HackerOne, la plataforma de bug bounty fundada en 2011 por los hackers éticos Jobert Abma y Michiel Prins, atraviesa una crisis interna que ha pasado desapercibida para quienes se incorporaron recientemente al sector, pero que resulta evidente para los veteranos de la comunidad. Así lo denuncia un ex cazador de vulnerabilidades y ex gestor de programas de bug bounty, activo en la plataforma desde 2017, que ofrece un testimonio directo sobre lo que describe como el "declive" de la que fuera la referencia mundial en programas de recompensas por fallos de seguridad.
Según relata la fuente, la primera década de HackerOne constituyó una auténtica "edad de oro". Entre 2017 y 2020, la organización celebraba cada pocos meses los llamados Live Hacking Events (LHE): encuentros exclusivos a los que viajaban los mejores cazadores de vulnerabilidades del mundo, alojados y financiados por la plataforma, para buscar durante uno o tres días fallos críticos en objetivos específicos. Estos eventos, acompañados de pósteres personalizados de serigrafía, monedas de desafío y merchandising exclusivo, generaban en un solo fin de semana más reportes graves que en un año normal. Además, según el testimonio, los LHE "crearon una comunidad completamente nueva dentro de la infosec", propiciando lazos personales y profesionales entre investigadores que antes trabajaban de forma aislada.
El cambio, siempre según la misma fuente, comenzó alrededor de 2020-2021. HackerOne, que hasta entonces se había financiado casi exclusivamente con capital riesgo —acumulando unos 160 millones de dólares entre 2014 y 2022 mediante rondas bianuales—, empezó a enfrentarse a la pregunta clave de cualquier startup: cómo ser rentable. Los inversores exigieron resultados, lo que condujo a una reorganización profunda: el CEO fundador fue sustituido por un ejecutivo de perfil corporativo, la comisión del 20% sobre las recompensas se reemplazó por tarifas por capacidad y contratos plurianuales, y la estrategia se reorientó hacia ventas y retención de clientes en lugar de satisfacer a los hackers.
Los síntomas de este giro, descritos en el blog teknogeek.io, son múltiples: la tecnología de la plataforma se estancó, su interfaz permaneció "cansada y funcional" sin apenas evolucionar, los grupos comunitarios y eventos regionales perdieron fuelle, los pósteres serigrafiados se convirtieron en impresiones láser de baja calidad, y los empleados que durante años habían organizado los LHE fueron despedidos o abandonaron la empresa. Además, los responsables de cuenta empezaron a presionar a las compañías para que subieran las recompensas con el fin de mantenerlas "competitivas y atractivas" para los investigadores, mientras se ofrecían descuentos de entre el 30% y el 60% en las renovaciones para garantizar contratos a largo plazo.
El resultado fue una caída en cadena: los hackers más talentosos fueron alejándose de la plataforma, los eventos se volvieron más exclusivos, gamificados y "calculados" en su sistema de puntuación, y la identidad cultural que había definido a HackerOne —una comunidad construida por y para hackers— fue cediendo ante una lógica puramente comercial.
Cabe señalar que el relato proviene de una sola fuente testimonial (un ex cazador y ex gestor de programas) y no se hancontrastado sus afirmaciones con HackerOne ni con inversores. La compañía no ha publicado hasta el momento, según la información disponible, una respuesta pública a estas críticas. No obstante, el testimonio resulta relevante porque combina la perspectiva del investigador de seguridad con la del gestor corporativo, algo inhabitual en el debate público sobre las plataformas de bug bounty.
De momento, la comunidad de Infosec observa con atención la evolución de HackerOne. Si las tendencias descritas se confirman, el ecosistema de la divulgaciónresponsible de vulnerabilidades podría diversificarse hacia plataformas competidoras o modelos alternativos. Por ahora, el legado de la que fue la plataforma de referencia en bug bounty parece estar en punto muerto, a la espera de si la compañía logra reconectar con la comunidad que la hizo grande o si termina consolidándose como un proveedor corporativo más.