Pase 3 Frasa/Grupo Frisa + Reportes ejecutivos 8 empresas + README actualizado

reportes-ejecutivos/groke.md

@@ -0,0 +1,56 @@
+# REPORTE EJECUTIVO DE PENTESTING
+## Groke
+**Cliente:** Groke
+**URL:** https://groke.mx
+**Fecha:** 2026-03-25 / 2026-03-26
+**Realizado por:** Consultoría AS — Iván Alcaraz Salazar
+**Clasificación:** CONFIDENCIAL
+
+---
+
+## Resumen Ejecutivo
+
+Se realizó una evaluación de seguridad del sitio web de Groke. El sitio principal usa Next.js en Vercel (bien protegido), pero el servidor real (64.91.245.110) expone **17 puertos abiertos** incluyendo MySQL, FTP, SSH, cPanel, WHM y servicios de correo con **credenciales transmitidas en texto plano**.
+
+## Estadísticas
+
+| Severidad | Cantidad |
+|-----------|----------|
+| 🔴 Crítica | 0 |
+| 🟠 Alta | 9 |
+| 🟡 Media | 12 |
+| ⚪ Info | 8 |
+| **Total** | **29** |
+
+## Hallazgos Más Graves
+
+### 1. POP3/IMAP AUTH PLAIN sin TLS Obligatorio (CVSS 7.5)
+Credenciales de correo se transmiten en texto plano. Un atacante en la misma red puede capturarlas.
+
+### 2. OpenSSH 7.4 (2016) con CVEs de RCE
+Versión de hace 10 años con múltiples vulnerabilidades críticas conocidas.
+
+### 3. MySQL 3306 Expuesto a Internet
+Base de datos accesible desde internet, vulnerable a brute force.
+
+### 4. 17 Puertos Abiertos
+FTP, SSH, cPanel, WHM, Webmail, SMTP, POP3, IMAP, MySQL — todos expuestos.
+
+### 5. Directory Listing en 7 Directorios
+Toda la estructura del proyecto (imágenes, CSS, JS, builds) visible públicamente.
+
+### 6. Mixed Content Masivo
+66 referencias HTTP vs 11 HTTPS — vulnerable a inyección Man-in-the-Middle.
+
+## Recomendaciones Prioritarias
+
+1. **URGENTE:** Actualizar OpenSSH a versión actual
+2. **URGENTE:** Cerrar MySQL a internet
+3. **URGENTE:** Forzar TLS en POP3/IMAP (deshabilitar AUTH PLAIN)
+4. **ALTA:** Reducir puertos abiertos (cerrar servicios innecesarios)
+5. **ALTA:** Deshabilitar directory listing
+6. **MEDIA:** Implementar DMARC con p=reject
+7. **MEDIA:** Corregir mixed content (migrar todo a HTTPS)
+
+---
+*Reporte generado por Consultoría AS — Todos los derechos reservados*