Seguridad Ofensiva · España & Europa
Offensive Security · Spain & Europe
La mayoría de las organizaciones cierran la oficina y esperan que todo siga intacto. hacketico.es le da algo más valioso que un informe: certeza.
Most organisations lock up and hope everything stays intact. hacketico.es gives you something more valuable than a report: certainty.
Por qué actuar ahora
Why act now
Quién soy
About me
En las grandes consultoras de seguridad usted paga por el logo en el membrete — pero el consultor que aprende su entorno es sustituido la siguiente vez. Cada cambio le hace perder el conocimiento acumulado. Y precisamente ese conocimiento es lo que distingue una buena prueba de penetración de un escaneo automatizado.
At large security consultancies you pay for the logo on the letterhead — but the consultant who learns your environment is replaced next time. Every handover costs you accumulated knowledge. That knowledge is precisely what distinguishes a good penetration test from an automated scan.
Mi carrera comenzó en los servicios de inteligencia y fuerzas de seguridad del Estado holandés — entornos donde el error no es una opción. Ese mismo nivel de rigor lo aplico en cada proyecto.
My career began in Dutch intelligence and law enforcement — environments where error is not an option. I apply that same rigour to every engagement.
He trabajado para la Administración Pública holandesa, el Ministerio de Defensa, el sector financiero, la sanidad y la biotecnología. Cada auditoría incluye NDA, informe ejecutivo y técnico, y debriefing sin coste adicional.
I have worked for the Dutch Government, Ministry of Defence, financial sector, healthcare and biotech. Every audit includes NDA, executive and technical report, and debriefing at no extra charge.
Servicios
Services
Cada servicio está diseñado para darle conocimiento aplicable. El debriefing está incluido en todos.
Every service is designed to give you actionable knowledge. Debriefing included with every service.
Test de intrusión completo — caja negra, gris y blanca. Simulo lo que haría un atacante real: desde el reconocimiento inicial hasta la explotación de sistemas internos, pasando por el movimiento lateral y la escalada de privilegios.
Full intrusion testing — black, grey and white box. I simulate what a real attacker would do: from initial reconnaissance through exploitation of internal systems, lateral movement and privilege escalation.
Cada prueba concluye con un informe ejecutivo (para dirección) y un informe técnico detallado (para su equipo IT), más una sesión de debriefing sin coste adicional en la que explico cada hallazgo y la remediación recomendada.
Every test concludes with an executive report (for management) and a detailed technical report (for your IT team), plus a complimentary debriefing session where I walk through every finding and recommended remediation.
Solicitar presupuesto →Qué incluye
What's included
✔ Reconocimiento OSINT e ingeniería social pasiva
✔ Escaneo y enumeración de servicios
✔ Explotación controlada con evidencia documentada
✔ Movimiento lateral y escalada de privilegios
✔ Informe ejecutivo + técnico
✔ Debriefing incluido
✔ NDA estándar
✔ OSINT reconnaissance and passive social engineering
✔ Service scanning and enumeration
✔ Controlled exploitation with documented evidence
✔ Lateral movement and privilege escalation
✔ Executive + technical report
✔ Debriefing included
✔ Standard NDA
Simulación APT realista — no un escaneo, sino una campaña ofensiva completa diseñada para poner a prueba personas, procesos y tecnología al mismo tiempo. Phishing dirigido, ingeniería social presencial o telefónica, OSINT avanzado y explotación encadenada.
Realistic APT simulation — not a scan, but a full offensive campaign designed to simultaneously test people, processes and technology. Targeted phishing, in-person or telephone social engineering, advanced OSINT and chained exploitation.
El objetivo no es solo entrar, sino demostrar hasta dónde podría llegar un adversario real — y qué controles fallaron en el camino.
The objective is not only to get in, but to demonstrate how far a real adversary could go — and which controls failed along the way.
Solicitar presupuesto →Qué incluye
What's included
✔ OSINT avanzado (empresa, empleados, proveedores)
✔ Campañas de phishing y vishing personalizadas
✔ Explotación de vulnerabilidades encadenadas
✔ Movimiento lateral y persistencia
✔ Informe narrativo del ataque paso a paso
✔ Recomendaciones para Blue Team
✔ Debriefing incluido
✔ Advanced OSINT (company, employees, suppliers)
✔ Custom phishing and vishing campaigns
✔ Chained vulnerability exploitation
✔ Lateral movement and persistence
✔ Step-by-step attack narrative report
✔ Blue Team recommendations
✔ Debriefing included
Auditoría manual en profundidad de aplicaciones web y APIs (REST, GraphQL, WebSocket). Los escáneres automáticos detectan patrones conocidos — yo encuentro los fallos en la lógica de negocio, los controles de acceso mal implementados y los flujos de autenticación rotos que ningún escáner ve.
In-depth manual audit of web applications and APIs (REST, GraphQL, WebSocket). Automated scanners detect known patterns — I find flaws in business logic, poorly implemented access controls and broken authentication flows that no scanner sees.
Cubro toda la lista OWASP Top 10 y OWASP API Security Top 10, más pruebas específicas para su aplicación basadas en el análisis de la lógica de negocio.
I cover the full OWASP Top 10 and OWASP API Security Top 10, plus application-specific tests based on business logic analysis.
Solicitar presupuesto →Qué incluye
What's included
✔ OWASP Top 10 completo
✔ OWASP API Security Top 10
✔ Lógica de negocio y flujos de autorización
✔ Autenticación, JWT, OAuth y sesiones
✔ Inyecciones (SQL, NoSQL, SSTI, XXE)
✔ Pruebas de subida de archivos y SSRF
✔ Informe con PoC por vulnerabilidad
✔ Full OWASP Top 10
✔ OWASP API Security Top 10
✔ Business logic and authorisation flows
✔ Authentication, JWT, OAuth and sessions
✔ Injections (SQL, NoSQL, SSTI, XXE)
✔ File upload and SSRF testing
✔ Report with PoC per vulnerability
Auditoría técnica orientada al regulador. NIS2 exige que las organizaciones demuestren controles de seguridad adecuados — no basta con decirlo, hay que poder probarlo. DORA exige pruebas TLPT para entidades financieras desde enero de 2025.
Technical audit built for regulators. NIS2 requires organisations to demonstrate adequate security controls — it is not enough to say so, you must be able to prove it. DORA requires TLPT testing for financial entities since January 2025.
Le entrego un informe que puede presentar directamente ante el regulador o su auditor externo, con control mapping, gap analysis y una hoja de ruta de remediación priorizada por riesgo e impacto.
I deliver a report you can present directly to the regulator or your external auditor, with control mapping, gap analysis and a remediation roadmap prioritised by risk and impact.
Solicitar presupuesto →Qué incluye
What's included
✔ Mapeo de controles NIS2 / DORA / GDPR / ISO 27001
✔ Gap analysis contra el marco regulatorio aplicable
✔ Prueba técnica de los controles (pentesting)
✔ Informe listo para presentar al regulador
✔ Hoja de ruta de remediación priorizada
✔ Debriefing con dirección y área legal
✔ Seguimiento post-remediación opcional
✔ NIS2 / DORA / GDPR / ISO 27001 control mapping
✔ Gap analysis against applicable regulatory framework
✔ Technical control testing (pentesting)
✔ Report ready to present to the regulator
✔ Prioritised remediation roadmap
✔ Debriefing with management and legal team
✔ Optional post-remediation follow-up
Revisión de seguridad en AWS, Azure y GCP. La nube permite mover rápido — y equivocarse rápido. Un bucket S3 mal configurado, un rol IAM demasiado permisivo o un grupo de seguridad abierto pueden exponer toda su infraestructura.
Security review in AWS, Azure and GCP. The cloud enables moving fast — and making mistakes fast. A misconfigured S3 bucket, an overly permissive IAM role or an open security group can expose your entire infrastructure.
Reviso la configuración real de su entorno cloud — no solo los ajustes del panel de control, sino los permisos efectivos, las políticas de acceso y la exposición real a internet.
I review the real configuration of your cloud environment — not just dashboard settings, but effective permissions, access policies and actual exposure to the internet.
Solicitar presupuesto →Qué incluye
What's included
✔ Revisión de configuración IAM y políticas
✔ Análisis de exposición pública (buckets, blobs, repos)
✔ Revisión de grupos de seguridad y firewalls
✔ Análisis de secretos en entornos y código
✔ CIS Benchmarks para AWS / Azure / GCP
✔ Informe técnico con remediación por criticidad
✔ Debriefing incluido
✔ IAM configuration and policy review
✔ Public exposure analysis (buckets, blobs, repos)
✔ Security group and firewall review
✔ Secrets analysis in environments and code
✔ CIS Benchmarks for AWS / Azure / GCP
✔ Technical report with remediation by severity
✔ Debriefing included
Director de seguridad externo (vCISO) para organizaciones que necesitan liderazgo en seguridad sin el coste de un CISO a tiempo completo. Traduzco el riesgo técnico en lenguaje de negocio, ayudo a priorizar inversiones y garantizo que su estrategia de seguridad tenga continuidad.
External security director (vCISO) for organisations that need security leadership without the cost of a full-time CISO. I translate technical risk into business language, help prioritise investments and ensure your security decisions are sustainable.
También ofrezco asesoramiento puntual en arquitectura de seguridad, revisión de proveedores y due diligence técnica para adquisiciones o inversiones.
I also offer targeted advice on security architecture, vendor review and technical due diligence for acquisitions or investments.
Solicitar presupuesto →Qué incluye
What's included
✔ Evaluación del nivel de madurez de seguridad
✔ Estrategia y hoja de ruta de seguridad
✔ Revisión de arquitectura y proveedores
✔ Gestión de riesgos y comunicación a dirección
✔ Due diligence técnica (M&A, inversión)
✔ Formación y concienciación para equipos
✔ Disponible por horas o retainer mensual
✔ Security maturity assessment
✔ Security strategy and roadmap
✔ Architecture and vendor review
✔ Risk management and board communication
✔ Technical due diligence (M&A, investment)
✔ Team training and awareness
✔ Available hourly or monthly retainer
Cómo trabajo
How I work
OSINT, fingerprinting y análisis de superficie de ataque.
OSINT, fingerprinting and attack surface analysis.
Identificación de vulnerabilidades y enumeración de servicios.
Vulnerability identification and service enumeration.
Explotación controlada con evidencia documentada.
Controlled exploitation with documented evidence.
Movimiento lateral, escalada de privilegios y exfiltración simulada.
Lateral movement, privilege escalation and simulated exfiltration.
Informe ejecutivo + técnico con remediación priorizada.
Executive + technical report with prioritised remediation.
Normativa
Compliance
Las organizaciones que no demuestren controles técnicos adecuados se enfrentan a sanciones severas. Las pruebas de penetración periódicas son la evidencia que los reguladores exigen.
Organisations that fail to demonstrate adequate technical controls face severe sanctions. Periodic penetration testing is the evidence regulators require.
Obligatoria para sector público, energía, transporte, sanidad y finanzas. Exige pentesting periódico.
Mandatory for public sector, energy, transport, health and finance. Requires periodic pentesting.
Pruebas TLPT obligatorias para entidades financieras en la UE desde enero de 2025.
TLPT testing mandatory for EU financial entities since January 2025.
Las brechas técnicas pueden constituir infracción del RGPD. El pentesting acredita la diligencia debida.
Technical breaches may constitute GDPR violations. Pentesting documents your required due diligence.
Anexo A.12.6.1: gestión de vulnerabilidades técnicas. El pentesting es el estándar de facto.
Annex A.12.6.1: technical vulnerability management. Pentesting is the de facto standard.
Experiencia sectorial directa
Direct sector experience
Primer paso
First step
Agende una reunión de 45 minutos. Revisamos su entorno, identificamos los mayores riesgos y definimos un alcance. Al final tendrá una imagen más clara de dónde está — aunque después decida no hacer nada más.
Schedule a 45-minute meeting. We review your environment, identify the biggest risks and define a scope. Afterwards you will have a clearer picture of where you stand — even if you then decide to do nothing further.
Sin compromiso · Sin discurso de ventas · ¿No está seguro de si esto es relevante para usted? Eso es exactamente la razón para llamar ahora.
No commitment · No sales pitch · Not sure if this is relevant for you? That is exactly the reason to call now.