¿Qué pasa cuando una consultora de reputación y ciberseguridad decide invitar a cualquier investigador del mundo a intentar entrar en sus propios sistemas?
Nosotros ya lo sabemos.
Acabamos de hacerlo.
Todas las webs del grupo —CyberBrainers, EliminamosContenido y Ediciones PY— están ya dentro de un programa de divulgación de vulnerabilidades en Grayback, la plataforma de bug bounty en español. No es un gesto simbólico ni una nota de prensa vacía. Es abrir la puerta, con reglas claras, a que cualquier hacker ético que encuentre un fallo en nuestros sistemas nos lo diga antes de que lo aproveche otro con peores intenciones.
Y sí, somos conscientes de la paradoja. Llevamos años diciéndole a nuestros clientes que su reputación empieza por su seguridad. Nos parecía el momento de demostrarlo con nuestra propia infraestructura, no solo con la de quien nos contrata.
Qué acabamos de anunciar (y por qué no es solo un titular bonito)
El programa que hemos activado en Grayback es un Vulnerability Disclosure Program (VDP), no un Bug Bounty con recompensa económica. La diferencia importa, y la explicamos en el siguiente apartado.
Lo relevante ahora es el alcance: cualquier investigador de seguridad puede auditar de forma autorizada las webs de todo el grupo, siguiendo el alcance y las reglas que fija el propio programa, y reportar lo que encuentre a través de la plataforma.
¿La contrapartida para quien reporta? No hay premio en metálico, pero sí reconocimiento público, agradecimiento formal y la satisfacción de haber ayudado a cerrar un agujero antes de que alguien lo explotara con fines maliciosos. Así funciona un VDP en cualquier organización seria.
Bug Bounty y VDP: dos formas distintas de decir «encuéntranos el fallo antes que un delincuente»
Conviene aclarar los términos, porque se usan indistintamente y no lo son.
- Un Bug Bounty Program (BBP) ofrece recompensas económicas a quien reporta vulnerabilidades válidas.
- Un Vulnerability Disclosure Program (VDP) no paga en dinero, pero sí ofrece vías de reconocimiento como menciones públicas o agradecimientos formales.
Ambos modelos persiguen lo mismo: que la seguridad de un sistema la pongan a prueba, de forma continua, cientos de investigadores con perspectivas distintas, y no solo una auditoría puntual con fecha de caducidad.
Grayback, precisamente, es la primera plataforma de bug bounty en español, y opera con ambos formatos. No es una plataforma cualquiera: hace apenas unas semanas fue admitida como CVE Numbering Authority (CNA) dentro del Programa CVE que gestiona MITRE, el estándar internacional para identificar públicamente vulnerabilidades de seguridad. En España, quien coordina ese ecosistema de autoridades de numeración es INCIBE, como Root CNA. Que una plataforma española de bug bounty haya llegado hasta ahí en tan poco tiempo dice bastante de la seriedad con la que se gestionan los programas que aloja, incluido el nuestro.
Si quieres entender mejor cómo funciona todo el ecosistema de programas que ofrece Grayback, puedes revisar su listado completo de programas activos.
Por qué una consultora de reputación se juega la cara así
Aquí está la clave de todo, y por eso lo llevamos repitiendo tanto tiempo: la reputación de una empresa ya no se puede separar de su seguridad técnica.
Los números respaldan esa idea, y son incómodos.
INCIBE gestionó más de 122.000 incidentes de ciberseguridad solo durante 2025. Las empresas españolas sufren de media más de 1.900 ataques semanales, un 66% más que el año anterior. Y el coste medio de un ciberataque para una empresa en España puede rondar los 75.000 euros, sin contar el daño reputacional, que casi nunca aparece en esa factura pero que es, muchas veces, el más difícil de reparar. De hecho, se calcula que invertir en ciberseguridad supone apenas el 2% de lo que cuesta después sufrir un ataque, lo que da una idea de lo desequilibrada que está la ecuación en la mayoría de organizaciones (puedes consultar el desglose completo en este análisis de Ibercaja).
Además, el mapa de sectores atacados está cambiando. Analistas del sector apuntan a que lo decisivo ya no es tanto qué organización recibe más ataques, sino cuál está mejor preparada para absorber el golpe, contenerlo y seguir operando sin que la confianza de sus clientes se resienta (puedes leer el análisis completo aquí).
Nosotros ya llevamos tiempo defendiendo esa misma idea desde otro ángulo: la reputación es, en sí misma, un activo de ciberseguridad. Lo comentábamos hace poco al hilo de nuestra participación en HoneyCON25, donde insistíamos en que cuidar la reputación digital ya no es solo cosa de marketing, sino de defensa activa. Las empresas que controlan su identidad en buscadores, monitorizan lo que se dice de ellas y blindan técnicamente sus sistemas son, sencillamente, mucho más difíciles de usar en campañas fraudulentas o de desprestigio.
Si te interesa cómo trabajamos esa parte más orientada al día a día reputacional, tienes más detalle en nuestros servicios de reputación online y gestión de crisis y de monitorización de presencia digital.
Qué webs entran exactamente en el programa
El alcance del VDP cubre toda la infraestructura web del grupo:
- CyberBrainers, nuestra consultora de reputación online y ciberseguridad.
- EliminamosContenido, nuestro proyecto especializado en desindexación de contenido dañino.
- Ediciones PY, el sello editorial fundado por nuestro CEO.
Cada dominio tiene su propio alcance definido dentro del programa en Grayback, así que antes de empezar a probar nada, lo primero es revisar exactamente qué está dentro de las reglas y qué no.
Cómo reportar una vulnerabilidad si la encuentras
El proceso es el mismo que en cualquier programa serio de divulgación responsable:
- Accede al programa de CyberBrainers en Grayback y regístrate como investigador.
- Revisa el alcance y las reglas antes de tocar nada: qué dominios están incluidos, qué tipo de pruebas están permitidas y cuáles no.
- Si encuentras un fallo, documenta el reporte con una prueba de concepto clara, el impacto real de la vulnerabilidad y los pasos exactos para reproducirla.
- Envíalo desde la propia plataforma. A partir de ahí, podrás seguir el estado del reporte hasta su resolución.
Sin prisas, sin ruido y sin publicarlo antes en redes sociales, que es justo lo que un VDP intenta evitar: que una vulnerabilidad se convierta en un problema público antes de haber tenido la oportunidad de arreglarla.
Qué significa esto para ti, si eres cliente o simplemente nos lees
No pretendemos vender esto como si nuestros sistemas fueran perfectos. Ninguno lo es, y quien te diga lo contrario, exagera. Precisamente por eso tiene sentido un programa así: preferimos que nos lo diga un investigador de buena fe a través de un canal controlado antes de que lo descubra alguien con intención de hacer daño.
Si asesoramos a empresas y particulares sobre cómo proteger su reputación digital, lo mínimo es aplicarnos el mismo estándar que les pedimos a ellos. Esto también conecta con algo que llevamos años defendiendo desde PabloYglesias.com sobre el papel del hacking ético para resolver vulnerabilidades antes de que se conviertan en un problema mayor, y con esa reflexión más de fondo sobre cómo se ha profesionalizado la gestión de vulnerabilidades en el sector durante la última década.
- ¿Eres investigador de seguridad y te apetece echarle un vistazo a nuestros sistemas? Ya sabes dónde está el programa.
- ¿Eres cliente o simplemente sigues nuestro trabajo y te genera más confianza saber esto? Te leemos en comentarios.
En CyberBrainers hacemos informes, tutoriales y análisis de mercado en temas candentes para nuestros clientes, ya sean de negocio o puramente reputacionales. Si necesitas conocer cómo le va a la competencia, a tu propia empresa, o simplemente conocer qué opina la gente sobre algún tema en particular, escríbenos y ponemos nuestras máquinas y analistas a escuchar.
