De un vistazo
- Aikido SAST y SCA ejecutándose en todos los repositorios a través de la integración de GitHub
- El plugin para IntelliJ ofrece feedback a los desarrolladores mientras escriben código
- La integración con Jira convierte los hallazgos en tickets de corrección que los desarrolladores pueden asumir
- Aikido AI Pentest en el nuevo portal de clientes completado en 1 hora y 40 minutos
- Un hallazgo de alta gravedad mitigado antes de que el portal fuera público
- El pentest se ejecutó en modalidad white-box porque Aikido ya tenía acceso al repositorio
- Evaluado frente a Veracode, Checkmarx y Snyk
Desafío.
First National Bank of America es un banco de titularidad familiar y estatuto nacional con sede en East Lansing, Míchigan. FNBA ofrece préstamos en todo el país a prestatarios que no cumplen con los criterios de las hipotecas convencionales y, hasta hace poco, casi todo lo desarrollado por su equipo interno permanecía dentro del banco.
A medida que el banco crecía, también lo hacían las expectativas de los reguladores, por lo que FNBA se propuso incorporar una revisión de seguridad a un proceso de desarrollo que ya abarcaba la calidad del código y la revisión de Java. Eric Tucker, director de desarrollo de software, también quería subsanar las deficiencias conocidas en sus antiguas aplicaciones internas, que se ejecutan en un marco de trabajo de Java con un uso intensivo de bases de datos que data de principios de la década de 2000.
Entonces llegó el portal de clientes. Matt Keeler, Identity and Access Management Engineer, llevaba años realizando pentests de redes internas y externas en FNBA, pero el código de las aplicaciones del banco había permanecido protegido tras otros controles hasta este proyecto. El portal cambió esta situación y, al tratarse de una institución regulada a nivel federal, FNBA tenía la obligación de realizar un pentest en la aplicación antes de su lanzamiento público.
Solución
El equipo de desarrollo dio el primer paso. Eric y sus compañeros realizaron la evaluación, y la rapidez con la que Aikido se conectó con la infraestructura existente de FNBA influyó decisivamente en la elección.
"La integración con GitHub fue realmente sencilla. Resultó muy fácil y rápido ponerla en marcha en todos nuestros repositorios".
Eric Tucker
Aikido ahora informa de los resultados de análisis estático de código y de las dependencias de código abierto en todos los repositorios de la FNBA, y el equipo de Eric los revisa periódicamente. El complemento de IntelliJ ofrece información a los desarrolladores mientras escriben, los resultados aparecen en las solicitudes de incorporación de cambios (pull requests) de GitHub y las notificaciones señalan los nuevos problemas críticos a medida que surgen. La integración con Jira convierte esos resultados en tickets que cualquier desarrollador puede asumir.
"Les asignamos actualizaciones de versiones o cambios para prevenir inyecciones SQL mientras intentamos reducir las vulnerabilidades en nuestras aplicaciones internas. Cualquier desarrollador con un acceso a GitHub puede entrar, seleccionar una vulnerabilidad, solucionarla, crear el ticket y, a continuación, podemos integrarlo en nuestro SDLC. A partir de ese momento, todo es muy sencillo".
Eric Tucker
Cuando el portal estuvo listo, el departamento de seguridad tomó el relevo. Matt ejecutó un Aikido AI Pentest en marzo de 2026. El proceso concluyó en 1 hora y 40 minutos y devolvió incidencias abiertas, cada una con su nivel de gravedad y un tiempo estimado de resolución, lo que permitió a Matt evaluar las prioridades y delegar la remediación directamente en los desarrolladores. El pentest detectó un hallazgo de alta gravedad, y FNBA lo solucionó antes de que el portal fuera público.
Por qué First National Bank of America eligió Aikido
FNBA evaluó entre cuatro y cinco productos, mencionando expresamente a Veracode, Checkmarx y Snyk entre ellos. Durante el proceso, el equipo planteó una brecha de detección específica que necesitaba cubrir en su propio código base. Aikido la desarrolló y desplegó mientras FNBA aún estaba valorando las otras opciones, lo que decantó la balanza definitivamente.
La decisión sobre el pentesting llegó más tarde, como una consecuencia lógica de la primera. Aikido ya estaba conectado a los repositorios de FNBA para la seguridad del código, por lo que un pentest podía analizar el código con mayor profundidad en lugar de atacar la aplicación desde el exterior.
"Este pentest de tipo white-box tuvo un impacto mucho mayor porque contaba con el contexto de todos los repositorios y podía correlacionar cómo se comportaría todo en un entorno real".
Matt Keeler
FNBA también trabajaba contrarreloj y necesitaba un pentest rápido y fiable ejecutado en el menor tiempo posible.
"Estábamos bajo presión de tiempo y pudimos lanzar un pentest de inmediato, lo cual fue fantástico. Logramos iniciar el pentest apenas un día después de decidir que utilizaríamos Aikido".
Matt Keeler
Factores clave en la decisión:
- Una integración con GitHub que abarcó todos los repositorios con rapidez
- La capacidad de detección solicitada por FNBA, desarrollada y desplegada a mitad de la evaluación
- Plugin para IntelliJ que ofrece feedback inmediato a los desarrolladores
- Integración con Jira adaptada al SDLC existente
- Contexto del repositorio que convierte el pentest en una caja blanca por defecto
- Un pentest que el equipo pudo iniciar en menos de un día tras decidir ejecutarlo
Resultados
El portal se lanzó con los hallazgos de alta gravedad solucionados, gracias a la rapidez con la que finalizó el pentest. Según los cálculos de Matt, el equipo habría llegado ahí tarde o temprano, pero semanas o uno o dos meses más tarde.
En lo que respecta al desarrollo, el resultado es un historial que Eric puede presentar a los auditores internos y externos.
"Estamos eliminando de forma constante los problemas encontrados y obteniendo informes continuos sobre nuevas vulnerabilidades y problemas de dependencias, para luego corregirlos".
Eric Tucker
El tiempo de configuración también contó; Eric valora la configuración y la integración de Aikido como algo sencillo en comparación con el coste que los demás productos supusieron para su equipo antes de poder empezar a evaluarlos.
Veredicto final
"Poder lanzar un pentest de inmediato, y por el precio al que lo hicimos, nos aportó un valor increíble".
Matt Keeler
