Cómo Tucafi validó su CRM en un solo ciclo y sostiene la remediación de sus sistemas críticos sin frenar la operación

Acerca de Tucafi

Tucafi es una sociedad financiera mexicana que ofrece créditos y servicios financieros para emprendedores, comerciantes y microempresarios. Toda su operación de crédito corre sobre sistemas productivos: un core financiero, un CRM y una aplicación de contratos y firmas digitales que usan sus asesores.

• Industria: Servicios financieros
• Producto: Soluciones de crédito, operadas sobre un core financiero, un CRM y una aplicación de contratos y firmas digitales que usan sus asesores de crédito

Contexto y desafíos

Para Tucafi, la seguridad no se puede pensar separada de la operación. Sus sistemas de crédito y su core financiero son totalmente productivos: cualquier cambio en ellos repercute directamente en el negocio. Por eso, cada hallazgo de seguridad trae una segunda pregunta tan importante como la primera: cómo corregirlo sin interrumpir lo que está funcionando.

"El proyecto realmente es totalmente productivo, y hacer algún cambio repercute en la parte operativa. Por eso tenemos mucho cuidado en hacer cualquier cambio en ese sistema."

Equipo De Tucafi

En 2025, después de evaluar a tres proveedores de seguridad ofensiva, el equipo eligió a Strike. Por la calidad del servicio y, sobre todo, por la forma de trabajar: una lógica cercana a la de un ataque real, con un enfoque ético que les dio la confianza para abrir sus activos más sensibles.

"Ustedes son de los más éticos y de los que trabajan tal cual si fuera un hackeo en realidad."
Equipo De Tucafi

Después de validar su core financiero, Tucafi decidió ir por su CRM, uno de los sistemas de mayor operación de la compañía, mientras avanza en paralelo con la migración de ese core.

‍

Trabajando con Strike

‍[01] Un ejercicio cerrado antes de lo esperado

Lo primero que destacó el equipo de Tucafi fue el tiempo. El CRM se evaluó por completo en un solo ciclo, y el ejercicio se cerró mucho más rápido que con el modelo con el que trabajaban antes.

Parte de esa velocidad la explica la IA. En el modelo de Strike, la Validación Híbrida Continua combina Threat Emulation potenciada por IA con un equipo experto que valida cada hallazgo antes de que llegue al cliente: la IA acelera la cobertura y el criterio humano define qué es real y qué importa.

"Con la actualización de la inteligencia artificial ayudó bastante a agilizar los procesos."
Equipo De Tucafi

Que Tucafi haya adoptado ese modelo sin fricciones no es un dato menor: la compañía también está explorando sus propios proyectos de inteligencia artificial, y encontró en Strike una solución alineada con su agenda tecnológica.

El resultado: Más velocidad, sin perder profundidad.

‍

[02] Una migración de plataforma sin complicaciones

En el último año, Strike dio un salto en su modelo: pasó de evaluaciones de seguridad organizadas por proyecto a una plataforma de Validación Híbrida Continua. En ella, agentes de IA y el equipo de hackers éticos certificados de Strike ponen a prueba cada activo de forma continua, y cada hallazgo crítico se valida antes de llegar al cliente.

La plataforma integra el mapeo de la superficie de ataque, la ejecución de Threat Emulation, es decir, ataques simulados que replican técnicas reales y la priorización y el seguimiento de la remediación.

Para los clientes que ya trabajaban con Strike, como Tucafi, ese cambio implicó migrar a la nueva plataforma. Para Tucafi, ese paso fue rápido. El equipo pudo entrar poco después de confirmar la continuidad del servicio, y encontró que gran parte de la información previa ya estaba migrada.

Además destacaron que configurar e iniciar una evaluación también se volvió más simple: menos datos requeridos y una experiencia más intuitiva que en la plataforma anterior.

"El cambio fue casi inmediato y pudimos entrar de volada. Es mucho más práctico, menos datos, es más intuitivo."
Equipo De Tucafi

El resultado: Menos fricción para arrancar, más tiempo para lo que importa.

‍

[03] Remediar sin poner en riesgo la operación

En el ejercicio sobre el CRM, Strike identificó vulnerabilidades de severidad crítica y alta. Para Tucafi, encontrarlas es solo la mitad del trabajo. La otra mitad es corregirlas en un sistema productivo, donde un cambio puede afectar la operación del negocio. Por eso el equipo avanza con la remediación de forma gradual, priorizando qué se corrige primero.

Para acompañar ese ritmo, su programa con Strike incluye cuatro retesteos al año. Cada uno les permite confirmar que las correcciones ya aplicadas funcionan y seguir de cerca lo que todavía está pendiente. Además, pueden ajustar el foco de cada ciclo (el prompt que orienta la evaluación) para dirigirlo al riesgo o al área que más lo necesite en ese momento.

"Me gustó este ejercicio, me gusta este tema de que hay cuatro retesteos y poder modificar el prompt."
Equipo De Tucafi

La misma lógica se aplica a sus distintos sistemas. Con un esquema de créditos, Tucafi decide qué activo evaluar en cada etapa: primero fue su core financiero, después el CRM, y ahora analiza usar los créditos restantes en su infraestructura o en la aplicación de contratos y firmas digitales de sus asesores.

En el modelo de Strike, este enfoque de validación y remediación continua sostiene en promedio un 44% menos de tiempo medio de remediación.

El resultado: Una remediación ordenada, al ritmo que permite la operación.

‍

[04] Acompañamiento en cada paso

Cambiar de plataforma en medio de un programa de seguridad activo podría haber sido un punto de fricción. Para Tucafi no lo fue, y gran parte de eso lo explica el acompañamiento del equipo de Strike, uno de los aspectos que más reconocieron. Destacaron la disponibilidad y el seguimiento cercano durante la adopción de la nueva plataforma. Lo que les permitió tener a alguien de referencia para avanzar en cada paso, desde el primer acceso hasta la configuración de las nuevas evaluaciones.

"Hemos tenido acompañamiento, disponibilidad. Siempre de la mano de ella, avanzando."
Equipo De Tucafi

Ese acompañamiento no termina en la puesta en marcha. En el modelo de Strike, la plataforma es solo una parte.

Por un lado, el equipo de Customer Success, que acompaña a cada cliente en el día a día: la adopción de la plataforma, la planificación de los ciclos de evaluación y el seguimiento de los retests. Por otro, el Hacking Team, el equipo de hackers éticos certificados que supervisa cada evaluación, valida los hallazgos críticos y ayuda a priorizar qué corregir primero.

Para una compañía como Tucafi, que tiene que corregir con cuidado sobre sistemas productivos, contar con ese respaldo humano es lo que permite avanzar sin improvisar.

‍

Tucafi opera sistemas de crédito centrales para su negocio, sensibles a cualquier interrupción. Con la Validación Híbrida Continua de Strike, combinó velocidad y continuidad: evaluó su CRM completo en un solo ciclo y sostiene la remediación con cuatro retesteos al año, priorizando activo por activo sin frenar la operación.

‍