# Pentesting de aplicaciones web y APIs en Colombia Source: https://slash-digital.io/pentest/ Oferta de lanzamiento · Colombia En Slash Digital Lab (Bogotá), el costo de tu pentest depende únicamente de las vulnerabilidades de severidad alta o crítica que encontremos y validemos dentro del alcance acordado. - COP $0 sin hallazgos altos - COP $5 M 1 hallazgo alto - COP $9 M tope: 2 o más Iniciar un proyecto Leer el análisis pentest ## Oferta de lanzamiento: precio según hallazgos Sin hallazgos altosCOP $0 Si no encontramos vulnerabilidades altas o críticas confirmadas. 1 hallazgo altoCOP $5 M Si identificamos 1 vulnerabilidad alta o crítica confirmada. 2+ hallazgos altosCOP $9 M Máximo, aunque encontremos más vulnerabilidades altas o críticas. La evaluación se completa en su totalidad, independientemente del número de hallazgos. ### El mejor momento para encontrar una vulnerabilidad es antes de que se convierta en un incidente. Realizamos evaluaciones ofensivas de aplicaciones web y APIs para identificar fallas explotables, validar su impacto real y priorizar lo que debe corregirse primero. No entregamos simplemente el resultado de un scanner. ### ¿Qué incluye la evaluación? Una evaluación real de seguridad orientada a aplicaciones web y APIs, con validación manual de los hallazgos relevantes. - Pentest de aplicaciones web y APIs, Combinamos pruebas manuales y automatizadas para hallar lo que un scanner deja pasar. - Reporte ejecutivo y técnico, Evidencia, impacto, prioridad y recomendaciones de remediación. - 1 retest incluido en las evaluaciones pagas, Implementadas las correcciones, volvemos a verificar. - Retest independiente de quién corrija, Vigila aunque la corrección la haga tu equipo, otro proveedor o Slash. ### Si no encontramos una vulnerabilidad alta, igual te llevas el reporte. Sin costo: hallazgos de severidad media, baja e informativa, con evidencia y recomendaciones. ### También podemos ayudarte a corregirlo. Si lo deseas, Slash prepara una propuesta independiente para implementar las correcciones recomendadas. ### ¿Y el factor humano? Pruebas controladas de phishing e ingeniería social desde COP $5 millones. ## Ciberataques en Colombia: el contexto Colombia · 2025 471,5 M intentos de ataque detectados en el país durante el año 1,3 M, por día ### ¿Sabías que en Colombia se detectaron cerca de 1,3 millones de intentos de ataque al día? Eso equivale a 471,5 millones de intentos de ataque durante el año. Una vulnerabilidad puede permanecer invisible hasta que alguien la explota. Fuente: CRC / FortiGuard Labs, análisis prospectivo de ciberseguridad, 2026. “Intentos de ataque” no equivale a ataques exitosos. Severidad ## Cómo se decide qué es “alto” o “crítico” El precio depende de la severidad, así que la regla tiene que ser verificable. Cada hallazgo se valida a mano y debe ser reproducible; la severidad se califica con CVSS y contexto de negocio. - ### Evidencia reproducible Cada hallazgo alto o crítico llega con los pasos para reproducirlo, de modo que tu equipo lo puede comprobar por sí mismo. - ### CVSS + contexto de negocio La puntuación estándar de la industria, ajustada al impacto real en tu operación y tus datos. - ### Dentro del alcance autorizado Lo que no se puede reproducir dentro del alcance acordado en el contrato no se reporta como alto o crítico. Preguntas frecuentes ## Las preguntas que escuchamos a menudo **¿Qué pasa si no encuentran nada?** Te llevas el reporte completo con hallazgos de severidad media, baja e informativa, sin costo. **¿Cómo se calcula el costo?** COP $0 sin hallazgos altos; COP $5 M por uno; tope COP $9 M. El detalle, en la oferta de arriba. **¿Testean APIs?** Sí, junto con la web: es donde hoy se abren las puertas más caras. **¿Hacen phishing simulado?** Sí, desde COP $5 M, con informe y entrenamiento para el equipo. **¿Quién corrige los hallazgos?** Quien tú decidas: tu equipo, otro proveedor o Slash; el retest sigue válido. **¿Cómo empieza?** Escríbenos el dominio o plataforma: hacemos la primera lectura y confirmamos alcance en el contrato. **¿Firman un acuerdo de confidencialidad?** Sí: el alcance y la confidencialidad se firman antes de empezar las pruebas. Solo evaluamos los dominios, apps y APIs del documento firmado, y la oferta queda sujeta a esa definición de alcance y al contrato. Cada hallazgo llega con evidencia reproducible en un reporte ejecutivo y técnico. **¿Qué debemos entregar para la prueba?** Para la primera lectura, el dominio o la plataforma. Para la prueba, si no tienes otra razón, recomendamos caja gris: dos cuentas por rol (y por cliente si la plataforma es multi-tenant), la documentación de la API y el contexto de negocio de cada flujo crítico, como pagos, aprobaciones o datos personales.