¿Cuánto cuesta un Pentest en Argentina?

Una de las preguntas más frecuentes que recibimos de gerentes y líderes técnicos es: "¿Cuánto me va a salir esto?". La respuesta corta es que depende del alcance. La respuesta larga (y la más útil) es la que desarrollamos en este artículo.

Factores que afectan el precio de un Pentest

1. El Alcance (Scope)

No es lo mismo auditar una landing page corporativa que auditar un sistema bancario transaccional con 50 endpoints de API y 3 roles de usuario distintos. Cuanto mayor es el alcance, más días de trabajo manual requiere el equipo ofensivo.

2. Tipo de Enfoque: Black, Grey o White Box

• Black Box: El pentester no tiene información ni credenciales. Simula un ataque 100% externo. (Suele ser más rápido, pero menos profundo).
• Grey Box: Se otorgan credenciales de usuario estándar. Es el más común y recomendado para aplicaciones web.
• White Box: Se otorga acceso al código fuente y documentación completa. Es el más exhaustivo y, lógicamente, el que lleva más horas de ingeniería.

3. Pentest Manual vs Vulnerability Scan Automático

Un error grave (y muy común) es comprar un "Pentest" muy barato que resulta ser simplemente un escáner automático (como Nessus o Acunetix) exportado en PDF. Un Pentest real implica que un ingeniero de seguridad (hacker ético) intente vulnerar la lógica de negocio, encadenar vulnerabilidades e interpretar el contexto. Los escáneres automáticos no entienden lógica de negocio.

Rangos de Precios de Referencia en Argentina

Aunque cada proyecto se cotiza a medida (generalmente basado en cantidad de días/hombre o por componente), estos son rangos orientativos para un Pentest profesional y manual en el mercado argentino actual:

• Aplicación Web Simple o API pequeña: Suele cotizarse entre USD $1.500 y $3.000.
• Plataformas SaaS complejas (Múltiples roles, pasarelas de pago): Rango de USD $3.000 a $6.000+.
• Infraestructura Externa (Perímetro corporativo pequeño/mediano): Desde USD $1.000 a $2.500.
• Aplicación Mobile (iOS + Android): Desde USD $2.500 a $5.000 por ambas plataformas.

Nota: Los valores suelen cotizarse en USD al tipo de cambio oficial o MEP dependiendo del proveedor, para mantener estabilidad presupuestaria.

Por qué lo barato sale caro

Si encontrás a alguien que te cobra USD $200 por un pentest, desconfiá. Probablemente ejecuten una herramienta automatizada y te entreguen un reporte lleno de "falsos positivos" (cosas que la herramienta marca como error pero que no lo son). Terminarás pagando a tus desarrolladores horas extra para investigar problemas que no existen, mientras las verdaderas fallas de diseño pasan desapercibidas.