Cuando un sistema se comporta de una determinada manera, debemos preguntarnos por qué. ¿Responde así porque existe una vulnerabilidad real? ¿O porque está diseñado precisamente para reaccionar de ese modo ante entradas no previstas? La diferencia es clave.

Traducido al ejemplo: ¿el comercial ha reaccionado de forma extraña porque lo hemos sacado de su guion, o porque realmente su empresa también vende cafeteras y está intentando consultar con otro compañero?

En este punto empezamos a pensar como lo haría un atacante: no para causar daño, sino para anticipar qué caminos podría intentar explotar alguien con malas intenciones. Tal vez podamos construir una interacción que haga que una máquina revele más información de la debida. Tal vez no tengamos acceso directo a un determinado sistema, pero sí a otro que ya confía en él y puede servir como puente.

Cuando hemos definido un conjunto razonable de hipótesis, llega el momento de ponerlas a prueba. Modificamos peticiones, alteramos parámetros, repetimos pruebas y tratamos de confirmar o descartar nuestras sospechas.