Este fin de semana asistimos a la Feria de Empleo Ciberseguridad y primera edición de Bug Summit, organizada por Secur0 en La Nave, Madrid. El evento reunió a empresas, profesionales, estudiantes y especialistas en hacking ético en una jornada centrada en el bug bounty, la búsqueda de talento y la demostración práctica de capacidades técnicas.
La jornada combinó tres espacios diferenciados: una feria de empleo especializada en ciberseguridad, un programa de ponencias técnicas sobre bug bounty y una competición de hacking en vivo sobre objetivos reales en un entorno legal y controlado.
Mas de 300 personas acudieron al evento a lo largo de la jornada. Christian Figueras miembro de Araintel coincidió con otros profesionales de la comunidad como Mario Trujillo y Daniel Fadrique, donde pudieron conectar, compartir experiencias y disfrutar el evento.
Gran presencia institucional y del sector privado
La feria de empleo contó con la presencia de compañías del sector como MR INFORMATICA, S2GRUPO, Tarlogic, Plenergy, ACTITUD TI, Exceltic y T-Systems Iberia, además de centros educativos y entidades vinculadas a la formación tecnológica.
Para perfiles junior, estudiantes o profesionales en transición desde sistemas, redes o desarrollo, el evento ofreció una vía directa para conocer qué competencias demanda actualmente el mercado y las necesidades y retos que afrontan las empresas.
Charlas centradas en bug bounty y vulnerabilidades reales
El programa técnico abordó 9 ponencias y una mesa redonda donde se abordaron temas como la evolución del bug bounty, de la teoría del bug bounty a la practica, la explotación de APIs, las vulnerabilidades tipo SSRF y el uso de inteligencia artificial en la detección y reporte de vulnerabilidades.
Estas sesiones permitieron trasladar al público una idea recurrente: el hacking ético no se limita a resolver laboratorios, sino que exige metodología, documentación y comunicación responsable de hallazgos.
Entre los ponentes figuraron los investigadores y profesionales del ámbito de la ciberseguridad ofensiva y el bug bounty Jorge Cerezo , Ángel Montes, Alexandro Bindreiter, Erik Villegas, Miguel Segovia, Juan Antonio Rodriguez, Jorge Hurtado y Alejandro Las Heras.
Durante la jornada, Araintel pudo asistir a varias ponencias y espacios de debate centrados en la comunicación responsable de vulnerabilidades, la relación entre investigadores y empresas, y la actualidad del bug bounty en España.
En la mesa ‘Hackers vs Cisos», Javier Juárez, Jesús Valverde, Nacho Garcia y Cristian Fernandez (COPO), abordaron el encaje del bug bounty en el tejido empresarial español y su relación con la normativa. Uno de los asuntos planteados fue cómo puede una compañía compensar el hallazgo de una vulnerabilidad cuando no dispone de un programa formal de recompensas y la necesidad de que estas participen en este tipo de programas.
El debate también puso sobre la mesa una cuestión de fondo: muchas organizaciones siguen abordando la seguridad desde el cumplimiento normativo, sin avanzar hacia una cultura más proactiva de identificación, gestión y corrección de fallos.
Otra de las sesiones a las que asistimos fue la de Xoán Otero, “Cómo reportar un bug y vivir para contarlo”. Xoán explicó la importancia de comunicar una vulnerabilidad de forma adecuada, tanto por el impacto técnico del hallazgo como por las implicaciones legales y operativas que puede tener para el investigador.
La charla incidió en una idea clave: no todo fallo de seguridad deriva necesariamente en un CVE, el identificador público que se asigna a vulnerabilidades reconocidas. En entornos SaaS puros, además, un CVE puede aportar poco si el fallo afecta a una plataforma cerrada y no a un producto distribuido. La sesión resultó especialmente útil para entender a quién acudir, cómo documentar el reporte y qué papel pueden desempeñar las CNA, las autoridades autorizadas para asignar identificadores CVE, a la hora de hacer una comunicación responsable.
Jorge Rey Cotallo, conocido como RedDev, centró su intervención en las SSRF, siglas de Server-Side Request Forgery o falsificación de petición del lado del servidor. Este tipo de vulnerabilidad permite que un atacante fuerce a un servidor a realizar peticiones no previstas hacia recursos internos o externos.
Durante la ponencia, Jorge expuso un caso real de SSRF, reportado por el, con una criticidad de 9,2 en una plataforma muy conocida de servicios Cloud. La parte más relevante de la charla llegó al analizar cómo, tras el parche inicial, era posible volver a reproducir el ataque mediante distintas técnicas de evasión de filtros.
La exposición mostró la importancia del pensamiento lateral en ciberseguridad ofensiva: no basta con identificar un fallo, también hay que comprender cómo se comporta la aplicación, qué controles se han aplicado y de qué forma pueden fallar ante escenarios no previstos.
Carlos Polop, en “Offensive Security Research Is Dead; Long Live Offensive Security Researchers”, se centró en el papel de la inteligencia artificial aplicada a la investigación ofensiva. Durante su intervención, Polop explicó el funcionamiento de Naxus una plataforma de seguridad SaaS, software ofrecido como servicio, orientada a automatizar procesos de análisis de seguridad mediante agentes de inteligencia artificial.
Según expuso el ponente, la herramienta permite ejecutar un flujo completo de escaneo que integra distintas fases de análisis. Entre sus capacidades, mencionó la generación de gráficos, el análisis de superficie de ataque, un auditor de seguridad asistido por IA y funciones de búsqueda automatizada de vulnerabilidades.
La sesión incluyó una demostración práctica de varios hallazgos y de la criticidad que podían representar para las empresas afectadas. Más allá de la herramienta, la ponencia abrió una reflexión sobre el futuro de la investigación ofensiva en un contexto marcado por la automatización y la inteligencia artificial.
Si la detección de vulnerabilidades puede hacerse cada vez más rápido y a mayor escala, las empresas tendrán que adaptar sus procesos internos para validar, priorizar y corregir fallos con la misma agilidad. La seguridad dejará de depender solo de encontrar vulnerabilidades y pasará a medirse, cada vez más, por la capacidad real de responder a ellas.
Hacking en vivo como escaparate técnico.
Uno de los bloques centrales del evento fue la competición de hacking en vivo sobre VDP open source, es decir, programas de divulgación de vulnerabilidades sobre proyectos de código abierto, en un entorno legal y controlado. A diferencia de un CTF tradicional, este formato sitúa a los participantes ante software real, con la necesidad de identificar fallos, evaluar impacto y redactar reportes útiles para su validación.
La organización puso al alcance una bolsa de 5.000 euros en premios para los hallazgos más relevantes. También indicó que cada vulnerabilidad validada generaría un certificado y que algunos reportes podrían ser susceptibles de recibir un identificador CVE.
Una lectura desde la comunidad Araintel
Para Araintel, la asistencia al Bug Summit permitió tomar el pulso a una parte del sector que está ganando peso: la profesionalización del bug bounty y su relación con el empleo en ciberseguridad. La jornada mostró que los perfiles técnicos ya no solo necesitan formación teórica o certificaciones, sino también evidencias públicas de capacidad: writeups, proyectos, CVEs, participación en competiciones y experiencia demostrable.
El Bug Summit dejó una lectura práctica para quienes buscan incorporarse o avanzar en ciberseguridad: el sector valora cada vez más la capacidad de demostrar cómo se piensa, cómo se investiga y cómo se documenta un hallazgo. Para la comunidad Araintel, este tipo de eventos refuerza la conexión entre formación, investigación aplicada y oportunidades profesionales.
Por ultimo queremos agradecer y felicitar a todo el staff de Secur0 por la excelente organización del evento y a Javier Juarez por hacer sentir a todo el mundo como en casa.
