Un banco no compra una prueba de intrusión para obtener un informe. La compra para comprobar si un atacante puede comprometer datos de clientes, movimientos financieros, credenciales privilegiadas o servicios críticos antes de que ocurra un incidente. Por eso, ante la pregunta de cuánto cuesta prueba intrusión, la respuesta responsable no es una tarifa única: depende del riesgo que debe validarse, del alcance real y de la profundidad técnica requerida.

En el sector financiero, elegir la opción más barata puede producir una falsa sensación de seguridad. Un ejercicio limitado, sin validación de explotación ni revisión de rutas de fraude, puede detectar vulnerabilidades conocidas, pero dejar fuera los escenarios que más afectan a la continuidad, la confianza y el cumplimiento regulatorio.

¿Cuánto cuesta una prueba de intrusión?

Como referencia de mercado, una prueba de intrusión externa con alcance acotado puede situarse aproximadamente entre USD 8.000 y USD 20.000. Una evaluación de aplicaciones web, portales transaccionales o APIs puede oscilar entre USD 12.000 y USD 35.000, según el número de funcionalidades, perfiles de usuario e integraciones.

Cuando el alcance incluye red interna, Active Directory, infraestructura híbrida, entornos en nube, aplicaciones críticas y validación de movimientos laterales, el presupuesto suele partir de USD 20.000 y puede superar los USD 60.000. Un ejercicio de red team, diseñado para reproducir técnicas de adversarios reales durante varias semanas y evaluar capacidades de detección y respuesta, puede costar entre USD 60.000 y más de USD 150.000.

Estos rangos son orientativos. En Estados Unidos, los precios tienden a ser superiores por costes operativos y exigencias regulatorias. En América Latina, el valor puede variar según el país y la disponibilidad de especialistas, pero una diferencia de precio no debe interpretarse automáticamente como una diferencia de calidad. Lo decisivo es la metodología, la experiencia del equipo y la evidencia que entrega sobre la exposición efectiva de la entidad.

Qué factores determinan el presupuesto de un pentest

El número de activos es solo una parte de la ecuación. Un portal con pocas direcciones públicas puede concentrar un riesgo mucho mayor que una red extensa si procesa pagos, administra información personal o conecta con proveedores esenciales.

Alcance técnico y superficie expuesta

Una prueba de caja negra parte de la información disponible para un atacante externo. Requiere más tiempo de reconocimiento y simula una intrusión con conocimiento limitado. Una evaluación de caja gris incorpora credenciales o documentación parcial, mientras que la caja blanca permite analizar arquitectura, código, configuraciones y controles con mayor detalle.

Cada enfoque responde a una pregunta distinta. Si la prioridad es conocer la exposición pública de la institución, una prueba externa puede ser adecuada. Si se necesita validar qué puede hacer un usuario comprometido, un proveedor con acceso remoto o un empleado malicioso, será necesario incluir escenarios internos y credenciales controladas.

También cambian el esfuerzo y el coste cuando entran en alcance aplicaciones móviles, APIs, conexiones con procesadores de pago, entornos cloud, VPN, correo corporativo, dispositivos de red y mecanismos de autenticación multifactor. No basta con contar sistemas: hay que identificar los caminos que los conectan.

Criticidad de los procesos financieros

No todos los activos merecen la misma intensidad de prueba. Un entorno que soporta originación de crédito, transferencias, conciliación, tesorería o autenticación de clientes exige validaciones más rigurosas que una plataforma informativa.

En una entidad financiera, el pentest debe considerar escenarios de negocio: escalamiento de privilegios, manipulación de parámetros, acceso indebido a expedientes, abuso de APIs, fraude de identidad, acceso a cuentas y extracción de datos. Probar estos casos demanda profesionales capaces de comprender tanto la técnica como los controles operativos que protegen el proceso.

Profundidad de la explotación autorizada

Un escaneo automatizado puede identificar miles de hallazgos en poco tiempo y a bajo coste. No es equivalente a una prueba de intrusión. El pentest requiere que especialistas validen cuáles vulnerabilidades son explotables, qué impacto tendrían y hasta dónde puede llegar la simulación sin afectar la operación.

La explotación controlada cuesta más porque exige trabajo manual, revisión de falsos positivos, coordinación con los responsables del sistema y documentación de evidencias. Sin embargo, esta profundidad permite priorizar remediaciones según riesgo real, no solo según una puntuación técnica.

Requisitos de cumplimiento y evidencia

Las entidades reguladas no necesitan únicamente detectar fallas. Deben demostrar gobierno, trazabilidad y capacidad de corrección. Si el servicio debe respaldar auditorías, marcos como PCI DSS, requerimientos de supervisores o políticas internas de riesgo, el informe y el proceso de trabajo tendrán exigencias adicionales.

Esto puede incluir reglas de compromiso aprobadas, ventanas de prueba, resguardo de evidencias, clasificación de información, matrices de riesgo, reuniones ejecutivas y una prueba de revalidación posterior. Son componentes necesarios para que el resultado sea defendible ante auditoría, cumplimiento y alta dirección.

El precio bajo puede ocultar un alcance insuficiente

Una oferta aparentemente competitiva puede limitarse a ejecutar herramientas sobre un conjunto reducido de direcciones IP. El informe puede parecer extenso, pero repetir hallazgos genéricos sin demostrar rutas de compromiso ni valorar el impacto financiero.

Antes de comparar propuestas, conviene confirmar si el precio incluye reconocimiento, análisis manual, explotación segura, revisión de autenticación, pruebas de lógica de negocio, informe técnico, informe ejecutivo, reunión de cierre y revalidación de correcciones. También debe quedar claro qué no está incluido: ingeniería social, pruebas de denegación de servicio, revisión de código, dispositivos físicos o sistemas de terceros.

La comparación correcta no es entre dos cifras finales. Es entre dos niveles de cobertura y dos capacidades para responder a una pregunta crítica: si un adversario obtiene un punto de entrada, ¿puede alcanzar un activo relevante?

Cómo definir un presupuesto útil para su institución

El primer paso es priorizar los servicios cuya interrupción, fraude o exposición de datos tendría mayor impacto. Esto evita destinar presupuesto a activos periféricos mientras los portales de clientes, APIs de pagos o accesos administrativos reciben una revisión superficial.

A continuación, la institución debe establecer reglas de compromiso precisas. Deben definirse los entornos autorizados, los horarios, los contactos de escalamiento, las acciones prohibidas y las condiciones para detener la prueba. En servicios financieros, proteger la disponibilidad es tan importante como identificar debilidades.

También conviene planificar la remediación desde el inicio. El valor del pentest se pierde cuando el informe se archiva sin responsables, fechas y seguimiento. Un presupuesto maduro contempla la corrección de los hallazgos, la revalidación y, cuando la exposición lo justifica, pruebas recurrentes tras cambios relevantes en aplicaciones, infraestructura o integraciones.

Cuándo elegir pentest, red team o evaluación continua

Un pentest es adecuado para evaluar activos definidos, confirmar vulnerabilidades y medir la resistencia de un sistema o proceso concreto. Es una opción eficaz antes de una puesta en producción, después de un cambio material o como parte de un ciclo periódico de control.

Un red team tiene otro propósito. Busca comprobar si una organización detecta, contiene y responde a una campaña adversaria que puede combinar vectores técnicos, credenciales expuestas y técnicas de evasión. Su coste es mayor, pero entrega información valiosa sobre la preparación operativa de los equipos de seguridad.

Para instituciones con una superficie digital amplia y cambiante, la alternativa no siempre es escoger uno u otro. Puede ser más eficiente combinar pruebas de intrusión periódicas para activos críticos con monitoreo continuo, gestión de vulnerabilidades y ejercicios específicos sobre escenarios de fraude. AutDefend estructura este tipo de cobertura considerando el perfil de riesgo, los procesos financieros y las obligaciones de cada entidad.

El presupuesto correcto no es el menor ni el más alto. Es el que permite obtener evidencia fiable sobre los caminos de ataque que realmente importan, corregirlos con prioridad y comprobar que la protección mejora antes de que un adversario convierta una debilidad técnica en una pérdida operativa o reputacional.