PEN-W · SECURITY
Pentest de aplicaciones web
Evaluaciones de caja negra, gris y blanca sobre tus aplicaciones web. Flujos autenticados, lógica de negocio, gestión de sesiones y vulnerabilidades de tipo IDOR.
OWASP Top 10ASVS L2Lógica de negocio
Independientes · Sin ataduras a vendors · Desde 2019
Arquitecturas limpias, seguras y que escalan.
Tu código no lo tocamos. Lo que sí hacemos es asegurarnos de que nadie más pueda romperlo. Mondtic es una consultoría para equipos que necesitan demostrar que sus sistemas resisten y escalan cuando toca.
20+
Proyectos entregados
0
Líneas de tu código que escribimos
100%
Independientes de vendors
< 24h
Respuesta de NDA
01 / Mirada de seguridad
¿Bajo ataque? Nosotros también pensamos como atacantes.
Seguridad ofensiva como servicio. Simulamos adversarios reales en tus apps, APIs y aplicaciones móviles, y entregamos planes de remediación que tus ingenieros pueden ejecutar esa misma semana.
- PEN-W Pentest de aplicaciones web (caja blanca, gris y negra)
- PEN-M Pentest móvil (iOS y Android, alineado con MASVS)
- PEN-A Revisión de seguridad de APIs (REST, GraphQL, gRPC)
- REV-C Revisión de código fuente y exposición de secretos
02 / Mirada de escala
¿Pensando en grande? Ya hemos estado en sistemas más grandes.
Consultoría de arquitectura para plataformas que no pueden detenerse cuando crecen. Trabajamos de cerca con tus ingenieros en las revisiones de diseño y te entregamos un plan escrito para ir del estado actual a N×.
- ARC-R Revisión de arquitectura y well-architected
- LOAD Load testing y planificación de capacidad
- DATA Estrategia de capa de datos y sharding
- COST Auditoría de costos y eficiencia cloud
03 — Servicios
Ocho servicios. Dos miradas.
→ ¿No ves tu caso? Definimos alcances personalizados en 72 horas.
PEN-W, PEN-M, PEN-A y REV-C producen la evidencia técnica que suelen pedir las auditorías SOC 2, ISO 27001 y PCI-DSS.
04 — Cómo trabajamos
Un engagement en 4 pasos, para equipos con sistemas críticos en producción.
01
Alcance
Una llamada de 45 minutos. Dejamos claro qué revisamos, hasta dónde llegamos y qué significa terminar bien. Si necesitas NDA, va ese mismo día.
02
Ejecución
Equipos chicos, todos senior. Cada engagement lo lidera un socio con trayectoria verificable en producción en esa lente. Nada de subcontratar.
03
Reporte
Dos documentos: uno para que la dirección entienda qué pasó, y otro para que tus ingenieros sepan exactamente qué hacer y en qué orden.
04
Verificación
Re-test sin costo en cada hallazgo, dentro de los 90 días. El engagement no cierra hasta que los problemas críticos estén verificados en producción.
05 — Modelos de engagement
Tres formas de trabajar juntos. Para equipos con sistemas críticos en producción.
Todo engagement se define por escrito. Sin delivery externalizado, sin facturación por horas junior y sin comisiones de vendors.
Horas senior, cuando las necesitas.
Vector
Acceso directo a ingenieros senior de seguridad y plataforma. Las horas aplican a cualquier servicio de nuestro catálogo.
Mínimo 30 horas
- La tarifa baja a medida que aumentan las horas comprometidas
- Vigencia de 6 meses
- Workspace async compartido + sesiones programadas
- Reporte mensual de consumo
- Mínimo de 30 minutos por sesión registrada
- Aplica a servicios de seguridad y escalamiento
Acompañamiento continuo de seguridad y escalamiento. Recomendado
Orbit
Seguimiento continuo de tu postura de seguridad, arquitectura y sistemas en producción.
25 horas al mes
- 25 / 60 / 120 horas mensuales, priorizadas según tu roadmap
- Sesión mensual de revisión de arquitectura
- Reporte ejecutivo mensual
- Assessment de seguridad rotatorio trimestral
- Acceso directo por Slack o Teams
- Hasta 20% de rollover de horas
- Business review trimestral
Scope fijo. Entregables concretos.
Atlas
Todo engagement comienza con una llamada de discovery sin costo y una sesión de scoping técnico. Te devolvemos una propuesta formal con metodología, alcance, cronograma y consultores asignados.
Tras el scoping
- Scope fijo y entregables escritos
- Equipo dedicado, liderado por senior
- Planificación de capacidad y costos
- Enfoque en seguridad, escalamiento o los dos
- Retest y verificación incluidos
- Cronograma y metodología definidos desde el inicio
→ Alcances personalizados disponibles para industrias reguladas.
06 — Quiénes somos
No escribimos tu código. Lo hacemos difícil de romper.
Mondtic es una consultoría independiente. Somos pentesters, ingenieros de seguridad y arquitectos de plataforma con experiencia real de operación: hemos corrido los sistemas que hoy revisamos. No cobramos comisión, no revendemos herramientas y el equipo lo mantenemos chico a propósito.
Esa independencia es el producto. Nuestros reportes los escribimos para los ingenieros que van a corregir los bugs, y los firma el consultor que los encontró.
Cómo trabajamos →Fundada
2019
HQ
Cali · COL
Experiencia promedio
8 años en producción
Re-tests incluidos
90 días
Independencia de vendors
100%
NDA en
< 24h
Manifiesto"Una arquitectura limpia es aquella donde la próxima brecha y el próximo 10× de crecimiento son, los dos, problemas aburridos."
07 — Socios
Dos lentes. Un socio responsable de cada una.
Tres socios. Dos en la lente de seguridad, uno en escala.
Santiago Duque Martínez
Socio · Lente de seguridad
Pentester enfocado en aplicaciones web, APIs y móvil, con más de seis años en el sector. Número uno de Colombia y Top 100 mundial en HackerOne (Q2 2026), y parte del equipo de Colombia en el mundial de HackerOne 2026. Cofundador de la comunidad AnyWay Security.
Andrés Albeiro Orozco Noreña
Socio · Lente de seguridad
Más de ocho años en pruebas de penetración sobre infraestructura, aplicaciones web y móviles, APIs, entornos OT, redes WiFi e ingeniería social. Máster en Ciberseguridad, IMMUNE Technology Institute (España). Auditor interno certificado en ISO 27001 e ISO 22301. Speaker en DragonJAR Security Conference, EkoParty UniTalks, 8.8 Perú, OWASP Panamá y KavaCON. Cofundador de la comunidad AnyWay Security.
Alejandro Cárdenas
Socio · Lente de escala
Arquitecto de plataforma con más de nueve años construyendo y operando sistemas en producción: infraestructura como código con Terraform y Ansible sobre AWS, Azure y OpenStack, para plataformas que sostienen más de 100.000 usuarios concurrentes. Ha liderado equipos de ingeniería, diseñado arquitecturas multi-tenant, e implementado observabilidad y respuesta a incidentes sobre infraestructura de producción. Cubre las cuatro líneas de la lente de escala: revisión de arquitectura, pruebas de carga y capacidad, capa de datos, y eficiencia de costo en la nube.
Un core de tres socios. Cada engagement lo lidera y lo firma uno de nosotros. Cuando el alcance lo exige, sumamos especialistas de una red verificada: contrato directo, NDA propio, nunca subcontratación de agencia. Conoces todos los nombres antes de firmar.
08 — Casos
Elegidos por equipos que no tienen margen de error.
Compromisos anonimizados bajo NDA estricto. Los casos de abajo son trabajo real, con los detalles identificables removidos.
Edtech / LMS
Seguridad + Escala Operador de una plataforma de aprendizaje con cursos de pago y exámenes de certificación con validez oficial. Los certificados tienen peso legal; las ventanas de examen las fija la autoridad emisora y no se mueven.
Hallazgos
- El flujo de compra de cursos podía manipularse para habilitar contenido de pago sin una transacción válida.
- Los certificados de estudiante se podían duplicar y falsificar: los identificadores eran predecibles y la verificación no ataba el documento a una firma criptográfica.
- Fallos en el flujo de autenticación permitían el robo de cuentas (ATO).
Resultado
- El cliente reconstruyó la lógica de compra y matrícula del lado del servidor, y migró la emisión de certificados a identificadores firmados y no adivinables con endpoint público de verificación.
PEN-WPEN-ALOAD
Fintech
Seguridad Revisión pre-lanzamiento de una fintech cuya promesa central es la custodia del dinero de sus clientes. Fecha de salida fija, sin ventana posterior para cambios estructurales.
Hallazgos
31 hallazgos en cinco clases de vulnerabilidad, antes de que un solo usuario real tocara el sistema. Entre ellos:
- Operaciones concurrentes sobre el saldo podían leer un valor obsoleto, permitiendo gastar los mismos fondos más de una vez.
- Faltaba autorización a nivel de objeto en la gestión de tarjetas: una cuenta podía operar sobre tarjetas ajenas, incluida la redirección del envío de una tarjeta física.
- El robo de cuentas era alcanzable por varias rutas independientes, desde endpoints de autenticación sin límite de intentos hasta pasos de verificación que podían omitirse por completo.
- Cálculos financieros críticos corrían sobre valores de ejemplo fijos en el código, y las respuestas de proveedores externos se consumían sin validación de sanidad.
Resultado
- Cada hallazgo se entregó con ruta de remediación y se re-verificó tras la corrección del cliente. La plataforma salió en su fecha original, y nos mantuvieron como su proveedor de seguridad durante sus primeros tres meses en producción. En el retest, todos los hallazgos quedaron confirmados como resueltos.
PEN-WPEN-MPEN-AREV-C
E-commerce
Escala Tienda en línea heredada de un implementador externo: infraestructura sobredimensionada para compensar decisiones de diseño que nadie en el equipo interno podía explicar, y una plataforma sin parchar porque actualizar era manual y riesgoso.
Hallazgos
- Infraestructura aprovisionada contra el miedo al pico, no contra carga medida.
- Un rastro de versiones de plataforma y dependencias con vulnerabilidades conocidas, sin parchar porque la ruta de actualización era manual.
- Patrones de implementación del proveedor original que convertían cada feature nuevo en fuente de regresiones.
Resultado
- Costo de infraestructura reducido en más del 60%, manteniendo concurrencia y tiempos de respuesta iguales o mejores que la línea base.
- Pipeline de actualización y parcheo de seguridad automatizado: parchar pasó de ser una decisión a ser rutina.
- Equipo interno formado en los estándares de revisión que hoy aplican a sus propios desarrollos.
ARC-RLOADCOST
"Encontraron en dos semanas lo que nuestro equipo interno no vio en un año."
"La gente que te venden es la que llega. Seniors desde el día uno."
09 — Contacto
Cuéntanos dónde duele. Respondemos el mismo día.
Leemos cada mensaje directamente. Si necesitas NDA, va ese mismo día. La llamada de scoping la agendamos dentro de las 72 horas.
Emailcontact@mondtic.com
WhatsApp(+57) 317 13 73 483