Web y APIs
Autenticación, lógica de negocio, inyección — y los endpoints que nadie recuerda.
Seguridad ofensiva agéntica
Un atacante de tu lado.
Red Teaming de IA. Hallazgos que tus ingenieros pueden corregir — no el volcado de un escáner.
yoku@ops:~$scope --web --api --cloud --network --red-team
Todo lo que un atacante tocaría.
También a pedido: apps móviles, clientes de escritorio, IoT, revisión de código.
Cloud e infraestructura
IAM, Kubernetes, secretos de CI/CD y almacenamiento en AWS, GCP y Azure.
Red externa e interna
Del perímetro al administrador de dominio, como se mueve un intruso.
Red team
Operaciones por objetivos que prueban si alguien se da cuenta.
Un informe que tus ingenieros sí van a leer.
Severidad e impacto de negocio, explicados
Pasos de reproducción y evidencia
Una corrección concreta por hallazgo
Un resumen ejecutivo listo para auditores
HALLAZGO · YK-0142EJEMPLO
CRÍTICACVSS 9.1CWE-639
Fallo de autorización a nivel de objeto en la exportación de facturas
GET /api/v2/invoices/{id}/export
Cualquier usuario autenticado puede descargar facturas de otros tenants cambiando el id. Los ids son secuenciales: toda la base de clientes puede enumerarse.
— Reproducción1. Autentícate como tenant A2. Pide la factura 48213 (tenant B)3. El servidor devuelve el PDF del tenant B — 200 OK
— CorrecciónExigir verificación de propiedad del lado del servidor en cada acceso.
Abierto · reportado el día 2 de 10 · retesteo pendiente