Encontrar una vulnerabilidad real y cobrar por ella resulta un objetivo atractivo para quien empieza en ciberseguridad. Los programas de bug bounty permiten poner a prueba las habilidades sobre software real y ayudar a sus desarrolladores a hacerlo más seguro. Sin embargo, las noticias sobre programas que cierran o se pausan ante una avalancha de informes generados con IA pueden hacer que ese camino parezca incierto.
Por qué algunos programas de bug bounty se están retirando
Un programa de bug bounty recompensa hallazgos de seguridad que cumplen una serie de reglas. Los desarrolladores deben revisar cada envío, reproducir el problema y evaluar su impacto. Un informe convincente sobre una vulnerabilidad imaginaria puede consumir el tiempo que un equipo de seguridad reducido necesita para atender problemas reales.
A comienzos de este año, curl, la conocida herramienta y biblioteca de transferencia de datos, puso fin a su programa de recompensas tras problemas similares. El mantenedor Daniel Stenberg explicó que la calidad de los envíos se había deteriorado y confirmó que las vulnerabilidades confirmadas cayeron por debajo del 5% a partir de 2025, frente a más del 15% en años anteriores. A lo largo de su vida, el programa ayudó a descubrir 87 vulnerabilidades confirmadas y pagó a los investigadores más de 100.000 dólares.
Esas cifras describen la experiencia concreta de curl. La pausa de Google también tiene un alcance definido: los envíos relacionados con la cadena de suministro y los informes pendientes no se ven afectados. Sus programas más amplios de recompensas por vulnerabilidades pagaron 17,1 millones de dólares a investigadores en 2025. Los cierres y restricciones reflejan presión sobre programas concretos, mientras otras oportunidades siguen abiertas.
Un rayo de esperanza
En abril, Stenberg informó de que la calidad de los envíos había mejorado y que la proporción de vulnerabilidades confirmadas había vuelto a situarse en torno al 15% o 16%. Observó un uso extensivo de IA en esos informes. Los investigadores encontraban problemas reales, aunque el creciente volumen seguía generando trabajo para los mantenedores.
Para quien está aprendiendo, la lección es asumir la responsabilidad de las pruebas que respaldan un hallazgo. Generar un informe es fácil comparado con determinar si su afirmación se sostiene.
Construye las bases necesarias para comprobar un hallazgo
Antes de perseguir tu primer pago, aprende cómo funcionan los sistemas que planeas probar. En seguridad web, eso implica entender las peticiones HTTP, las sesiones de inicio de sesión, los permisos y cómo gestionan los datos las aplicaciones. Unas nociones básicas de redes y de línea de comandos ayudan a investigar qué ocurre cuando una herramienta produce un resultado inesperado.
Practica estas ideas en un entorno pensado para el aprendizaje. Puedes equivocarte, repetir una prueba e inspeccionar el resultado sin afectar a un servicio en producción. Elige una habilidad concreta para cada sesión, como explicar una petición o identificar qué cuenta tiene permiso para acceder a un recurso.
La ruta de aprendizaje Cyber Security 101 de TryHackMe abarca fundamentos de redes, Linux y Windows, nociones básicas de aplicaciones web y seguridad ofensiva y defensiva. Seguir una ruta estructurada da un propósito a cada herramienta nueva y ayuda a comprender las evidencias que produce.
Después de un laboratorio, anota qué cambiaste, qué ocurrió y por qué. Luego repite la tarea con tus notas cerradas. Ser capaz de explicar y reproducir el resultado es una forma útil de comprobar tu progreso.
Usa la IA para apoyar tu aprendizaje
La IA puede ayudarte a explicar un error desconocido, sugerir preguntas que investigar o revisar la claridad de tus notas. Obtendrás una práctica más provechosa si primero intentas la tarea y luego planteas al modelo un punto concreto de confusión.
Tras inspeccionar la petición de un laboratorio, por ejemplo, pide al modelo que explique cómo se relaciona la cookie de sesión con la cuenta autenticada. Si te atascas, solicita una pista y describe lo que ya has probado. Después pon a prueba tu siguiente paso y explica por qué funcionó.
Termina la sesión repitiendo la tarea sin ayuda. Si puedes explicar qué evidencia respalda el hallazgo y qué lo refutaría, habrás aprendido algo aplicable más allá de ese ejercicio.
Haz que cada informe sea reproducible
Imagina una aplicación de entrenamiento autorizada con dos cuentas de prueba. Cambiar el identificador de una factura devuelve una respuesta satisfactoria. Para demostrar un fallo de control de acceso, aún necesitas probar que una cuenta puede acceder a la factura privada de prueba de la otra y que eso infringe los permisos previstos por la aplicación.
Registra el comportamiento que puedes demostrar, incluidas las condiciones necesarias para que ocurra. Mantén cualquier afirmación sobre un impacto mayor vinculada a la evidencia.
Antes de enviar el hallazgo, comprueba que tu informe incluye:
- El activo o la versión de software afectados, con confirmación de que tus pruebas entran dentro del alcance del programa.
- La configuración y los pasos exactos para reproducir el problema, incluidos los permisos de cuenta necesarios.
- El comportamiento esperado y el resultado real, respaldados por peticiones, respuestas u otras pruebas relevantes con la información sensible eliminada.
- El impacto de seguridad demostrado, con las suposiciones o posibilidades no probadas identificadas con claridad.
Da un propósito claro a tu primer mes
Un mes de práctica centrada puede ayudarte a establecer hábitos útiles. Ajusta el ritmo a tu punto de partida y mide el progreso por lo que puedes explicar y repetir:
- En la primera semana, repasa redes, sistemas operativos y fundamentos web. Dibuja un flujo de petición sencillo y explica dónde se comprueban la identidad y los permisos.
- En la segunda semana, elige un tipo de vulnerabilidad y practícalo en varios laboratorios autorizados. Lleva un registro breve de la evidencia de cada resultado.
- En la tercera semana, usa la IA para obtener pistas después de hacer tu propio intento. Vuelve a un laboratorio anterior sin ayuda y examina los registros u otras pruebas que un defensor podría usar para detectar la actividad.
- En la cuarta semana, redacta un informe completo de un hallazgo de laboratorio. Pide a un colega que lo reproduzca siguiendo tus instrucciones, o síguelas tú mismo desde un entorno nuevo y corrige lo que falte.
Al terminar, deberías tener constancia de tu razonamiento y un informe que puedas mejorar. Sigue practicando donde aún necesites ayuda. La preparación para un programa real depende de tus habilidades y de sus reglas, así que toma el mes como punto de partida.
Mantén abiertas tus opciones profesionales
El bug bounty es una forma de aplicar las habilidades de seguridad. El mismo hábito de comprobar la evidencia importa en operaciones de seguridad, respuesta a incidentes y pruebas de penetración. Cuando investigues un laboratorio, practica explicar cómo un defensor podría detectar el problema y qué podría cambiar un desarrollador para corregirlo.
Los ingresos por recompensas dependen de que un hallazgo sea válido, elegible y esté cubierto por las reglas de pago del programa. Aprender será más sostenible si juzgas el progreso por las habilidades que desarrollas. Guarda notas claras de laboratorio y comparte análisis donde la plataforma de formación lo permita, para tener trabajo concreto del que hablar al explorar puestos de seguridad.
Para tu próxima sesión, elige un ejercicio, haz tu propio intento y conserva la evidencia que explique el resultado. Y si necesitas orientación en el camino, TryHackMe ofrece una vía completa para empezar tal como lo harías en un entorno de seguridad real.
Patrocinado y escrito por TryHackMe.
Deja una respuesta