Plataformas de Recompensas (Bug Bounty)
Un programa de recompensas (Bug Bounty) es un mecanismo por el que grandes empresas, fabricantes, etc..., pagan una cantidad económica a un hacker por reportar vulnerabilidades en sus sistemas o en su software. Es una forma de incentivar la búsqueda y descubrimiento de vulnerabilidades de manera ética para que sean reportadas antes de que caigan en malas manos.
El programa de recompensas puede estar abierto para que participe cualquier persona o puede ser privado, de modo que la empresa elige a las personas que pueden participar en él. Normalmente, las empresas que comienzan un programa de recompensas lo hacen de forma privada, y con el paso del tiempo y conforme van adquiriendo experiencia y confianza lo hacen público.
Los sitios web de las empresas suelen tener un lugar para informar sobre sus programas de recompensas. El RFC 91156 aceptado en 2022 por el IETF establece el fichero security.txt como la forma recomendada para informar a los investigadores de seguridad cómo reportar los fallos de seguridad que encuentren. Este fichero se puede situar en la raíz del dominio o en la carpeta /.well-known/. Si no existe el fichero, no significa que esa empresa no disponga de un programa de recompensas, ya que no es algo obligatorio.
Las empresas suelen gestionar sus programas de recompensas a través de las plataformas intermediarias que existen. Las mas conocidas son:
- Bugcrowd: Una de las plataformas principales a nivel global donde están los programas de recompensas de las mayores empresas.
- HackerOne: Similar a la anterior, es una de las plataformas de recompensas más importantes con una lista de programas públicos muy extensa.
- Intigriti: Plataforma de recompensas de ámbito europeo cuya sede se encuentra en Bélgica. Financiada con fondos de la Unión Europea, también dispone de programas para evaluar la seguridad de las herramientas de la Comisión y otros organismos europeos.
- Immunefi: Esta plataforma de recompensas está enfocada a la protección de activos digitales y proyectos DeFi (Decentralized Finance) como monederos de criptomonedas o smart contracts, la conocida como Web3. Las cuantías que se pagan como recompensas son elevadas ya que un fallo de seguridad en esos sistemas puede llevar a la pérdida de grandes sumas de dinero.
- Sé ético y transparente: Nunca divulgues información sobre un bug antes de que la empresa lo haya solucionado y respeta los límites: no ataques sistemas fuera del alcance definido. La confianza es la base de esta industria.
- Enfócate en un solo objetivo: En lugar de saltar de programa en programa, elige uno, léete las reglas a fondo y profundiza en él. A menudo, las vulnerabilidades más interesantes se encuentran en los rincones menos explorados.
- Especialízate: Si te das cuenta de que eres bueno encontrando un tipo específico de vulnerabilidad (por ejemplo, errores de lógica de negocio o en la gestión de tokens), enfócate en eso. Con el tiempo, te convertirás en un experto en tu nicho.
- La comunicación es clave: Si tienes dudas sobre un programa, pregunta al equipo de seguridad de la empresa. Una buena relación con el equipo de seguridad puede llevar a futuras recompensas.
- Colabora con la comunidad: Muchos hunters comparten sus write-ups (reportes públicos) y son oro para aprender.
- Júnior (Principiante) de 0 a 1 año de experiencia
- Ingreso mensual: $500 – $2,500 USD
- Ingreso anual: $6,000 – $30,000 USD
- Encuentra fallos menores (XSS, CSRF, subdominios vulnerables).
- Participa en programas públicos y CTF para mejorar.
- La competencia es alta, los pagos suelen ser bajos ($50 – $500 por bug).
- Intermedio (Promedio) de 1 a 3 años de experiencia
- Ingreso mensual: $3,000 – $12,000 USD
- Ingreso anual: $36,000 – $150,000 USD
- Encuentra fallos más serios (IDOR, SSRF, LFI, RCE en algunos casos).
- Participa en programas privados y logra buenas relaciones con empresas.
- Empieza a conseguir fallos críticos de $5,000 – $15,000.
- Puede haber meses buenos y malos, la estabilidad financiera varía.
- Avanzado (Top Bug Hunter) mas de 3 años de experiencia
- Ingreso mensual: $10,000 – $50,000+ USD
- Ingreso anual: $120,000 – $500,000+ USD
- Encuentra vulnerabilidades críticas (RCE, SQLi en infraestructuras grandes, Zero-Days).
- Accede a programas VIP en HackerOne, Bugcrowd y Synack.
- Puede ganar $100,000+ en un solo bug en empresas como Google, Apple, Microsoft.
- Altísima competencia, requiere mucha creatividad y habilidad técnica avanzada.
- Plataforma y programas: Algunos pagan mejor que otros.
- Tipo de vulnerabilidades encontradas: Un XSS básico paga poco, pero una RCE o fuga de datos puede valer decenas de miles.
- Tiempo invertido: Hay quienes lo hacen como pasatiempo y otros como trabajo full-time.
- Nivel de creatividad y persistencia: Los mejores bug hunters piensan fuera de lo común.
- Sí, pero hay que ser persistente y avanzar rápidamente en habilidades técnicas.
- Plan ideal: Comenzar part-time, mejorar en pentesting & hacking web, y luego hacer la transición a full-time.
- Top hunters pueden ganar más que un trabajo de ciberseguridad tradicional.