Qué está pasando en DEF CON y Black Hat: lecciones urgentes para quienes no quieren ser el próximo caso de filtración

Black Hat USA y DEF CON 33, los dos eventos más importantes de seguridad informática del año, acaban de suceder en Las Vegas. Mientras que Black Hat se enfoca en profesionales y soluciones corporativas, DEF CON expone —sin filtros— las técnicas y vulnerabilidades reales que están afectando a miles de sistemas, personas y organizaciones.

Si no estuviste atento, aquí te ponemos al día. No con un resumen técnico para especialistas, sino con alertas clave que te importan como responsable de producto, infraestructura, desarrollo o negocio digital.

¿Qué se mostró en Black Hat USA 2025?

Black Hat es el lugar donde las grandes empresas tecnológicas presentan sus avances en ciberseguridad. Pero este año hubo una tensión clara entre innovación y exposición. Varios informes destacaron:

• Problemas en la cadena de suministro de software. No se trata solo de usar dependencias seguras, sino de saber exactamente qué entra en tus builds. La transparencia es un punto débil en muchos pipelines.
• La IA no es segura por diseño. Varias charlas demostraron cómo modelos de lenguaje pueden ser engañados con prompts adversariales, y cómo servicios que los integran pueden filtrar datos sensibles si no se validan correctamente las entradas.
• SASE y Zero Trust siguen en el centro, pero con menos marketing y más casos prácticos. Muchas empresas están empezando con pilotos pequeños en lugar de rediseños completos.

¿Y en DEF CON? Aquí las cosas se pusieron más crudas

En DEF CON no hay filtros corporativos. Investigadores, hackers éticos (y no tan éticos), universidades y entusiastas demuestran cómo vulnerar lo que usamos todos los días. Algunos ejemplos que marcaron esta edición:

• Dispositivos IoT vulnerables desde fábrica, incluyendo sistemas de vigilancia, routers caseros y sensores industriales.
• Ataques contra asistentes con IA, incluso en dispositivos locales, que pueden ejecutarse sin intervención humana.
• Nuevas formas de phishing usando interfaces de chat simuladas y clonación de voces con IA en tiempo real.

¿Por qué te debería importar (aunque no trabajes en ciberseguridad)?

Porque cuando algo falla, ya no importa si fue un bug, un descuido o un ataque dirigido. Las consecuencias son reales: pérdida de datos, operaciones detenidas, daño reputacional.

En estos eventos quedó claro algo que muchos subestiman: la seguridad no es algo que resuelves una vez y listo. Hay que revisarla, ajustarla y cuestionarla todo el tiempo. Especialmente si tu stack está compuesto por servicios conectados a internet, librerías externas, APIs, plugins, etc.
Nadie está 100% a salvo, pero ignorar los riesgos es lo que realmente te deja expuesto.

Qué puedes hacer hoy (sin ser experto en ciberseguridad)

• Audita tu sitio web o app con herramientas como Ulert. Te permite revisar seguridad, velocidad, enlaces rotos y headers clave en minutos.
• Cambia tu enfoque de seguridad: no es un firewall, es una práctica continua.
• Evita puntos ciegos. ¿Quién valida lo que subes a producción? ¿Sabes si alguien ya está escaneando tus endpoints?
• Sigue aprendiendo. No necesitas ser pentester para entender los conceptos clave. Lo importante es no operar en la oscuridad.

Imagen generada con IA
Copywrite: Natalia Jaimes