Bug Bounty: el hacking ético sin contrato

El hacking ético, también conocido como pentesting, es un proceso de evaluación de la seguridad de una empresa a través de un profesional. Se lleva a cabo mediante un acuerdo entre ambas partes en el que se detallan los procedimientos a realizar y los permisos que se le conceden al hacker ético para acceder a datos y sistemas.

¿Qué es el bug bounty?

En un mundo tecnológico, que un ciberdelincuente encuentre un resquicio por el que acceder a los archivos de una empresa puede traducirse en grandes pérdidas. Para tapar esos agujeros de seguridad, se suele acudir al hacking ético y aquí es donde entra el bug bounty, o búsqueda de recompensas, por encontrar fallos en las defensas cibernéticas. Es un programa que ofrecen algunas empresas y organizaciones para incentivar a los investigadores a encontrar y reportar vulnerabilidades en sus redes, sistemas y aplicaciones. El objetivo principal es identificar y corregir los problemas de seguridad existentes antes de que puedan ser explotados por cibercriminales. Aquellos investigadores que descubran errores pueden recibir incentivos económicos u otro tipo de recompensas, como aparecer en un hall de la fama en las páginas web de las empresas.

¿Cómo ayuda el bug bounty al hacker ético?

Para un hacker ético, el bug bounty es una oportunidad crucial para demostrar sus habilidades, especialmente si no cuenta con experiencia formal en el sector. Los programas tienen una naturaleza competitiva y abierta, permitiendo a los participantes mostrar sus capacidades en relación con otros competidores. Ser capaz de mostrar resultados y procedimientos realizados es un componente fundamental para un profesional de este estilo. La experiencia acumulada a través del bug bounty puede plantear una diferencia significativa en el currículum de un profesional de la ciberseguridad.

¿Por qué una empresa consideraría hacer bug bounty?

Las empresas se plantean implementar estos programas porque les permiten identificar y solucionar vulnerabilidades de manera más eficiente y económica que métodos más tradicionales de auditorías. La movilización de talento diverso y especializado facilita el descubrimiento de problemas no detectados por equipos internos de la organización. Además, la reputación de las empresas mejora al demostrar cómo de comprometidas están con la seguridad y la transparencia.

Ventajas del bug bounty frente al reporte tradicional

Las plataformas de bug bounty ofrecen ciertas ventajas significativas frente a la gestión manual de un reporte de vulnerabilidades:

• Infraestructura robusta y estandarizada: Facilitan la comunicación entre profesionales y empresas durante todo el proceso, desde la publicación de la oferta hasta la gestión de pagos y recompensas.
• Comunidades de hackers establecidas y verificadas: Simplifican la tarea de encontrar talento cualificado que se ajuste a las necesidades de la empresa.
• Procesos automatizados: La parte administrativa y de seguimiento está automatizada, lo que permite a las empresas centrarse en la resolución de los problemas, en vez de en la gestión de los programas.

Realizar un reporte tradicional conlleva más trabajo para ambas partes en todos los aspectos, pero hay una razón principal por la que los hackers éticos se suelen decidir por las plataformas: la confianza. Enviar un informe sobre vulnerabilidades a una empresa que no lo ha pedido puede resultar en una acusación de fraude o engaño que podría dañar la reputación del profesional. El uso de una plataforma ofrece cierto grado de seguridad a ambas partes, la empresa está buscando ese reporte y el hacker puede entregar un reporte sin temer represalias legales o acusaciones.

HackerOne, la plataforma más famosa de bug bounty

HackerOne es una de las plataformas más elegidas por empresas y hackers éticos para la práctica del bug bounty a nivel global. En ella, podemos encontrar los programas de corporaciones como Amazon, LinkedIn o Epic Games, entre otras. Cada empresa registrada en la plataforma define el alcance, las reglas y las recompensas en función de las vulnerabilidades específicas que se encuentren. El profesional podrá decidir en qué programas está interesado y proceder a buscar los puntos débiles que incluirá en su reporte estandarizado. Si la empresa confirma las vulnerabilidades, se recompensará al hacker según lo establecido en el anuncio. 

Ejemplo de resumen de programas de bug bounty dentro de HackerOne (fuente)

En definitiva, el bug bounty es una herramienta muy valiosa para un hacker ético, especialmente aquellos que están empezando o que quieren practicar sus habilidades de forma segura. La automatización de los procesos de gestión facilita la comunicación entre el profesional y la empresa, así como provoca un aumento de confianza, mejorando la experiencia para ambos.