Le presentamos a los Uber del mundo de la ciberseguridad. En lugar de emparejar a conductores independientes con pasajeros, empresas como Bugcrowd y HackerOne conectan a personas que buscan fallos en el software con compañías dispuestas a pagarles por los errores que encuentran.

Esta economía colaborativa de la ciberseguridad se ha expandido a cientos de miles de hackers, muchos de los cuales ya tenían experiencia en la industria de seguridad informática. Algunos todavía tienen puestos fijos y se dedican a cazar  errores de software en su tiempo libre, mientras que otros se ganan la vida trabajando por su cuenta. Desempeñan un papel esencial para que los códigos sean más seguros en un momento en que los ciberataques aumentan rápidamente y el coste de mantener equipos internos de seguridad se dispara.

Los mejores detectives de fallos de software pueden llegar a ganar mucho dinero. HackerOne, con más de 200.000 usuarios registrados, comenta que alrededor del 12 % de sus usuarios gana cerca de 17.000 euros al año, y cerca del 3 %puede superar los 85.000 euros. Los hackers que usan estas plataformas provienen principalmente de EE. UU. y Europa, pero también de otros países con menos recursos, donde el dinero que pueden ganar les motiva a dedicarse a tiempo completo a esta tarea.

Limpiadores de código

Las grandes empresas, como GM, Microsoft y Starbucks, están empezando a llevar a cabo programas de 'caza de fallos' en los que ofrecen recompensas económicas a quienes detectan e informan de errores en su software. Las plataformas como Bugcrowd alertan a la comunidad de hackers sobre los programas que las empresas lanzan para darles prioridad y también se encargan de gestionar los pagos.

El director de seguridad de la información del fabricante de teléfonos inteligentes Motorola Mobility, Richard Rushing, está encantado con las cazas de fallos colaborativas porque ponen a su disposición muchos pares de ojos que analizan su código constantemente. Además, los buscadores independientes se apresuran a informar de los errores de software para ganar las recompensas antes que sus rivales.

Además, en un momento en el que los expertos pronostican que hasta el año 2021 habrá más de 3,5 millones puestos de ciberseguridad vacantes en todo el mundo porque no hay suficientes trabajadores calificados, los cazadores independientes pueden reducir una parte de la presión que sufren los equipos internos.

Aunque todo parecen ventajas, los UBER de la seguridad también se enfrentan a un par de grandes desafíos. El primero consiste en identificar a los cazadores de fallos con mayor talento. El segundo, establecer una mayor claridad legal sobre las herramientas y técnicas que los hackers con ética pueden utilizar con seguridad. Las tácticas de detección más populares, como los ataques de inyección SQL, que suponen la inserción del código en aplicaciones de software que podrían cambiar su forma de ejecutar los programas, podrían ser denunciados legalmente en algunos países.

No sería la primera vez que un ciberprofesional o incluso un periodista se enfrenta a posibles acciones legales por detectar e informar de una vulnerabilidad en el código de una empresa. Solo harían falta un par de demandas de alto perfil para paralizar esta industria emergente.

Escuela de Hackers

Para abordar el reto de la formación, las plataformas publican mucho más contenido para ayudar a los piratas informáticos a mejorar sus habilidades y atraer a más personas a este trabajo. Bugcrowd acaba de presentar la Universidad Bugcrowd, que ofrece seminarios web gratuitos y guías sobre cosas como Burp Suite, una herramienta gráfica para comprobar la seguridad de las aplicaciones web.

La plataforma también trabaja con hackers éticos con experiencia para detectar y entrenar a los detectives independientes más prometedores. Los mejores reclutas son curiosos, tenaces y dispuestos a adaptarse rápidamente. "La tecnología evoluciona tan rápido que a menudo es difícil alcanzarla", explica el ojeador de talentos de Bugcrowd Phillip Wylie en Dallas.

HackerOne también publica más material formativo y educa a los cazadores de errores independientes en habilidades interpersonales. Estas personas pueden tener un carácter peculiar y, a veces, brusco, por lo que es importante que aprendan a comunicarse de forma eficaz con los departamentos informáticos corporativos.

El problema legal

En el frente legal, las plataformas presionan para que se inserte más lenguaje de "puerto seguro" en los contratos que regulan las recompensas por cazar errores de software. El objetivo consiste en que las empresas aclaren que, si los hackers siguen las reglas del juego dentro de lo razonable, no terminarán ante los tribunales, comenta Adam Bacchus de HackerOne.

Bugcrowd ha lanzado una iniciativa llamada disclose.io  para crear un marco normativo en torno a la identificación y comunicación de errores de software. Gracias a él, los cazadores tendrían una autorización explícita para usar técnicas de búsqueda de fallos que normalmente serían claras violaciones de lo dispuesto en los estatutos anti-piratería. Esta iniciativa se suma a un impulso más amplio liderado por grupos como Electronic Frontier Foundation que intentan evitar que las empresas usen este tipo de leyes para silenciar a los investigadores que encuentran defectos graves y los divulgan de manera responsable.

El fundador y presidente de Bugcrowd, Casey Ellis, sostiene que otros países, como Reino Unido y Alemania, también tienen leyes estrictas contra el pirateo informático que podrían utilizarse para obstaculizar el hacking ético.

Tales leyes son imprescindibles para evitar que hackers de todo tipo causen estragos. El reto consiste en encontrar un equilibrio razonable entre la protección de los hackers éticos y el blindaje de las compañías contra los delincuentes malintencionados. Hacerlo bien no será fácil, pero dada la escasez de talentos en el mundo de la ciberseguridad, es un problema que debemos abordar urgentemente.