Mentalidad y economía del bug bounty
Entender qué es realmente cazar recompensas (no lo que vende el marketing de las plataformas) y calibrar expectativas antes de invertir las primeras 100 horas.
📋 Índice de contenidos
01Objetivo
Entender qué es realmente cazar recompensas (no lo que vende el marketing de las plataformas) y calibrar expectativas antes de invertir las primeras 100 horas.
02Teoría
Qué es un programa de bug bounty, en términos de incentivos
Una empresa paga por vulnerabilidades encontradas en vez de (o además de) pagar un pentest cerrado. Esto cambia el juego respecto a un pentest tradicional:
- No hay exclusividad. Cientos o miles de hunters miran el mismo scope. Si un fallo es obvio, alguien probablemente ya lo reportó (duplicado = 0€).
- El pago es por resultado, no por tiempo. Puedes invertir 40 horas y cobrar 0€, o 2 horas y cobrar 2.000€. La varianza es brutal y hay que aceptarla antes de empezar.
- El triage es un negocio, no un juez imparcial. El equipo de triage de la empresa (o de la plataforma) tiene incentivos para cerrar como "no aplica" o "duplicado" todo lo que pueda. No es mala fe sistemática, pero tampoco hay que asumir buena fe automática.
Primer paso de cualquier sesión: confirma en qué juego estás jugando
Antes de abrir un proxy, responde una pregunta que parece obvia y no lo es: ¿esto es un programa de bug bounty, un red team por contrato, un pentest con alcance firmado, o una auditoría interna? La respuesta cambia qué cuenta como hallazgo, no solo cuánto paga:
| Tipo de encargo | Qué es reportable | Qué se descarta |
|---|---|---|
| Bug bounty (plataforma pública o VDP) | Solo fallos con impacto demostrado, cadena completa hasta daño real | Higiene suelta (software desactualizado sin más, CSP permisivo sin más, trazas de error, "buenas prácticas" sin impacto) |
| Red team (contrato con cliente) | Hallazgos de higiene + reconocimiento + indicadores de compromiso son entregables válidos | Prácticamente nada — hasta "no encontramos nada aquí" es una observación defensiva útil |
| Pentest (alcance de contrato firmado) | Depende del contrato: normalmente higiene + impacto + reconocimiento | Activos fuera del alcance firmado, pruebas no autorizadas |
| Auditoría interna | Hallazgos mapeados a un marco de cumplimiento (PCI, ISO, RGPD...) | Hallazgos sin esa correspondencia a un control concreto |
Confundir el modo es el error más caro y más tonto de evitar: un hallazgo de higiene (versión desactualizada sin PoC, cabecera de seguridad ausente) que sería oro en un informe de red team es papel mojado en un bug bounty — N/A directo, por bueno que suene en la reunión. Si no tienes claro en qué modo estás, pregúntalo antes de la primera petición, no lo asumas.
La curva real de ingresos de un hunter
La mayoría de las guías venden la curva de "hunter que cobra 5 cifras al mes a los 3 meses". La curva real, para alguien que empieza con fundamentos sólidos de seguridad web (no desde cero):
- Meses 1-3: mayoría de reportes N/A o duplicados. Ingreso esperado: bajo o cero. Esto es la fase de calibración de scope-reading y de qué tipo de bug encuentras tú mejor que la media.
- Meses 3-9: primeros aciertos reales, normalmente en categorías de lógica de negocio o IDOR (menos saturadas que XSS/SQLi clásicos, que ya están muy cazados en programas maduros).
- A partir del año: si se construye una metodología y un pipeline personal (ver [[16_pipeline_hunter]]), los ingresos se vuelven más predecibles porque ya sabes en qué programas y qué categorías rindes.
Por qué importa esto para este curso: si alguien espera resultados en la primera semana, va a abandonar en el momento exacto en que la curva de aprendizaje empieza a pagar. La paciencia no es una virtud blanda aquí, es el filtro que separa a quien cobra de quien no.
VDP vs programa con recompensa: dos juegos distintos
No todos los programas pagan. Los *Vulnerability Disclosure Programs* (VDP) — típicamente gobiernos y agencias — no pagan dinero pero dan:
- Reconocimiento público (Hall of Fame, CVE, carta de agradecimiento) que sirve de currículum verificable.
- Acceso a objetivos con menos ruido de otros hunters que los programas pagados más conocidos.
- Entrenamiento de metodología sin la presión de "si no encuentro algo, no come esta semana".
Este curso trata ambos como parte legítima de una estrategia, no como un "programa de pago" y un "premio de consolación". Se profundiza en el módulo 13.
Ética y legalidad: el límite no negociable
- Nunca se actúa fuera del scope publicado, aunque "se vea fácil" un dominio adyacente.
- Nunca se usan técnicas que puedan degradar el servicio (nada de fuzzing agresivo, nada de automatizar cargas masivas) salvo que la policy lo permita explícitamente.
- Nunca se accede a datos de usuarios reales más allá de lo mínimo para probar el impacto (una fila, no un dump).
- Si la policy no dice algo, se pregunta al programa antes de probarlo. No se asume permiso por omisión.
03Resumen operativo
- Bug bounty es ingresos variables, no un sueldo. Planifica en consecuencia.
- Los primeros meses son de calibración, no de cobro.
- VDPs sin recompensa cuentan en la estrategia, no son un segundo plato.
- El scope y la policy son el contrato. Se respetan siempre.