Los hackers autónomos de élite pueden ganar más de un millón de dólares al año, pero nadie ofrecerá honorarios garantizados a un recién llegado. ¿Y si estás dispuesto a entrar en el mundo del hacking ético, pero sólo puedes soñar con las grandes ligas?
Los nuevos miembros se unen regularmente a la comunidad de hackers, y una de las primeras preguntas que tienen es: “¿Por dónde empiezo y cómo puedo ganar dinero con el hacking ético?“
Para tener éxito, debes estar familiarizado con una variedad de técnicas y tecnologías de hacking, la terminología y un montón de otras cosas.
Todos los recursos necesarios se pueden encontrar en Internet (blogs de hacking ético como esgeeks), pero empezar desde cero como cazarrecompensas (Bug Bounty) independiente es bastante difícil. Para ganar dinero, primero tendrás que dominar la profesión y hacerte al menos un nombre en la comunidad.
Practicar a través de Competiciones de Hacking
Existen varias alternativas. Si prefieres estudiar por tu cuenta a partir de libros de hacking y conferencias en línea, puedes convertirte en un experto tras un año de duro trabajo y más de 50 horas a la semana. Como la teoría está muerta sin la práctica, vale la pena practicar el hacking (o incluso participar en competiciones de hacking) en laboratorios especiales.
Enumeremos algunas de ellas:
- Hack.me
- PortSwigger
- HackTheBox
- HackThisSite
- Hax.tor.hu
- TryHackMe
- pwnable.tw
- reversing.kr
- ctflearn.com
- csaw.io
- picoctf.com
- w3challs.com
- hackthebox.eu
- ctf.hackucf.org
- cryptopals.com
- tryhackme.com
- exploit.education
- freehackquest.com
- www.root-me.org
- www.vulnhub.com
- ctf.hacker101.com
- ctf.komodosec.com
- attackdefense.com
- Cmdchallenge.com
- immersivelabs.com
- www.hackthissite.org
- ctf.infosecinstitute.com
- www.hacking-lab.com
- captf.com/practice-ctf
- www.hacksplaining.com
- academy.hackaflag.com.br
Puedes ver la lista completa en +100 Sitios web que te enseñan cómo hackear legalmente.
Como no hay lista de espera de clientes para un especialista en ciberseguridad recién acuñado (hacker ético o de sombrero blanco), la práctica del hacking y la participación en concursos también aumentan tu cartera. Hay que dedicar mucho tiempo, pero el “voluntariado” merece la pena.
¿Cómo Puede Ganar Dinero un Principiante?
Los investigadores de seguridad independientes con experiencia suelen tener una clientela sólida: estos hackers autónomos pueden ganar millones de dólares al año. Si tienes una sólida experiencia en trabajos independientes para un portafolio y sólo sueñas con las grandes ligas por ahora, comienza por participar en programas de Bug Bounty. Encontrar fallos en los sistemas de información y ser recompensado por las empresas no es un mal comienzo para un principiante.
¿Quiénes son los Bug Hunters?
Los expertos en seguridad cibernética a menudo buscan vulnerabilidades en sistemas de información y diversas aplicaciones, conocidas como cazadores de errores (conocidos como bug hunters). Hay muchas plataformas de Bug Bounty (recompensas por errores) donde los cazadores son recompensados por su trabajo sin siquiera ser empleados de tiempo completo de las empresas o trabajadores independientes bien remunerados. Los programas Bug Bounty permiten a los hackers detectar y corregir errores antes de que el público en general los conozca, evitando así los incidentes de seguridad de la información.
Estos errores suelen representar vulnerabilidades de seguridad, pero también pueden incluir problemas de proceso, fallos de hardware y otros problemas.
Los programas pueden ser privados (sólo por invitación), en los que los informes son confidenciales, o públicos (a los que cualquiera puede unirse). A veces tienen una duración determinada, pero lo más frecuente es que no tengan fecha de finalización. Su principal desventaja es que sólo el hacker que descubre primero el fallo recibe una recompensa. El resto no recibe dinero.
¿Dónde Puedo Ganar Dinero?
Ya hemos escrito sobre las plataformas públicas para realizar pedidos de búsqueda de vulnerabilidades. Añadiremos a la lista algunos enlaces a programas corporativos con altas recompensas:
Las grandes empresas pagan un buen dinero, pero no es fácil conseguirlo. Deberías empezar con tareas más sencillas y tarifas relativamente pequeñas.
Calidad del Informe
Es importante no sólo encontrar el problema, sino también elaborar un buen informe. No todos los informes de vulnerabilidad son iguales, pero todos tienen las siguientes características:
- Una explicación detallada del problema encontrado, que incluya pasos claros de reproducción o una prueba de concepto (POC) que funcione.
- Las capturas de pantalla y/o los vídeos a veces pueden ayudar a los servicios de seguridad a reproducir el problema. La mayoría de los hackers prefieren las descripciones de texto, pero se pueden utilizar capturas de pantalla y vídeos como material complementario.
- Impacto (nivel de importancia) de la vulnerabilidad: ¿Qué puede ocurrir si este fallo es explotado por los atacantes? Una descripción de la criticidad del problema ayudará a la empresa a priorizar una respuesta y una reparación.
Ejemplo: Shopify: ejecución remota de código en kitcrm usando actualizaciones masivas de clientes de productos prioritarios.
Bono
Si estás aburrido y quieres jugar con simuladores de hackers, hay algunos proyectos que te ayudarán a unirte al mundo de la ciberseguridad probándote no solo en ataque sino también en defensa:
- Slavehack.com
- Hacker-project.com
- Hackers-edge.com
- S0urce.io
- Hackerexperience.com
- 2hack.net
- Gameofhacks.com (descontinuado -si sabes algo, por favor déjanos saber en los comentarios)
- Hackertest.net
- Hackerforever.net
- hackertyper.net
Es poco probable que te interese participar en programas de Bug Bounty como forma de empleo permanente durante muchos años: sólo una quinta parte de los hackers independientes buscan errores a tiempo completo sin garantía de pago. El resto se perfecciona como autónomo, eligiendo una de las muchas especialidades disponibles en el sector de la seguridad y consiguiendo clientes.
