El informe

El impacto de un hallazgo es qué le pasa al negocio si no se corrige, dicho en términos del negocio y no de la técnica. «Inyección SQL en el buscador» es la técnica; el impacto es «un atacante no autenticado puede leer los datos personales de todos los clientes de la tienda». El impacto conecta el fallo con lo que al cliente le importa —datos, dinero, continuidad, cumplimiento— y es lo que justifica dedicar tiempo a arreglarlo. Un impacto bien escrito no exagera para asustar ni minimiza para no incomodar: describe la consecuencia real.

En Arrecife, para el hallazgo de la inyección de la tienda, el impacto correcto es el que traduce el fallo técnico a su consecuencia para el negocio.

La reproducción son los pasos para volver a ver el hallazgo, escritos para que una persona del equipo del cliente —que no estuvo en el engagement— pueda seguirlos y confirmarlo. Sin reproducción, el hallazgo no es verificable: el cliente no puede comprobar que existe ni, después, comprobar que lo arregló. Los pasos incluyen el objetivo, la petición o acción concreta y el resultado observado, con la evidencia mínima que lo demuestra.

En Arrecife, para el control de acceso roto de los pedidos, la reproducción tiene que permitir que el cliente lo repita: autenticarse como cliente, cambiar el número del pedido en la dirección y observar que ve el de otro. Un hallazgo sin esos pasos no es accionable.

Aquí es donde un pentest se vuelve útil: cada hallazgo lleva cómo se arregla. La remediación es concreta y accionable —consultas parametrizadas para la inyección, comprobación de propiedad del recurso para el control de acceso, un algoritmo de hash lento con sal para las contraseñas, quitar el privilegio de token sobrante—. Un informe sin remediación es una lista de miedos; con ella, es trabajo que el equipo puede planificar. La remediación ataca la causa, no el síntoma: no «filtrar la comilla», sino «separar datos de instrucción en la consulta».

En Arrecife, para la inyección de la tienda, la remediación correcta es la que elimina la causa raíz, no la que tapa el síntoma concreto que probaste.

El cliente de Arrecife no puede arreglarlo todo a la vez, así que el informe ordena los hallazgos por riesgo —una combinación de impacto y de lo fácil que es de explotar—. La inyección no autenticada que expone a todos los clientes va por encima de un servicio de archivos anónimo que solo lista nombres de carpetas. Ese orden es un servicio al cliente: le dice por dónde empezar. Un informe que entrega veinte hallazgos sin prioridad deja al cliente igual de perdido que sin informe.

Al cerrar Arrecife, priorizas: el hallazgo que un atacante externo puede explotar sin credenciales y que expone datos sensibles encabeza la lista; los de bajo impacto y difícil explotación van al final.

El hallazgo central del informe es la cadena, y la cadena termina en un sitio concreto. Abre el laboratorio y lee la hoja de hallazgos: sigue los eslabones —inyección, credencial reutilizada, pivote— hasta el host interno donde terminan, la base de datos con los datos de clientes. Aísla el nombre de ese host.