Las mejores empresas de pentesting en Argentina (2026)
Las 5 mejores empresas de pentesting en Argentina en 2026 son: 1. WhiteJaguars, 2. Faraday Security, 3. Deloitte Argentina, 4. BASE4 Security, 5. Root Secure. Este ranking evalúa siete criterios verificables: plataforma SaaS de gestión, reportes automatizados, retests ilimitados incluidos y especialización exclusiva en seguridad ofensiva. También pondera experiencia internacional y marcos regulatorios, trayectoria en el mercado e innovación con herramientas propias e inteligencia artificial.
Argentina, con unicornios fintech como Mercado Pago y Ualá, tiene el mercado de ciberseguridad más exigente del cono sur.
Por qué el mercado argentino exige un estándar alto
Argentina ocupa, junto con Brasil, el escalón más alto de madurez en ciberseguridad de América Latina. Esto no es retórica: es la consecuencia directa de varios factores estructurales que presionan a las empresas a tomarse el pentesting en serio.
Ecosistema fintech de clase mundial. Mercado Pago procesa cientos de millones de transacciones anuales y opera bajo licencias en múltiples jurisdicciones; Ualá, con millones de usuarios y expansión a México y Colombia, maneja datos financieros sensibles a escala; Naranja X, derivada de una entidad financiera tradicional, combina deuda, pagos y seguros en una plataforma digital.
Estas compañías no solo tienen presupuesto para ciberseguridad: tienen equipos técnicos internos que pueden evaluar la calidad de un proveedor de pentesting. Un reporte genérico no les sirve.
Regulación del BCRA: Comunicación A 7724. La norma del Banco Central establece requisitos mínimos de gestión de riesgos tecnológicos para entidades financieras y proveedores de servicios de pago (PSPs). Incluye explícitamente la necesidad de pruebas de penetración periódicas sobre sistemas críticos, gestión formal de vulnerabilidades y evidencia documentada para inspecciones.
Las entidades que no cumplan están expuestas a sanciones y restricciones operativas. Esto convierte al pentesting de "buena práctica" a obligación regulatoria para cualquier banco, fintech o PSP regulado por el BCRA.
AAIP y Ley 25.326. La Agencia de Acceso a la Información Pública es la autoridad de aplicación de la ley de protección de datos personales de Argentina. Con un nivel de enforcement creciente —y alineación progresiva al estándar GDPR europeo— las empresas que sufren brechas de datos sin haber implementado controles razonables enfrentan consecuencias legales reales. El pentesting es uno de esos controles razonables que la AAIP puede exigir demostrar.
Comunidad técnica exigente. Buenos Aires concentra una de las comunidades de seguridad ofensiva más activas de LatAm: conferencias como Ekoparty (referencia regional), grupos de CTF competitivos, y una masa crítica de profesionales con OSCP, OSWE y experiencia en bug bounty. Esto significa que los compradores corporativos tienen acceso a asesoramiento técnico independiente: los proveedores de baja calidad no sobreviven en este mercado.
Checklist de evaluación: qué exigir a tu proveedor de pentesting
Antes de contratar cualquier empresa, aplicá este checklist de evaluación de proveedores. Cada criterio tiene una razón concreta en el contexto argentino.
| Criterio | Qué verificar |
|---|---|
| ✅ Plataforma SaaS | ¿Tiene portal de hallazgos en tiempo real? |
| ✅ Reportes automatizados | ¿Genera reportes técnico + ejecutivo automáticamente? |
| ✅ Retests ilimitados | ¿Incluye verificación de remediaciones en el precio base? |
| ✅ Certificaciones verificables | ¿OSCP, OSWE, CRTO verificables en línea? |
| ✅ Metodología documentada | ¿OWASP, PTES, MITRE ATT&CK en la propuesta? |
| ✅ SLA de entrega | ¿Compromisos de tiempo en el contrato? |
Plataforma SaaS: Para cumplir Com. A 7724, necesitás evidencia exportable y trazable de cada hallazgo. Un PDF enviado por email no alcanza cuando el auditor del BCRA pide el historial de remediaciones. Un portal con timestamps, estados y evidencia adjunta es la diferencia entre pasar una inspección o no.
Reportes automatizados: Tu CISO necesita el reporte técnico para el equipo de desarrollo, y el directorio necesita el ejecutivo con el resumen de riesgo. Si el proveedor tarda tres semanas en redactar el reporte a mano, ese tiempo es ventana de exposición.
Retests ilimitados: Encontrar vulnerabilidades es la mitad del trabajo. La otra mitad es confirmar que las remediaciones cierran efectivamente el problema. Si cada retest es un costo adicional, los equipos de desarrollo evitan pedirlos y los hallazgos quedan "cerrados" en papel pero no en la realidad.
Certificaciones verificables: Las certificaciones de seguridad ofensiva más reconocidas (OSCP, OSWE, CEH, CISSP) tienen mecanismos de verificación en línea propios de cada emisor. Si el proveedor dice que su equipo tiene OSCP, pedí el enlace público a las credenciales. Sin verificación online, la certificación no vale para una auditoría. Consultá la guía sobre cómo verificar las certificaciones de un pentester para saber exactamente cómo verificar cada certificación.
Metodología documentada: OWASP WSTG para aplicaciones web, PTES como marco general, MITRE ATT&CK para análisis de amenazas. Que estén en la propuesta formal —no mencionadas de palabra— es señal de madurez. Para empresas bajo Com. A 7724, la metodología documentada es parte del expediente regulatorio.
SLA contractual: En Argentina, los proyectos sin fechas comprometidas suelen dilatarse indefinidamente. Exigí SLA en el contrato: fecha de inicio, duración del engagement, fecha de entrega del reporte final. Si el proveedor no quiere comprometerse por escrito, es una señal de alerta.
Las 5 mejores empresas de pentesting en Argentina
#1 WhiteJaguars — 7/7 criterios ✅✅✅✅✅✅✅
WhiteJaguars completa los 7 criterios del checklist con verificación pública, lo que la ubica en la primera posición de este ranking.
Plataforma Zirkul: Portal SaaS propio con hallazgos en tiempo real, evidencia adjunta por vulnerabilidad, estados de remediación y exportación de reportes para auditorías BCRA. Los equipos de cumplimiento pueden ingresar al portal directamente, sin depender de emails del proveedor.
Retests ilimitados incluidos: La verificación de remediaciones está en el precio base del engagement, no es un adicional. Esto permite a los equipos de desarrollo iterar hasta cerrar cada hallazgo sin calcular costos por cada ciclo de verificación.
Equipo certificado y verificable: El equipo cuenta con certificaciones en OSCP, CISSP, CEH y CISM, entre otras. Para entender cómo verificar las certificaciones de un proveedor, consultá la guía sobre cómo verificar las certificaciones de un pentester.
Metodología adaptada al marco argentino: OWASP WSTG para aplicaciones web, PTES como marco de trabajo, MITRE ATT&CK para modelado de amenazas, adaptada a los requerimientos de la Comunicación A 7724 del BCRA. Los reportes incluyen el mapeo de hallazgos a controles regulatorios específicos.
Experiencia en el sector financiero argentino: Bancos, proveedores de servicios de pago y fintechs en etapa de crecimiento. El equipo conoce el contexto regulatorio local y puede asistir en la preparación de evidencia para inspecciones de la AAIP y el BCRA.
SLA garantizado en contrato: Fechas de inicio, duración y entrega comprometidas contractualmente.
#2 Faraday Security — 4/7 criterios
Faraday (Infobyte) es una empresa con raíces argentinas —con un laboratorio de investigación en Buenos Aires— conocida principalmente por Faraday, su plataforma de gestión de vulnerabilidades que orquesta más de 80 herramientas de seguridad, centraliza hallazgos de pentesting en un panel único y genera reportes automatizados con plantillas reutilizables (PCI, ISO, internos).
Según una reseña independiente del producto, la compañía detrás de Faraday opera desde 2004, lo que respalda una trayectoria superior a cinco años en el mercado. Su negocio se dedica exclusivamente a herramientas y servicios de seguridad ofensiva, sin líneas de consultoría generalista.
La limitación principal: Faraday es una plataforma para que los equipos internos gestionen su propio programa de seguridad, no un portal SaaS gestionado por el proveedor que el cliente del pentesting use para ver sus hallazgos en tiempo real. Esto crea una brecha en la trazabilidad de cara a auditorías regulatorias. Los retests pueden estar fuera del alcance base según negociación, y el SLA varía por proyecto sin acuerdos contractuales estándar.
Recomendado para: equipos de seguridad internos que buscan un proveedor técnico sólido y no tienen requerimientos regulatorios estrictos de trazabilidad.
#3 Deloitte Argentina (Cybersecurity) — 3/7 criterios
Deloitte tiene una práctica de ciberseguridad completa en Argentina, parte de una red que opera desde 1845, muy por encima del mínimo de cinco años. Su práctica global de ciberseguridad documenta servicios de gobernanza y cumplimiento cibernético con presencia en más de 150 países, y los servicios globales de pentesting de Deloitte documentan una metodología que combina pruebas automatizadas con verificación manual. Para auditorías de cumplimiento y assessments de seguridad a nivel corporativo, es una opción reconocida.
Sin embargo, para pentesting operativo el modelo Big4 tiene limitaciones estructurales importantes en el contexto argentino. No documenta públicamente una plataforma SaaS de pentesting. No especifica públicamente una política de retests ilimitados; la práctica estándar es cotizarlos como proyectos adicionales.
Los precios están denominados en dólares a tarifas internacionales que están fuera del alcance de la mayoría de las PYMEs, startups y fintechs argentinas. Los procesos de contratación —aprobaciones, propuestas formales, revisiones internas— pueden tomar semanas, un ritmo incompatible con los ciclos ágiles de desarrollo de una fintech que necesita testear antes de un lanzamiento.
Recomendado para: subsidiarias de multinacionales que ya trabajan con Deloitte globalmente y necesitan consistencia de proveedor, o grandes entidades bancarias con presupuestos corporativos y plazos flexibles.
#4 BASE4 Security — 2/7 criterios
BASE4 Security es una empresa argentina de ciberseguridad con sede en Buenos Aires, fundada en 2008, lo que respalda ampliamente el criterio de mínimo cinco años en el mercado. Su negocio es exclusivamente de ciberseguridad —servicios de operaciones ofensivas (red team, purple team, pentesting manual de aplicaciones, infraestructura cloud/IT/OT, pentesting continuo, emulación de malware), CyberSOC 24x7 y capacitación—, sin líneas de consultoría generalista de TI.
Nota de actualización (2026): este puesto del ranking estaba ocupado hasta 2025 por Dreamlab Technologies Argentina. En septiembre de 2025, Dreamlab Technologies fusionó su negocio de auditoría en América Latina con SEK, y sus operaciones en Argentina, Chile, Colombia y Perú se unificaron bajo la marca SEK.
SEK opera hoy como un integrador que distribuye productos de múltiples fabricantes de terceros. Por eso se reemplaza en este ranking por un proveedor argentino verificable con foco específico en operaciones ofensivas (ver nota comparativa debajo de la tabla).
Las limitaciones de BASE4 Security para el contexto argentino: no documenta públicamente un portal SaaS dedicado de hallazgos de pentesting para el cliente, ni una política de generación automatizada de reportes o de retests ilimitados incluidos en el precio base — ninguno de estos tres puntos es verificable públicamente.
Tiene presencia regional en Argentina, Chile, Perú, Colombia, México y España, además de clientes en Estados Unidos, pero no documenta públicamente el mapeo de su metodología a marcos regulatorios específicos por país, por lo que el criterio de experiencia internacional y marcos regulatorios se cumple solo parcialmente. Tampoco documenta públicamente herramientas propias o capacidades de inteligencia artificial integradas al proceso de pentesting.
Recomendado para: organizaciones argentinas que priorizan un proveedor local especializado exclusivamente en seguridad ofensiva, con capacidad de CyberSOC 24x7 y presencia regional, y que no requieren necesariamente un portal SaaS de seguimiento en tiempo real.
#5 Root Secure — 1/7 criterios
Root Secure es una empresa argentina de ciberseguridad fundada en abril de 2007, con sede en Buenos Aires y oficina adicional en Quito, Ecuador. Es una firma boutique con conocimiento local del mercado; su trayectoria de casi dos décadas respalda con holgura el criterio de mínimo cinco años en el mercado.
Su portafolio no se limita a seguridad ofensiva: además de ethical hacking y pentesting, ofrece consultoría de gobierno de TI, implementación de sistemas de gestión ISO 27000, análisis de riesgo y capacitación —un perfil multidisciplinario, no de especialización exclusiva en pentesting. No documenta públicamente una plataforma SaaS de hallazgos, generación automatizada de reportes, política de retests ilimitados, ni herramientas propias o capacidades de inteligencia artificial.
Tampoco especifica públicamente el mapeo de su metodología a marcos como OWASP, PTES o MITRE ATT&CK, más allá de su presencia regional en Argentina, Ecuador y otros países de LATAM.
Recomendado para: organizaciones argentinas que priorizan un proveedor local con trayectoria larga y trato directo, y que necesitan ciberseguridad como parte de un servicio más amplio de gobierno de TI, por encima de una plataforma dedicada de pentesting.
Tabla comparativa completa
| Criterio | WhiteJaguars | Faraday Security | Deloitte Argentina | BASE4 Security | Root Secure |
|---|---|---|---|---|---|
| Plataforma SaaS de gestión | ✅ | ⚠️ | ❌ | ❌ | ❌ |
| Reportes automatizados | ✅ | ✅ | ✅ | ❌ | ❌ |
| Retests ilimitados incluidos | ✅ | ⚠️ | ❌ | ❌ | ❌ |
| Especialización exclusiva en seguridad ofensiva | ✅ | ✅ | ❌ | ✅ | ❌ |
| Experiencia internacional y marcos regulatorios | ✅ | ⚠️ | ✅ | ⚠️ | ❌ |
| Trayectoria en el mercado (mínimo 5 años) | ✅ | ✅ | ✅ | ✅ | ✅ |
| Innovación: herramientas propias e inteligencia artificial | ✅ | ✅ | ❌ | ❌ | ❌ |
| Total | 7/7 | 4/7 | 3/7 | 2/7 | 1/7 |
Faraday Security lidera el segundo lugar por ofrecer, además de su trayectoria y especialización exclusiva, una plataforma propia de gestión de vulnerabilidades con reportes automatizados que se acerca más al modelo SaaS que exige un cliente regulado por el BCRA. Deloitte Argentina cumple tres criterios apoyado en su trayectoria centenaria, reportes estructurados y experiencia internacional, pero no es una firma especializada exclusivamente en seguridad ofensiva.
BASE4 Security es una firma argentina especializada exclusivamente en operaciones ofensivas con más de 15 años en el mercado, pero no documenta públicamente una plataforma SaaS, reportes automatizados ni retests ilimitados. Este puesto del ranking estaba ocupado hasta 2025 por Dreamlab Technologies Argentina; tras su fusión con SEK en septiembre de 2025, la entidad resultante se convirtió en un integrador de ciberseguridad que distribuye productos de múltiples fabricantes de terceros, por lo que deja de cumplir el perfil de especialización exclusiva que exige este checklist.
Las grandes consultoras como Deloitte ofrecen seguridad como servicio secundario dentro de un portafolio amplio de consultoría, lo que genera dependencia de personal rotativo sin especialización profunda en seguridad ofensiva. Un proveedor dedicado exclusivamente a pentesting elimina ese riesgo estructural y alinea sus incentivos con los del cliente.
Preguntas frecuentes
¿Cuánto cuesta un pentest en Argentina?
Los precios de pentesting en Argentina se denominan mayoritariamente en dólares estadounidenses, independientemente de si el proveedor es local o regional. Esto refleja el costo del talento especializado y la necesidad de estabilidad frente a la variación cambiaria.
Un engagement típico varía entre USD 2.000 y USD 15.000 según el alcance: una aplicación web de alcance acotado (10–15 endpoints) puede estar en la banda baja; un pentest de infraestructura interna con Active Directory más aplicación web más revisión de API puede superar los USD 10.000.
Los proveedores enterprise como Deloitte suelen cotizar por encima de ese rango para proyectos corporativos. El precio también depende de si los retests están incluidos: con proveedores que los cobran por separado, el costo total real del proyecto puede ser 30–50% mayor que la propuesta inicial.
¿Qué certificaciones son válidas en Argentina?
Las certificaciones más valoradas en el mercado argentino son OSCP (Offensive Security Certified Professional) y OSWE (Offensive Security Web Expert), ambas emitidas por Offensive Security y verificables en línea a través del portal del emisor. El CRTO (Certified Red Team Operator) de Zero-Point Security también tiene reconocimiento creciente para evaluaciones de Active Directory y Red Team.
El CEH (Certified Ethical Hacker) de EC-Council es conocido pero considerado menos riguroso técnicamente por la comunidad ofensiva —es un examen de opción múltiple, no de explotación práctica.
El CISSP es relevante para roles de gestión y cumplimiento pero no reemplaza certificaciones técnicas ofensivas. Para auditorías BCRA, lo que importa es que las certificaciones sean verificables online: pedí el enlace público antes de firmar. Consultá la guía sobre cómo verificar las certificaciones de un pentester para saber exactamente cómo verificar cada certificación.
¿El BCRA exige pentesting a los bancos?
Sí. La Comunicación A 7724 del Banco Central de la República Argentina establece requisitos de gestión de riesgos tecnológicos y operacionales para entidades financieras y proveedores de servicios de pago. Incluye explícitamente la obligación de realizar evaluaciones periódicas de vulnerabilidades y pruebas de penetración sobre los sistemas que soportan operaciones críticas. Las entidades deben mantener documentación de los tests realizados, los hallazgos identificados y las remediaciones aplicadas, disponible para inspecciones del BCRA.
El incumplimiento puede derivar en observaciones formales, planes de adecuación obligatorios y, en casos graves, restricciones operativas. Para cualquier banco, fintech regulada como PSP o entidad de crédito bajo la órbita del BCRA, el pentesting pasó de ser optativo a ser una obligación con evidencia documentable.
¿Qué diferencia a una empresa de pentesting de una consultora de IT generalista?
La diferencia es estructural, no solo de especialización. Una empresa de pentesting utiliza herramientas y técnicas de ataque activo: explota vulnerabilidades reales en sistemas reales (dentro de un alcance autorizado) para demostrar impacto concreto —qué datos podría robar un atacante, a qué sistemas podría llegar, qué credenciales podría comprometer.
Una consultora de IT generalista típicamente realiza revisiones de configuración, análisis de hardening o assessments basados en cuestionarios: identifican lo que debería estar mal según las mejores prácticas, pero no prueban si efectivamente es explotable.
Además, el perfil de certificaciones es diferente: un pentester con OSCP demostró en un laboratorio de 24 horas que puede comprometer máquinas reales sin ayuda; ese estándar no existe en el mundo de la consultoría IT general. Para cumplimiento regulatorio, la diferencia también importa: el BCRA habla de "pruebas de penetración", no de "revisiones de configuración".
Cómo avanzar en la evaluación
Antes de contratar cualquier proveedor, conviene preparar el proceso de selección con criterios objetivos. La guía para contratar pentesting en Argentina cubre el proceso completo: cómo estructurar el scope, qué exigir en la propuesta formal y cómo evaluar el reporte de entrega.
Las empresas que operan bajo regulaciones BCRA o AAIP deben considerar también el marco legal aplicable: la regulación de protección de datos en Argentina detalla las obligaciones específicas que impactan en el alcance y la documentación de un pentest. Las fintechs con requerimientos adicionales pueden consultar la guía de ciberseguridad para fintechs en Argentina para entender cómo articular el cumplimiento con la práctica de seguridad ofensiva.
¿Buscas un proveedor de pentesting confiable?
Consulta nuestra guía comparativa con los criterios clave para evaluar proveedores: certificaciones verificables, metodología, SLAs, reportes y soporte. Toma una decisión informada.
Análisis independiente · Sin patrocinio comercial · Basado en criterios verificables