Operamos. No escaneamos.

Descubrimos lo que otros no ven.

No somos un escáner ni una agencia: somos operadores adversariales. Ejecutamos sobre infraestructura de producción y demostramos la exposición real — con evidencia, no con alertas.

Solicitar operación Ver historial operativo

Operated, not licensed Proof, not scores Zero false positives

ENGAGEMENT STATUS ACTIVE ASSESSMENT Controlled offensive testing on authorized production scope

MODE OPERATED

TARGET PROD

VALIDATION POC

STATUS VERIFIED

Surface mapped

Adversarial path validated

Exploitability confirmed

LIVE

+2,500 Hallazgos descubiertos en producción

+40 Operaciones enterprise globales

0% Falsos positivos · estándar forense

24h Entrega en operaciones seleccionadas

Operación Directa

Las evaluaciones son ejecutadas por operadores adversariales sobre el alcance acordado, sin depender de dashboards genéricos.

Zero-Day Capability

Investigación de fallos de lógica profunda, identidad, APIs y arquitectura que pueden escapar a los escáneres automatizados.

Evidencia Forense

Cada hallazgo validado se acompaña de evidencia técnica suficiente para comprender impacto y orientar la remediación.

Comparativa de enfoque · 01

El riesgo real no se mide contando alertas.

Una evaluación adversarial debe demostrar qué puede hacer realmente un atacante, no producir otro dashboard. En un mundo donde cualquiera escanea con un clic, nosotros probamos lo que ninguna herramienta puede.

LEGACY SIGNAL NOISE

Escáneres y agencias

Reportes genéricos y volumen de alertas, sin certeza de explotación.

01
Volumen de alertas
Grandes cantidades de hallazgos requieren validación humana posterior.
02
Limitación por perímetro
El escaneo puede detenerse donde comienzan controles como WAF, autenticación y lógica interna.
03
Contexto limitado
Una puntuación de severidad no demuestra por sí sola el impacto sobre el negocio.
04
Más trabajo de triage
El equipo interno debe separar señal real de ruido operativo.

ZEKRO VERIFIED

Proof, not scores.

Evidencia demostrable de explotación e impacto.

01
Validación real
Los hallazgos reportados han sido validados dentro del alcance autorizado.
02
Contexto adversarial
La evaluación considera rutas, lógica, identidad y comportamiento real de la infraestructura.
03
Impacto demostrable
Evidencia técnica que explica qué puede ocurrir y por qué importa.
04
Remediación precisa
Información accionable para cerrar la exposición y verificar el parche.

Operaciones verificadas · 02

Evidencia de campo. No demos.

Operaciones ejecutadas contra infraestructura protegida y entornos de alta criticidad.

01 EUROPE / ENTERPRISE

Exposición crítica en infraestructura financiera Alemania · Operación multinacional

Operación adversarial sobre infraestructura financiera con presencia en cuatro países. En 24 horas se identificaron vulnerabilidades críticas y altas con exposición sobre datos confidenciales e infraestructura cloud.

Hallazgos

Críticos

24h

Entrega

02 ZERO-DAY / IDENTITY

Bypass de validación en Keycloak 18 CWE-347 · Identity

Descubrimiento de un fallo de día cero asociado a validación de objetos JWT, con impacto sobre el flujo de autorización OAuth dentro del entorno evaluado.

0-Day

Identity

CWE-347

Signature

100%

PoC

03 PRIVILEGE ESCALATION

Escalación de privilegios en seis requests Authorization Logic

Evaluación sobre una plataforma de registro empresarial donde una concatenación lógica permitió demostrar escalación de privilegios dentro del alcance autorizado.

Requests

+725

Records

Alertas

04 CRITICAL INFRASTRUCTURE

Análisis forense de infraestructura crítica Encrypted Delivery

Análisis forense sobre infraestructura de identidad y cómputo cívico. Se identificaron vulnerabilidades críticas y cadenas de ataque con entrega de evidencia bajo controles criptográficos.

Vulnerabilidades

Attack Chains

AES

256

ANTES DE QUE SEA EXPLOTABLE

Descúbrelo antes que ellos.

Agendar sesión confidencial

Método de trabajo · 03

De superficie expuesta a certeza.

RECON

Reconocer

Mapeamos la superficie expuesta: aplicaciones, APIs, infraestructura cloud y activos olvidados.

INFIL

Infiltrar

Evaluamos lógica de negocio, identidad, controles de acceso y rutas adversariales.

PROVE

Demostrar

Validamos técnicamente el impacto y reunimos evidencia reproducible.

VERIFY

Verificar

Re-testeamos después de la remediación para confirmar el cierre de la exposición.

Evidencia técnica · 04

Una vulnerabilidad no es real hasta demostrarla.

Auditamos lógica de negocio, cadenas de identidad y arquitecturas cloud donde los escáneres automáticos pierden contexto.

TRAYECTORIA VALIDADA

Trayectoria de compromiso verificada

● VERIFIED IN PRODUCTION

01 / RECON

Mapeo de superficie

Endpoint OIDC expuesto localizado durante reconocimiento de superficie.

/protocol/openid-connect

02 / PERIMETER

Control perimetral

Evaluación del comportamiento real detrás de controles defensivos y autenticación.

CONTROL PATH

03 / LOGIC

Fallo de validación

Condición de validación insegura detectada en el flujo de identidad.

CWE-347

04 / IMPACT

Impacto

Validación del impacto bajo condiciones y alcance autorizados.

CRITICAL

TARGET idp.target-financial.com

VECTOR CWE-347

STATUS VERIFIED

POST /auth/realms/enterprise/protocol/openid-connect/token HTTP/2
Host: idp.target-financial.com
User-Agent: Mozilla/5.0
Content-Type: application/x-www-form-urlencoded
Accept: application/json

grant_type=authorization_code
&client_id=fintech-core-client
&code=SplxlOBeZQQYbYS6WxSbIA
&redirect_uri=https://idp.target-financial.com/callback
&request=eyJhbGciOiJub25lIiwidHlwIjoiSldUIn0...

HTTP/2 200 OK
Content-Type: application/json;charset=UTF-8
Cache-Control: no-store
Strict-Transport-Security: max-age=31536000

{
  "access_token": "eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9...",
  "token_type": "Bearer",
  "expires_in": 3600,
  "scope": "openid profile email",
  "user_context": {
    "role": "global_admin",
    "status": "verified"
  }
}

--- a/src/services/oidc/token_validator.py
+++ b/src/services/oidc/token_validator.py

@@ validate_request_object(...)

- decoded = jwt.decode(
-     request_jwt,
-     options={"verify_signature": false}
- )

+ header = jwt.get_unverified_header(request_jwt)
+
+ if header.get("alg") in ["none", None, ""]:
+     raise SecurityException(
+         "Unsigned request object rejected"
+     )
+
+ decoded = jwt.decode(
+     request_jwt,
+     client_public_key,
+     algorithms=["RS256", "ES256"]
+ )

EJEMPLO ILUSTRATIVO · DATOS SANITIZADOS — Los detalles de operaciones reales se mantienen bajo estricta confidencialidad.

Modalidades de operación · 05

Distintos alcances. La misma certeza.

Operaciones adaptadas a la superficie, contexto y criticidad de la organización.

01 FOCUSED

Core Strike Assessment

Operación enfocada en un activo crítico: API core, aplicación principal o superficie prioritaria.

Dominio o API prioritaria
Lógica transaccional
Evaluación adversarial
Validación PoC
Reporte ejecutivo y técnico
Entrega prioritaria

Solicitar operación ↗

PRIMARY DEPLOYMENT

02 FULL SURFACE

Full Surface Adversarial Audit

Evaluación integral de aplicaciones, APIs, cloud, identidad y lógica transaccional.

Inventario de activos
Business Logic Testing
Attack-chain analysis
Integración SARIF
Letter of Attestation
Re-testeo incluido

Solicitar operación ↗

03 CONTINUOUS

Continuous Offensive Validation

Evaluación adversarial continua para organizaciones con superficies críticas y exposición constante.

Operación continua
Zero-Day hunting
Técnicas adversariales avanzadas
Re-testeo bajo demanda
Canal confidencial
Soporte de cumplimiento

Contactar enlace ↗

Garantías operativas · 06

Diseñado para operar donde importa.

Cero simulaciones

Los hallazgos reportados deben estar respaldados por evidencia.

Production Safe

Operaciones diseñadas para trabajar dentro de límites y controles acordados.

Entrega confidencial

Manejo controlado y cifrado de evidencia e información sensible.

Letter of Attestation

Documentación para auditoría, cumplimiento y juntas directivas.

ZK VERIFIED 2026

CERTIFICACIÓN DE EVIDENCIA

Certificación Formal de Postura Adversarial

Instrumento pericial para Comités de Auditoría, Juntas Directivas, Fondos de Inversión y equipos de cumplimiento.

Zekro Intelligence S.A.S. certifica que los activos contenidos dentro del alcance autorizado fueron evaluados mediante procedimientos adversariales controlados.

Los vectores reportados fueron acompañados de evidencia técnica y pueden someterse a validación posterior a la remediación.

ID ZEKRO-ATT-2026-0914-774

METHOD ASVS / MITRE ATT&CK

SHA256 8f4e2b7a9c1d0e5f...c1d0e5f

Preguntas frecuentes · 07

Preguntas frecuentes.

¿En qué se diferencia Zekro de un escáner o un pentest tradicional?

Zekro ejecuta evaluaciones adversariales dentro del alcance acordado y prioriza evidencia verificable por encima del volumen de alertas.

¿Es seguro ejecutar esto sobre infraestructura en producción?

Las operaciones se planifican junto con la organización y se ejecutan bajo límites técnicos definidos para minimizar riesgo operacional.

¿Qué entregan exactamente en cada hallazgo?

Evidencia técnica, contexto de impacto, trazabilidad del hallazgo y orientación de remediación. Dependiendo del alcance también puede incluirse re-testeo y Letter of Attestation.

¿Cómo empiezo y cuánto tarda?

El proceso comienza con una sesión confidencial en la que se define superficie, restricciones y objetivos. La duración depende del alcance.

SESIÓN CONFIDENCIAL

Conoce la exposición real antes que los adversarios.

Una operación confidencial. Evidencia comprobable. Sin ruido.

Solicitar operación sales@zekro.io WhatsApp · Canal directo