Veiltrack: datos para evaluar a un proveedor de pentest

Veiltrack es una empresa ucraniana de ciberseguridad con sede en Kiev, dirigida por su fundador, Vlad Kraevsky. Hacemos pentests, evaluaciones de vulnerabilidades y simulaciones de phishing; en esta página reunimos respuestas breves y honestas a las preguntas que un cliente le hace a un proveedor antes de firmar el contrato, incluido lo que todavía no tenemos.

Puedes usar esta página junto con nuestro cuestionario para evaluar a un proveedor de pentest: allí están las preguntas y aquí nuestras respuestas a las principales. Cómo trabajamos se explica en la página de pentest.

En resumen

Empresa y equipo

Forma jurídica. El contrato lo firma FOP Kraievskyi Vladyslav Yuriiovych (empresario individual ucraniano). No somos contribuyentes del IVA. Todavía no existe una empresa aparte (una sociedad limitada o una empresa en la UE); cuando exista, actualizaremos esta página.

Experiencia. El fundador trabaja en seguridad desde 2019. El equipo ha trabajado en la seguridad de muchos bancos ucranianos, así como de organismos públicos y cuerpos de seguridad. El fundador también ha impartido formación en pentesting para una universidad ucraniana.

Quién hace realmente las pruebas. El fundador dirige cada proyecto y responde del resultado. Según la carga de trabajo y el tipo de revisión, las pruebas las hace él mismo o un equipo de ingenieros: colaboradores de confianza con los que trabajamos desde hace años. En total, hasta 5 personas por proyecto. Cada participante trabaja bajo NDA. Las certificaciones del fundador y del equipo están en la página sobre nosotros.

¿Vendemos algo además de las pruebas? Sí, y lo decimos abiertamente: a través de socios ayudamos con GRC (políticas, cumplimiento normativo), soluciones de protección y Blue Team. El foco principal de Veiltrack es la seguridad ofensiva. Las recomendaciones del informe no te obligan a comprarnos nada.

Metodología

Trabajamos con estándares reconocidos: OWASP Web Security Testing Guide para aplicaciones web y API, OWASP MASTG para aplicaciones móviles, PTES como secuencia general del pentest, NIST SP 800-115 para la planificación y los informes, OSSTMM para la seguridad operativa. ^{[1] [2] [3] [4] [5]}

Cuánto trabajo es manual. Depende del servicio, y lo decimos claramente:

• Escaneo de vulnerabilidades. Sobre todo herramientas automáticas (por ejemplo, Nessus, Acunetix), pero un especialista revisa el resultado y elimina el ruido evidente.
• Evaluación de vulnerabilidades. Escaneo más revisión manual de cada hallazgo: si es real y lo peligroso que es en tu caso concreto.
• Pentest. La base del trabajo es manual: el especialista actúa como un atacante y revisa la lógica, los roles, la evasión de la autorización y las cadenas de vulnerabilidades. La automatización solo ayuda a cubrir una superficie grande; las decisiones las toma una persona.

Etapas del pentest. Acuerdo del alcance y las reglas, recopilación de información pública (OSINT), identificación de los servicios accesibles, búsqueda de vulnerabilidades, verificación manual, comprobación de si las vulnerabilidades se pueden explotar con permiso del cliente, informe y revisión conjunta.

Herramientas. Burp Suite Professional, Nmap, Nessus, Acunetix, Metasploit, sqlmap, Kali Linux, además de scripts propios y de código abierto. La herramienta no sustituye al especialista: cada hallazgo del informe lo verifica una persona.

Sistema en producción o copia de pruebas. Podemos probar cualquiera de los dos. En un sistema en producción limitamos la carga y no lanzamos pruebas peligrosas sin un permiso aparte del cliente.

Datos del cliente

• NDA: lo firmamos siempre, antes de empezar el trabajo.
• Almacenamiento. Los materiales del proyecto (pruebas, notas, informe) se guardan cifrados en local y en un espacio de trabajo en la nube de Google.
• Eliminación. Al terminar el trabajo, eliminamos los materiales.
• Herramientas de IA. En el trabajo usamos asistentes de IA (Claude, ChatGPT, Gemini y otros) para analizar y preparar materiales. Si no quieres que tus datos lleguen a servicios de IA, trabajamos sin ellos: lo dejamos acordado antes de empezar.
• Entrega del informe. El informe se entrega en un archivo cifrado, con la contraseña por un canal aparte.

Informe

El informe incluye:

• un resumen breve para la dirección: qué encontramos y qué riesgo supone para el negocio;
• tablas y gráficos de hallazgos por nivel de riesgo, con código de colores;
• para cada hallazgo: categoría, CWE, puntuación CVSS, descripción técnica, pruebas y capturas de pantalla ^{[6] [7]};
• el orden de las correcciones y enlaces a materiales que ayudarán a los desarrolladores a resolver el problema.

Tras la entrega hacemos una reunión final y revisamos el informe juntos. Un informe de ejemplo anonimizado se lo mostramos en persona a un posible cliente; no lo publicamos.

Proceso y seguridad del trabajo

• Permiso y alcance. El alcance, las acciones permitidas y los contactos figuran en el contrato; antes de firmar los hablamos con el cliente y añadimos sus condiciones.
• Comunicación. Durante las pruebas el fundador está siempre localizable: abrimos un canal en el mensajero que te resulte cómodo, además del correo.
• Los hallazgos críticos los comunicamos de inmediato, por un canal seguro, con los detalles en un archivo cifrado, sin esperar al informe final.
• Indicios de un ataque real. Si durante el trabajo vemos indicios de un ataque real, avisamos al cliente lo antes posible, como máximo en 24 horas.
• Parada a petición. El cliente puede detener las pruebas en cualquier momento: basta con escribirnos.

Lo que no hacemos sin un acuerdo aparte: pruebas de DoS y DDoS, intrusión física en instalaciones.

Precios, plazos, contrato

• Precio. Un pentest suele costar desde $1 000. Un escaneo de vulnerabilidades puede costar menos, desde unos cientos de dólares, según el alcance. La cifra exacta la damos tras una llamada breve, cuando el alcance está claro. Más detalles en el artículo cuánto cuesta un pentest.
• Pago. 50% por adelantado y 50% tras la entrega del informe. Para clientes ucranianos, en grivnas; para clientes del extranjero, en dólares o euros.
• Plazos. Desde la primera llamada hasta el inicio suele pasar de uno a varios días; la duración del trabajo en sí depende del alcance.
• Responsabilidad. Un pentest muestra el estado de la seguridad en el momento de la revisión, dentro del alcance y el tiempo acordados; no garantiza que no haya otras vulnerabilidades. Las condiciones concretas de responsabilidad se fijan en el contrato.
• Seguro de responsabilidad profesional hoy no tenemos. Certificación de empresa (ISO 27001) tampoco: pensamos retomarlo cuando la empresa esté registrada.

Ejemplos de la experiencia del fundador

No revelamos los nombres de los clientes.

• Plataforma de intercambio de criptomonedas. Encontramos una vulnerabilidad crítica que permitía a un usuario cambiar él mismo el tipo de cambio, cambiar fondos a un tipo favorable y retirarlos de la plataforma. Es decir, las pérdidas no se habrían contado en días, sino en segundos.
• Simulación de phishing en un gran banco ucraniano. Más del 60% de los empleados hizo clic en el enlace del correo de prueba y aproximadamente uno de cada tres introdujo su usuario y contraseña, a menudo varias veces seguidas. Para un ataque habría bastado con un solo par de usuario y contraseña.

FAQ

¿Quién firma el contrato por parte de Veiltrack?

FOP Kraievskyi Vladyslav Yuriiovych (empresario individual ucraniano). No somos contribuyentes del IVA. El contrato y el NDA pueden firmarse en ucraniano o en inglés.

¿Quién hace físicamente las pruebas?

El fundador o un equipo de ingenieros de confianza bajo su dirección, todos bajo NDA. El fundador dirige cada proyecto y responde del resultado.

¿El retest está incluido en el precio?

Depende del paquete. En unos paquetes el retest está incluido, en otros se contrata aparte. Se ve en la propuesta comercial antes de firmar el contrato.

¿Veiltrack usa IA con los datos del cliente?

Sí, los asistentes de IA ayudan con el análisis y la preparación del informe. Si no estás de acuerdo, trabajamos sin ellos y lo dejamos acordado antes de empezar.

¿Veiltrack tiene seguro e ISO 27001?

No, a fecha de octubre de 2026. Trabajamos como FOP y lo decimos con honestidad; retomaremos la certificación cuando la empresa esté registrada.

Referencias

1. OWASP Web Security Testing Guide owasp.org
2. OWASP Mobile Application Security Testing Guide (MASTG) mas.owasp.org
3. Penetration Testing Execution Standard (PTES) pentest-standard.org
4. NIST SP 800-115: Technical Guide to Information Security Testing and Assessment csrc.nist.gov
5. ISECOM: OSSTMM 3 isecom.org
6. MITRE: Common Weakness Enumeration cwe.mitre.org
7. FIRST: Common Vulnerability Scoring System first.org