest de Berghem combina un resumen ejecutivo para tomadores de decisión con una sección técnica que permite a los equipos reproducir y corregir cada hallazgo.
Alcances de pentest: Pentest de API · Pentest de Cloud · Pentest Mobile · Pentest de Red
Validación ofensiva manual conducida por especialistas en seguridad ofensiva — no es escaneo automatizado de checklist.
Startups validando lanzamiento, empresas en cumplimiento y bancos con exposición crítica.
Informe con evidencias, severidad CVSS, hoja de ruta de corrección y repruebas incluidas.
Cada engagement genera evidencias reproducibles: payload, solicitud, respuesta del objetivo, prueba de impacto. Este es un extracto de una sesión Gold real (saneada).
# 14:32:07 — Reconhecimento da superfície de aplicação $ berghem-recon --target app.cliente.com.br --depth 3 [+] 142 endpoints · 8 com input dinâmico · 3 com auth quebrada # 14:47:21 — Identificada lógica de autorização por parâmetro de URL $ curl -s "https://app.cliente.com.br/api/v2/orders?account_id=1043" { "status": "ok", "items": [ { "id": 88291, "value": 14580.00 } ] } # 14:48:02 — IDOR confirmado: troca account_id devolve dados de terceiros $ curl -s "https://app.cliente.com.br/api/v2/orders?account_id=1042" { "status": "ok", "items": [ { "id": 88112, "value": 9230.50, "owner": "outro_cliente" } ] } # 14:51:14 — Severidade: ALTA · CVSS 8.1 · Exploração: trivial · Escopo: PII + transações [✓] Evidência capturada · ticket BRG-2826 aberto · cliente notificado em <15min
Combinamos OWASP, NIST SP 800-115 y PTES con nuestra experiencia ofensiva — sin black-box mágico, sin alcance elástico.
Alcance, reglas de combate, autorización escrita, ventanas y contactos.
Superficie de ataque: activos, subdominios, integraciones, leaks.
Tecnologías, versiones, endpoints, flujos de autenticación y datos.
Validación manual, encadenamiento de vectores, prueba de impacto.
Movimiento lateral y escalada en el perímetro autorizado.
Hallazgos priorizados, evidencias, hoja de ruta ejecutiva y técnica.
Sin letra pequeña. Lo que está marcado se ejecuta y documenta en el informe final.
| Área de prueba | Silver | Gold | Diamond |
|---|---|---|---|
| OWASP Top 10 (Web) | ● | ● | ● |
| OWASP API Security Top 10 | ◐ | ● | ● |
| OWASP ASVS Nivel 2 | — | ● | ● |
| OWASP ASVS Nivel 3 (completo) | — | — | ● |
| Modelado de amenazas STRIDE | — | ● | ● |
| Análisis de lógica de negocio | — | ● | ● |
| Detección de fraude transaccional | — | — | ● |
| Análisis asistido por código fuente | — | — | ● |
| Mapeo PCI-DSS / ISO 27001 | — | ◐ | ● |
| Add-on Seguridad de IA / LLM | ◐ | ● | ● |
| Repruebas | 1 en 30 días | 2 en 90 días | Ilimitadas / 6 meses |
Son enfoques complementarios. La diferencia está en el punto de partida, en la metodología y en el criterio de éxito.
Empieza por un activo, aplicación, API o infraestructura.
Empieza por el objetivo adversarial y por el activo crítico del negocio.
Berghem estructura misiones orientadas al negocio en cuatro dimensiones conectadas.
Dinero, datos, identidad, operación crítica, confianza y secretos.
Especialistas, agentes, modelos, herramientas y fuentes autorizadas.
Tecnología, identidades, reglas, procesos, controles y contexto.
Acciones registradas, impacto comprensible, reproducción y recomendación.
La misión termina cuando se alcanza el criterio de evidencia o cuando un límite exige intervención humana.
La metodología de ethical hacking test aplicada a modelos, agentes e integraciones de IA.
Nuestros consultores de seguridad evaluarán su entorno, requisitos de cumplimiento y perfil de riesgo para recomendar el plan ideal para su organización.
Hablar con un Especialista