Seguridad ofensiva · México
Atacamos para que nadie más pueda.
Emulamos adversarios reales, bajo contrato y Reglas de Enfrentamiento, para que tu equipo fortalezca sus defensas con evidencia, no con suposiciones.
Servicios
Adversario por contrato. Aliado por propósito.
Cada engagement se define por su scope y su RoE. Entregamos findings verificables y una ruta de remediation priorizada.
- 01
Red team
Emulación de adversario de extremo a extremo: acceso inicial, movimiento lateral y objetivos de negocio, midiendo detección y respuesta.
- 02
Pentest
Aplicaciones web y móviles, APIs, infraestructura interna y externa, y nube. Metodología documentada y reproducible.
- 03
Purple team
Ejercicios colaborativos con tu SOC: ejecutamos técnicas, validamos telemetría y afinamos detecciones en tiempo real.
- 04
Ingeniería social
Campañas de phishing y vishing simuladas, desde infraestructura dedicada por ejercicio y con deconfliction previa.
- 05
Evaluaciones para cumplimiento
Pruebas alineadas a CNBV, PCI DSS e ISO 27001, con evidencia lista para auditoría y para tu regulador.
- 06
Retest y acompañamiento
Verificamos cada remediation y transferimos conocimiento a tus equipos para que la mejora sea permanente.
Enfoque
Hablamos dos idiomas: el del regulador y el del atacante.
Nergal nace en México, de la cultura hacker y el software libre, con la disciplina del cumplimiento del sector financiero.
La mayoría de las firmas domina solo uno de los dos lenguajes. Nosotros traducimos cada técnica ofensiva en un riesgo de negocio que tu comité, tu auditor y tu regulador pueden entender.
- CNBV
- PCI DSS
- ISO 27001
- MITRE ATT&CK
- OWASP
- PTES
- Rigor
- Hallazgos enunciados como hechos, con evidencia y pasos de reproducción.
- Discreción
- Información del cliente tratada con necesidad de saber y retención mínima.
- Legitimidad
- Nada fuera de contrato, scope y RoE firmados. Sin excepciones.
- Transferencia
- Reconocemos a tus defensores y les dejamos capacidades, no solo un informe.
Proceso
Un engagement, de principio a fin.
- NRG-2026-014 · 01
Scope y RoE
Definimos objetivos, límites, ventanas y canales de deconfliction. Todo por escrito.
- NRG-2026-014 · 02
Reconocimiento
Mapeamos superficie de ataque y supuestos antes de tocar un solo sistema.
- NRG-2026-014 · 03
Ejecución
Operamos dentro de la ventana acordada, con comunicación continua desde un único canal oficial.
- NRG-2026-014 · 04
Informe
Resumen ejecutivo, findings por severidad, evidencia y remediation priorizada.
- NRG-2026-014 · 05
Retest
Validamos las correcciones y cerramos el ciclo con tu equipo.
Entregables
Severidad que se lee igual en pantalla, en gris y en papel.
Cada finding se clasifica, se respalda con evidencia y se acompaña de una recomendación accionable.
- Crítico
- Alto
- Medio
- Bajo
- Informativo
| ID | Finding | Severidad |
|---|---|---|
| F-01 | Credenciales reutilizadas en VPN corporativa | Crítico |
| F-02 | Inyección SQL en API de consulta de saldos | Alto |
| F-03 | Política de MFA no aplicada a cuentas de servicio | Medio |
| F-04 | Encabezados de seguridad HTTP ausentes | Bajo |
| F-05 | Versión de servidor expuesta en respuestas | Informativo |
Contacto
Hablemos de tu próximo engagement.
Cuéntanos qué quieres proteger. Respondemos en un día hábil con una propuesta de scope inicial.
- Comercialcontacto@nergal.red
- Operaciones (ejercicios en curso)ops@nergal.red
- Reporte de vulnerabilidadessecurity@nergal.red