Ethical hacking y pentesting: Qué es, tipos y cuánto cuesta en Chile

El 19 de mayo de 2026 Verizon publicó su Data Breach Investigations Report (DBIR) con un cambio de orden que no se veía en 19 ediciones: el 31% de las brechas confirmadas comenzó por la explotación de una vulnerabilidad, por encima de las credenciales robadas. Un año antes la cifra era 20%. Google Cloud y Mandiant agregaron en marzo otro dato en su M-Trends 2026: el tiempo medio entre la publicación de un parche y la explotación de la falla bajó a menos 7 días. Con frecuencia el atacante usa la vulnerabilidad antes de que exista el parche.

En Chile, la banca ya informa al Directorio sus pruebas de pentesting cada seis meses, porque la Comisión para el Mercado Financiero (CMF) lo pide con ese nombre, y la Ley 21.663 pide a los Operadores de Importancia Vital (OIV) revisar y analizar sus redes de forma continua. Mi lectura de la situación es directa: en los comités de riesgo la pregunta dejó de ser si conviene probar la seguridad y pasó a ser qué se prueba, con qué alcance y a qué precio. Esta guía responde las tres con datos 2026, el texto de cada norma y rangos de mercado en UF.

¿Cuál es la diferencia entre ethical hacking, pentesting y análisis de vulnerabilidades?

El análisis de vulnerabilidades identifica y prioriza fallas de seguridad, sin explotarlas. El pentesting las explota de forma controlada para demostrar el impacto de un ataque real. El ethical hacking es la disciplina que engloba ambos: especialistas autorizados atacan los sistemas de una organización bajo reglas acordadas y entregan un informe con cada hallazgo, su riesgo y cómo corregirlo.

Qué es el ethical hacking (hacking ético): La disciplina

La CMF define el ethical hacking en el glosario de su norma 20-10 como la "utilización de técnicas de ataque para encontrar fallas de seguridad, con el permiso de la organización que es objeto de estos ataques, con el propósito de mejorar la seguridad". Las técnicas son las mismas que usa un atacante; el permiso las convierte en un servicio.

Bajo ese paraguas caben el análisis de vulnerabilidades, el pentesting, el red team y las pruebas sobre personas (phishing simulado e ingeniería social), con cuatro objetivos: detectar fallas antes que el atacante, comprobar que los controles funcionan, evidenciar cumplimiento y reducir el riesgo de un incidente.

Qué es un pentesting (pentest, prueba de penetración o test de intrusión): El ejercicio

Un pentesting es un ejercicio con alcance, fechas y objetivos definidos por escrito. El equipo intenta entrar a los sistemas acordados, escalar privilegios y llegar a la información que un atacante buscaría, y se detiene antes de causar daño. La CMF lo define como un "conjunto de pruebas que se basan en ataques hacia los sistemas informáticos con la intención de encontrar sus debilidades o vulnerabilidades". Pentest, prueba de penetración y test de intrusión son sinónimos.

El resultado son dos documentos: un informe ejecutivo con el nivel de riesgo para gerencia y Directorio, y un informe técnico con la evidencia, la criticidad y los pasos de corrección de cada hallazgo.

Qué es un análisis de vulnerabilidades y por qué no reemplaza al pentest

El análisis de vulnerabilidades combina escaneo automatizado con validación manual para listar y priorizar las fallas conocidas de una superficie amplia, como todo el perímetro expuesto a internet. Responde a "qué fallas tengo". El pentest responde a "cuáles se pueden explotar, encadenar y con qué impacto", con criterio humano sobre la lógica de negocio de cada aplicación. El análisis es el punto de partida y se repite más seguido porque cuesta menos y cubre más; el pentest profundiza sobre lo crítico. Explicamos el método en cómo se hace un análisis de vulnerabilidades y el servicio en la página de análisis de vulnerabilidades.

Análisis de vulnerabilidades, pentesting y red team: Tabla comparativa

El red team suma una tercera pregunta: si la organización detecta y responde a un ataque real. Dos siglas: PCI DSS es el estándar de seguridad de datos de la industria de tarjetas de pago, y RAN es la Recopilación Actualizada de Normas de la CMF.

Lo habitual es partir por el análisis, profundizar con pentest en lo crítico y llegar al red team cuando existe un equipo o un servicio de monitoreo activo que pueda ser puesto a prueba.

Por qué 2026 cambió la urgencia: Los datos

Dos informes con metodologías distintas llegaron a la misma conclusión. El DBIR de Verizon, sobre más de 22.000 brechas confirmadas en 145 países, puso la explotación de vulnerabilidades como vector inicial en el 31% de los casos (20% el año anterior). El M-Trends de Google Cloud y Mandiant, sobre sus investigaciones de incidentes de 2025, midió los exploits en el 32% de las intrusiones, primer lugar por sexto año; le siguen el vishing (phishing por voz) con 11%, el compromiso previo con 10%, las credenciales robadas con 9% y el phishing por correo con 6%.

El atacante llega antes que el parche

El M-Trends 2026 estima el tiempo medio de explotación en menos 7 días: la explotación ocurre, de forma rutinaria, antes de que el fabricante publique el parche. VulnCheck contó 495 vulnerabilidades con evidencia de explotación real en el primer semestre de 2026; el 23,4% fue explotada el mismo día de la publicación del CVE o antes (CVE es el identificador público de cada vulnerabilidad conocida) y cerca de 200 dentro de los primeros 31 días.

Del lado del defensor, el DBIR 2026 midió una mediana de 43 días para remediar una vulnerabilidad explotada conocida, contra 32 el año anterior, y entre 60% y 70% de ellas sigue abierta al séptimo día. La mediana entre la publicación de un CVE y su entrada al catálogo KEV de CISA (la lista de vulnerabilidades con explotación confirmada de la agencia de ciberseguridad de Estados Unidos) bajó de 120 a 80 días según VulnCheck.

El gráfico ordena esas seis marcas del día -7 al día 80 respecto de la publicación del CVE. Un pentest no acorta el parche del fabricante, pero muestra qué fallas de tu superficie son explotables hoy y en qué orden cerrarlas.

Más vulnerabilidades y menos tiempo para cerrarlas

El programa CVE publicó 48.185 vulnerabilidades en 2025, un 20,6% más que en 2024, con 3.984 críticas. CISA agregó 245 al catálogo KEV en el mismo año, la mayor expansión en tres años. Para un equipo de TI con recursos acotados, el volumen convierte la priorización en el problema central: un escáner devuelve cientos de hallazgos y el pentest dice cuáles permiten entrar y hasta dónde.

Lo que cuesta descubrirlo tarde

IBM publicó el 29 de julio de 2026 su Cost of a Data Breach sobre 602 organizaciones. El costo medio global de una brecha llegó a USD 4,99 millones (+12%) y el ciclo medio para identificar y contener un incidente a 247 días. Para América Latina (muestra de México, Argentina, Chile y Colombia) el costo medio subió de USD 3,81 millones en 2025 a USD 4,65 millones. Una brecha que parte por la explotación de una aplicación expuesta a internet costó en promedio USD 4,68 millones. El mismo informe encontró que el 50% de las organizaciones ya usa agentes de inteligencia artificial en detección y respuesta, y solo el 18% los aplica a escaneo y gestión de vulnerabilidades.

El DBIR 2026 midió ransomware en el 48% de las brechas; la secuencia de acceso por vulnerabilidad y cifrado posterior aparece en los casos que revisamos en ransomware en Chile 2026.

Tipos de pentesting

Un pentesting se clasifica por la información que recibe el equipo, por la superficie que evalúa y por la modalidad de contratación. Las tres dimensiones se combinan en cada cotización.

Según la información que recibe el equipo: Caja negra, caja gris y caja blanca

• Caja negra: el equipo parte sin información, como un atacante externo. Mide la superficie visible desde internet; el reconocimiento consume parte del tiempo contratado.
• Caja gris: el equipo recibe credenciales de usuario, documentación parcial o acceso a un ambiente. Es la modalidad más contratada por empresas: concentra las horas en la explotación y cubre el escenario de una credencial robada.
• Caja blanca: el equipo recibe código fuente, arquitectura y configuraciones. Encuentra más fallas por hora y es la opción habitual para aplicaciones críticas antes de salir a producción.

Según la superficie: Web, API, móvil, infraestructura, Active Directory, cloud, WiFi, OT e IA

• Aplicaciones web: inyecciones, fallos de autenticación y lógica de negocio expuesta, con pruebas manuales sobre la arquitectura real.
• APIs: el canal que conecta tus sistemas con clientes y proveedores, evaluado contra abusos de autorización y exposición de datos.
• Aplicaciones móviles: apps iOS y Android, con análisis estático y dinámico.
• Infraestructura externa e interna: el perímetro público y, desde adentro, el movimiento lateral y la escalada de privilegios.
• Active Directory y bases de datos: rutas hacia administrador de dominio, credenciales débiles y permisos excesivos (Active Directory es el servicio de Microsoft que administra usuarios y equipos en la red corporativa).
• Cloud y contenedores: configuraciones, llaves expuestas y privilegios innecesarios en AWS, Azure y Google Cloud.
• Redes WiFi: cifrado, segmentación y acceso a la red corporativa desde el aire.
• Entornos OT: redes industriales y de control (OT, tecnología de operación), con técnicas no intrusivas.
• Modelos de IA: prompt injection, fuga de datos y abuso de modelos de lenguaje integrados a tus aplicaciones.

Según la modalidad: Puntual, bajo demanda o programa continuo

La prueba puntual (spot) cubre un proyecto delimitado, por ejemplo una aplicación nueva o una exigencia de un cliente. La modalidad bajo demanda (on demand) es una suscripción anual con una bolsa de horas o créditos para distintos ejercicios durante el año. El programa continuo combina ejercicios ofensivos con consultoría de gobierno, riesgo y cumplimiento (GRC) y concientización. Netprovider ofrece las tres como Spot, On Demand y 360° Security Program.

Las pruebas sobre personas forman parte del mismo programa: una campaña de phishing simulado o un ejercicio de ingeniería social mide cómo responde el equipo humano, con la misma lógica de alcance, evidencia e informe. Las variantes por SMS, voz y código QR están en nuestra guía de phishing, smishing y vishing.

Cómo se ejecuta un pentesting profesional: Las 5 fases

Un pentest serio sigue una metodología documentada: PTES (Penetration Testing Execution Standard), la guía de pruebas web OWASP WSTG, OSSTMM, la guía NIST SP 800-115 del instituto de estándares de Estados Unidos o la matriz MITRE ATT&CK, que cataloga las tácticas de los atacantes reales. Las cinco fases son comunes a todas.

1. Alcance y reglas de enfrentamiento. Cliente y proveedor definen por escrito los sistemas incluidos y excluidos, las ventanas horarias, los contactos de emergencia y el protocolo ante un hallazgo crítico. El documento protege la operación y al equipo que ataca.
2. Reconocimiento y análisis. Inteligencia de fuentes abiertas (OSINT), mapeo de la superficie de ataque y enumeración de servicios. Aquí aparecen los subdominios olvidados y las versiones sin actualizar.
3. Explotación controlada. El equipo explota las fallas, escala privilegios y se mueve hacia los activos objetivo, y se detiene antes de causar daño. Si aparece algo crítico, avisa de inmediato.
4. Informe ejecutivo y técnico con plan de remediación. Cada hallazgo lleva evidencia reproducible, su puntaje CVSS (Common Vulnerability Scoring System, la escala de 0 a 10 de severidad técnica) cruzado con el impacto de negocio, y pasos de corrección. El informe ejecutivo cabe en dos páginas y se presenta al Directorio.
5. Retest con constancia de cierre. Tras las correcciones, el equipo vuelve a probar cada hallazgo y deja un documento que acredita qué se cerró, el mismo que piden auditores, clientes corporativos y, en la banca, el Directorio.

Cuánto cuesta un pentesting en Chile en 2026

Ninguna página en Chile publica rangos de precio en UF con los factores que los explican, y eso complica comparar cotizaciones. Los rangos que siguen provienen de ofertas públicas de proveedores chilenos y de benchmarks internacionales 2025-2026, y no corresponden a precios de Netprovider.

Qué determina el precio

Siete variables explican la mayor parte de la diferencia entre cotizaciones: el alcance en activos y endpoints (una aplicación con 15 endpoints y una infraestructura con 50 servidores requieren semanas distintas), el tipo de caja (la negra gasta horas en reconocimiento y la blanca exige preparar accesos), la proporción de trabajo manual frente al escaneo, el seniority y las certificaciones del equipo, el retest incluido o aparte, la exigencia del informe (un entregable para PCI DSS o para el Directorio lleva más horas de documentación) y la urgencia de la ventana. Como referencia de tarifa hora, DeepStrike, consultora estadounidense, ubica a un especialista certificado entre USD 100 y 300 en su mercado.

Rangos de referencia por tipo de servicio

Rangos de mercado 2026 según ofertas públicas de proveedores en Chile y benchmarks internacionales 2025-2026. Cada alcance se cotiza a medida. Con la UF del 14 de octubre de 2026 ($41.157), 25 UF equivalen a cerca de $1 millón, 150 UF a $6,2 millones y 600 UF a $24,7 millones.

Las cifras muestran por qué una oferta de 25 UF y una de 500 UF pueden estar bien y ser productos distintos. En la parte baja, un proveedor local ofrece un pentest web desde 25 UF más IVA para una aplicación con hasta 15 endpoints críticos, con pruebas manuales, dos informes, dos retests y cerca de cinco días hábiles, y describe ese segmento entre 32 y 50 UF. En la parte alta, otro proveedor chileno publica desde USD 3.000 para una o dos aplicaciones pequeñas (71 UF) hasta USD 50.000 o más para un alcance completo con ingeniería social (1.177 UF), con la infraestructura de 20 a 50 servidores entre USD 15.000 y 25.000 (353 a 589 UF). DeepStrike advierte que en Estados Unidos las ofertas por debajo de USD 4.000 suelen corresponder a escaneos automatizados; en Chile la tarifa hora es más baja y una oferta acotada puede incluir trabajo manual sobre un alcance pequeño. El criterio de compra es el mismo: leer qué activos, cuántos días y qué entregables cubre el precio.

Chile, Perú y Colombia: Cómo se compara la región

Netprovider opera en los tres países, y las exigencias y los precios difieren. Chile es el único cuya norma nombra "ethical hacking".

Los precios de Colombia provienen de un proveedor y los de Chile de dos, así que la tabla sirve como referencia y no como estadística. Los marcos de reporte de incidentes de los tres países están en la guía de reporte de incidentes en Chile, Perú y Colombia.

Cómo elegir un proveedor de ethical hacking en Chile

Una cotización comparable detalla activos incluidos y excluidos, días de consultor y perfil de quien ejecuta, metodología, entregables, retest (cuántos y en qué plazo) y protocolo ante hallazgos críticos. Si alguno falta, vale la pena pedirlo antes de decidir. Con esa base, seis criterios ordenan la comparación.

• Certificaciones del equipo que ejecuta. Las más reconocidas en pruebas ofensivas son OSCP, OSWA, eWPTX, eMAPT, CAPEN y GPEN; para red team, CRTO y CRTL. Conviene preguntar quién ejecutará el proyecto, además de qué certificaciones tiene la empresa.
• Metodología documentada. PTES, OWASP WSTG, OSSTMM o NIST SP 800-115, declarada en la propuesta y visible en el informe.
• Confidencialidad y contrato. Acuerdo de confidencialidad, reglas de enfrentamiento firmadas, seguro de responsabilidad y manejo de la evidencia al cierre.
• Enfoque consultivo. El informe explica el impacto de negocio de cada hallazgo y propone un orden de remediación, además de listar CVE.
• Soporte después de la prueba. Sesión de presentación con el equipo técnico, apoyo durante la corrección y retest con constancia de cierre.
• Referencias y evaluaciones externas. Experiencia en industrias reguladas (banca, salud, energía) y evaluaciones independientes como el estudio CETIUC.

Dos prácticas que conviene evitar al contratar: recortar el alcance hasta dejar fuera lo que más importa, y archivar el informe sin un plan de remediación con responsables y fechas.

Cómo puede ayudarte Netprovider

El área de Seguridad Ofensiva de la Unidad de Ciberseguridad de Netprovider ejecuta estas pruebas con operación propia en Chile, Perú y Colombia. Netprovider obtuvo el mejor desempeño técnico del estudio CETIUC 2026 (Centro de Estudios de Tecnologías de Información de la UC).

• Ethical hacking y pentesting: pruebas sobre las nueve superficies de esta guía, con metodologías PTES, OWASP, OSSTMM y MITRE ATT&CK. Cada proyecto termina con informe ejecutivo, informe técnico, plan de remediación y retest con constancia de cierre.
• Análisis de vulnerabilidades y Red Team: el punto de partida y el ejercicio de madurez, en modalidades Spot, On Demand y 360° Security Program.
• Equipo certificado: especialistas con OSCP, CRTO, CRTL, eWPTX, eMAPT, CAPEN y CEH, entre otras.

En el sector energía, Lipigas ejecutó ejercicios de ethical hacking y simulaciones de Red Team sobre infraestructura crítica. "El trabajo con el equipo de Netprovider nos permitió identificar riesgos críticos a tiempo y reforzar nuestra infraestructura antes de que se convirtieran en amenazas reales", resume René Lander, Subgerente de Datos y Ciberseguridad de Lipigas, en el caso Lipigas.

¿Quieres saber qué alcance de evaluación corresponde a tu superficie expuesta? Conversemos 30 minutos: revisamos tu exposición y te proponemos un alcance a la medida.

Qué exige la regulación: Ley 21.663, CMF, ISO 27001 y PCI DSS

Ninguna ley chilena de alcance general exige un pentesting por su nombre. La regla para leer la tabla es otra: cada norma exige un resultado, y un pentest periódico es la forma más directa de evidenciarlo.

Dos precisiones sobre Chile. Las cuatro instrucciones generales vigentes de la Agencia Nacional de Ciberseguridad (ANCI) no regulan pruebas de penetración, y la norma de estándares básicos (que haría obligatorios 6 de los 9 básicos, entre ellos "actualizar periódicamente") sigue en elaboración tras la consulta pública de junio de 2026. Y un análisis de vulnerabilidades periódico más un pentest anual con retest son la evidencia más directa de la letra d) que puede mostrar un OIV ante la ANCI, en especial tras la publicación de la nómina de OIV.

La Ley 21.719 rige desde el 1 de diciembre de 2026, con un proyecto de postergación a 2027 en trámite en el Senado; revisamos el estado de la postergación y la relación entre ethical hacking y Ley 21.719 en otros artículos, junto con las guías de la Ley Marco de Ciberseguridad e ISO 27001 en Chile.

Con qué frecuencia conviene hacer un pentesting

La regla general del mercado es un pentest anual, uno adicional tras cada cambio mayor (migración a la nube, nueva aplicación, fusión o adquisición) y un análisis de vulnerabilidades entre medio. La cadencia se ajusta al perfil regulatorio.

El programa de gestión de vulnerabilidades sostiene esa cadencia entre un pentest y el siguiente. El ejercicio de Red Team tiene sentido cuando existe un centro de operaciones de seguridad (SOC) o una plataforma de detección en los equipos (EDR) que poner a prueba.

Checklist de 10 puntos: Mide la madurez de tu programa de seguridad ofensiva

Esta lista ayuda a identificar el siguiente paso. Asigna 2 puntos si el control está implementado y documentado, 1 si está en curso o parcial, y 0 si aún no fue priorizado.

1. Inventario actualizado de activos expuestos a internet (dominios, aplicaciones y servicios).
2. Análisis de vulnerabilidades al menos trimestral, con validación manual de los hallazgos críticos.
3. Pentest anual y tras cambios mayores, con alcance documentado.
4. Reglas de enfrentamiento y ventanas de ejecución acordadas por escrito.
5. Informe con evidencia reproducible y criticidad CVSS cruzada con impacto de negocio.
6. Plan de remediación con responsables y plazos por criticidad.
7. Retest con constancia de cierre de cada hallazgo.
8. Resultados presentados al Directorio o a la gerencia general (semestral si aplica la RAN 20-10).
9. Pruebas sobre personas (phishing simulado e ingeniería social) integradas al programa.
10. Camino definido hacia un ejercicio de Red Team cuando exista monitoreo activo (SOC o EDR).

16 a 20 puntos: Programa maduro. El foco pasa a la continuidad y a ejercicios más exigentes, como el Red Team.

10 a 15 puntos: Buen avance. Quedan 2 o 3 brechas que priorizar el próximo trimestre.

0 a 9 puntos: Oportunidad de ordenar un plan por etapas. Los puntos 1, 2 y 3 son un buen primer tramo.

Preguntas frecuentes sobre ethical hacking y pentesting

¿Qué diferencia hay entre un pentest y un red team?

El pentest busca las vulnerabilidades explotables dentro de un alcance definido, con el equipo de TI al tanto. El red team persigue un objetivo de negocio con sigilo, sin avisar al equipo defensor, para medir si la organización detecta y responde.

¿Cuánto cuesta un pentesting en Chile?

Según ofertas públicas de proveedores chilenos en 2026, un pentest de una aplicación web acotada va de 25 a 150 UF; una infraestructura completa de empresa mediana, de 350 a 600 UF; y un Red Team, desde 700 UF. Cada alcance se cotiza a medida.

¿Cada cuánto conviene hacer un pentesting?

Al menos una vez al año y tras cada cambio mayor de infraestructura o aplicaciones. En banca y medios de pago la RAN 20-10 de la CMF pide resultados al Directorio al menos cada semestre, y PCI DSS exige pentest anual y escaneos trimestrales.

¿La Ley 21.663 exige pruebas de penetración?

No por su nombre. El artículo 8° letra d) pide a los Operadores de Importancia Vital "realizar continuamente operaciones de revisión, ejercicios, simulacros y análisis" de sus redes y sistemas. Un análisis de vulnerabilidades periódico y un pentest anual con retest son la forma más directa de evidenciarlo.

¿Un pentesting puede afectar la operación?

Un pentest profesional se ejecuta con ventanas acordadas, reglas de enfrentamiento firmadas y un protocolo ante hallazgos críticos. En entornos industriales se usan técnicas no intrusivas. El equipo demuestra el riesgo y se detiene antes de causar daño.

Revisado por Patricia Jara, Unidad de Ciberseguridad de Netprovider.

Fuentes

• Verizon, DBIR 2026 (comunicado): 31% por explotación de vulnerabilidades; 48% con ransomware.
• Verizon, DBIR 2026 (informe): muestra del estudio; mediana de 43 días y 60 a 70% de KEV abiertas al día 7 (págs. 10 y 17).
• Help Net Security, DBIR 2026: mediana de 43 días.
• watchTowr, DBIR 2026: 60 a 70% abiertas al día 7.
• Google Cloud, M-Trends 2026: exploits 32%, -7 días, vectores de acceso.
• VulnCheck, State of Exploitation 1H-2026: 495 vulnerabilidades, 23,4%, 80 días.
• Jerry Gamblin, 2025 CVE Data Review: 48.185 CVE.
• SecurityWeek, catálogo KEV 2025: 245 vulnerabilidades agregadas.
• IBM, Cost of a Data Breach 2026: costo global y LATAM, 247 días, agentes de IA.
• Ley 21.663 (BCN): artículo 8°.
• ANCI, consulta pública de estándares básicos: norma en elaboración.
• CMF, RAN Capítulo 20-10: numeral 4.1 y glosario.
• ISMS.online, ISO 27001:2022 control A.8.8: gestión de vulnerabilidades técnicas.
• Blaze InfoSec, pentesting PCI DSS: requisitos 11.3 y 11.4.
• SBS Perú, Resolución 504-2021: artículos 21.1 y 26.1.
• Superintendencia Financiera de Colombia, Circular Externa 007 de 2018: numerales 3.8 y 4.2.2.
• Gestión (Perú): demanda de pentesting en Perú.
• TI Rescue, precio de un pentest en Colombia: rangos en pesos colombianos.
• DeepStrike, costo de las pruebas de penetración: referencia global y tarifa hora.
• Hackanary, pentesting en Chile: oferta pública desde 25 UF.
• Yourdevs, pentesting y ethical hacking: rangos públicos en dólares.