Los 'hackers' españoles que luchan contra el lado oscuro de internet

Estudió Informática y decidió ganarse la vida rompiendo cosas en internet. Pero, eso sí, llamando a la puerta de las empresas y contando con su permiso antes de ponerse a enredar, que es lo que debe hacer un buen 'hacker' ético. Ahora tiene 28 años y es uno de los españoles más capaces en lo suyo. Igual encuentra la forma de explotar TikTok que descubre cómo robar un montón de información de Tinder, sitios en los que descubrió fallos críticos hace unos meses en colaboración con sus compañeros de la selección española durante el mundial de 'hacking' Ambassador World Cup. En la final se impusieron a Israel. Toda una potencia. Como España, que es la mejor en esto del pirateo, o casi, aunque a alguien le sorprenda. «El nivel en el país es altísimo. Podemos compararnos con cualquier país de fuera, aunque sí que es cierto que estamos peor pagados que en otros países, como en Estados Unidos», señala el informático.

La situación laboral de Bouali no difiere demasiado de la de otros 'hackers' dedicados al 'bug bounty', que es como se conoce a los cazarrecompensas que andan a la búsqueda de vulnerabilidades en los sistemas de todo tipo de compañías. Las recompensas de grandes firmas, como Google, Apple o Microsoft, pueden ser de cientos de miles de euros, o hasta irse por encima del millón; pero, que quede claro: no es dinero fácil. Nadie garantiza que se vaya a encontrar el agujero, y sin agujero no hay recompensa. Para conseguirlo, el informático de turno debe ser obsesivo. Además, se trata de un sector en el que hay mucha competencia y en el que existe una necesidad enfermiza por mantenerse al día. Porque en ciberseguridad si pestañeas te oxidas. «La tecnología avanza a pasos agigantados y si no eres constante te puedes quedar desfasado rápidamente», apunta Bouali.

Bouali compagina el trabajo de cazarrecompensas con un puesto de ingeniero de seguridad para una empresa de software de recursos humanos llamada Factorial. Lo mismo hace Diego Jurado, seleccionador del equipo español campeón del mundo, que ha pasado años trabajando en mantener seguros los sistemas de la desarrolladora de videojuegos Kingz, creadora de 'Candy Crush', y, posteriormente, de Microsoft. «Las recompensas que puedes recibir son muy elevadas. La más grande que he cobrado por un único fallo fue de 50.000 euros, que es mucho para lo que hay. Suelen partir de los 5.000. En mi caso, si quisiese vivir solo de ello, podría», explica a este diario.

A diferencia de Bouali, Jurado no fue un niño prodigio del 'hacking'. Pasaron años entre que terminó los estudios de Ingeniería Informática y comenzó a buscar agujeros en la red. Afirma que nunca ha hecho nada ilegal y que siempre ha tenido muy claros «los límites», pero también sabe bien, como todos los que son buenos en esto, que, si quisiese, podría pasarse al 'lado oscuro' y hacer mucho daño. Y también ganar mucho más dinero. Porque las grandes mafias del cibercrimen, esas que pueden llegar a ganar millones de euros con un solo ataque bien realizado y que, para 2025, generarán cerca de 10,5 billones de euros en pérdidas a nivel global, pagan más: «Te mentiría si te dijese que no he pensado en ello. Pero aquí ya entra en juego la ética de cada uno. Para mí es muy importante poder dormir tranquilo».

Jurado deja claro que no hay ningún objetivo inviolable. Ni siquiera entre las grandes ballenas blancas de internet. Si se quiere 'hackear' a Apple o a Google, se puede: «Cuando alguien te quiere 'hackear' y se le mete entre ceja y ceja, tarde o temprano lo va a conseguir. De eso no hay ninguna duda. Todas las compañías tienen fallos de seguridad, y eso lo vemos mucho en los eventos».

Sandra Bardón no quiere ni oír hablar del cibercrimen. Señala que cambiarse de bando, ser 'hacker' ético y hacerse cibercriminal, no es habitual, y que incluso puede que haya más casos en los que ocurre al revés, en los que el malo termina haciéndose bueno. Tampoco le gusta romper cosas sin permiso; solo lo ha hecho con el ordenador que le regalaron con siete años, y que a principios de los noventa, siendo pequeña, andaba todo el día armando y desarmando para entender mejor su funcionamiento. «Empecé a hacer los primeros programas por entonces, y estaban muy bien. Los niños emplean una lógica que a veces no está al alcance de los adultos», le dice a este diario.

Bardón es 'hacker', pero no es 'hacker' como Bouali y Jurado. Ella no busca agujeros en empresas ni cobra recompensas. Lleva 15 años poniendo al día la seguridad de algunas de las instituciones militares más importantes del mundo. Inició el camino en el Ministerio de Defensa de España en 2011, poco antes de que surgiese el Mando conjunto del ciberespacio. «En principio, éramos un equipo muy reducido en un sótano sin ventanas ni ventilación, pero se hacían grandes cosas ahí», recuerda la ingeniera de telecomunicaciones.

Su día a día era «muy variado», investigaba, desarrollaba software con el que explotar sistemas y ayudaba cuando surgía alguna amenaza para el Ejército, algo frecuente. «También empezamos a hacer los primeros ejercicios para entrenar a personal de los tres ejércitos. Les enseñábamos ataque, defensa y a detectar las amenazas», dice Bardón.

Su trabajo con el Ministerio de Defensa le sirvió para pegar el salto en 2017 al Centro de Excelencia de Ciberdefensa Cooperativa de la OTAN, donde hizo labores de investigación y realizó simulacros en los que, en ocasiones, se dedicaba a la defensa y en otras se convertía en atacante de infraestructuras creadas en concreto para los ejercicios, que es lo que más le gusta y a lo que se dedica en exclusiva actualmente como analista de seguridad de la ONU, donde trabaja desde 2022. Su caso es excepcional, y no solo por el currículum, que es de los mejores del país. También por el hecho de ser mujer.

«No hay muchas 'hackers'. Ni en España ni en el mundo, pero no es un tema de igualdad. Es un tema a nivel educativo, de que se sigue viendo que hay estudios de hombres y de mujeres. Tiene que ver con cómo se educa a los niños».

Al ingeniero informático canario Deepak Daswani le encanta romper cosas, pero sin hacer daño a nadie. Cuando andaba aprendiendo a 'hackear', a inicios de siglo, le gustaba entrar en los sitios de terceros, pero no tocaba nada, solo dejaba una marca digital en la que se podía ver que había estado ahí. «Cuando lo consigues tienes un subidón enorme de adrenalina. Algo adictivo. La sensación ha sido siempre la misma, porque muchas veces son meses de investigación», señala a este diario.

Tras graduarse, empezó haciendo carrera en las islas, encontró y notificó vulnerabilidades en la página web del equipo de fútbol del Tenerife y trabajó en banca, en concreto, en la extinta Caja Canarias; y todavía se ríe mientras recuerda cómo reiniciaba desde su escritorio los ordenadores de sus compañeros para ser el primero en la cola del desayuno. Tras andar dando tumbos por varias empresas de las islas, acabó en el Instituto Nacional de Ciberseguridad (Incibe) haciendo labores de comunicación y concienciación y, después, en Deloitte. Pero esa vida no era para él, por lo que en 2017 se hizo autónomo. Y es un «tipo atípico» dentro del sector. Igual escribe libros que trabaja en la noche como DJ. Pero sin dejar de lado su oficio original.

«Los servicios de auditoría y consultoría para empresas son lo que más ingresos me dan. Por ejemplo, organizo campañas de ciberestafas para analizar el grado de resiliencia de una compañía. También me llaman mucho para ayudar a resolver incidentes de seguridad, tristemente». Como Jurado, sabe bien que si quisiese podría hacer mucho dinero haciendo mucho daño: «A veces te sientes idiota. Sobre todo cuando trabajas por tu cuenta sin garantías y ves cómo delincuentes fácilmente ganan miles de euros con estafas que sabes hacer. No sabes la cantidad de gente 'random' que me ha intentado tentar«, explica. Pero jamás lo haría.