En resumen: Si haces pentests profesionales de aplicaciones web o bug bounty en serio, Burp Suite Pro se paga solo con un solo engagement. Si estás aprendiendo o haciendo CTFs, Community Edition es genuinamente suficiente — por ahora. ¿Qué es Burp Suite? Burp Suite es la plataforma de pruebas de seguridad en aplicaciones web de PortSwigger. Ha sido el estándar de la industria para pentesting de aplicaciones web durante más de una década, y con buenas razones: intercepta, manipula y reproduce tráfico HTTP/S con precisión quirúrgica. Ya sea que estés buscando SQLi, IDOR, XSS, o encadenando secuencias complejas de ataque en múltiples pasos, Burp es la herramienta que vas a usar primero. ...

Si has pasado algún tiempo en comunidades de seguridad ofensiva, ya conoces el debate: montar un home lab vs levantar un VPS y ya. Ambos bandos tienen defensores ruidosos, y ambos tienen parte de razón. He tenido home labs dedicados durante años, y también he hecho engagements e investigación personal completamente sobre infraestructura cloud. Ninguno es universalmente mejor. La respuesta correcta depende de lo que quieres aprender, tu presupuesto, tu situación de vida y — de manera crítica — tu modelo de amenaza respecto a la exposición legal. ...

El 7 de abril de 2026, Anthropic anunció algo inusual: un modelo que construyeron pero que no van a lanzar. Claude Mythos Preview — según la propia system card de Anthropic — ha superado a todos excepto a los humanos más habilidosos en encontrar y explotar vulnerabilidades de software. Descubrió miles de vulnerabilidades de alta severidad, incluyendo zero-days en todos los sistemas operativos y navegadores principales. Durante las pruebas internas, escapó de un entorno sandbox y le envió un email a un investigador que se enteró de ello mientras comía un sándwich en un parque. ...

Entrar al pentesting es uno de los temas más consultados en ciberseguridad. Todo el mundo quiere hacerlo. Muy pocos realmente son contratados. La brecha no es de talento — es de saber qué busca la industria realmente versus lo que tú crees que busca. Con más de una década trabajando en seguridad ofensiva, aquí está un análisis honesto de cómo conseguir tu primer trabajo en pentesting en 2026. Lo Que “Pentester Junior” Realmente Significa Primero, un poco de realismo: la mayoría de empresas que contratan pentesters “junior” todavía esperan que arranques a correr desde el primer día. No te van a guiar en cada engagement. Lo que realmente buscan es: ...

Esta lista viene de 14+ años en seguridad ofensiva — OSCP, CISSP, cientos de engagements. Los affiliate links ayudan a mantener este sitio funcionando. Cada libro aquí lo he leído personalmente y se lo daría a alguien que se uniera a mi equipo. Hay dos tipos de listas de “mejores libros de hacking”. El primer tipo es un resumen de libros que alguien encontró en Amazon y clasificó por rating de estrellas. El segundo tipo es una lista de alguien que realmente usó estos recursos en engagements reales, en prep real para certificaciones reales, con clientes reales esperando al otro lado. ...

Escrito por un profesional de seguridad certificado (CISSP, OSCP) con 14+ años en seguridad ofensiva y liderazgo de seguridad. Los affiliate links ayudan a mantener este sitio — solo recomendamos recursos que usaríamos nosotros mismos. Cada mes aparece una nueva lista de “mejores libros de hacking” que parece escrita por alguien que pasó 20 minutos buscando “libros de ciberseguridad” en Google. Esta no es esa. Esta es la lista que le daría a alguien que se une a mi red team. Libros que he leído de principio a fin. Herramientas que uso en engagements reales. Equipo que ha pasado por el abuso del lab y el uso en campo. Si está aquí, se gana su lugar. ...

OffSec acaba de hacer algo interesante. La empresa detrás de OSCP — posiblemente la certificación práctica más respetada en seguridad ofensiva — ha volcado su metodología hacia los sistemas de IA con una nueva certificación: OSAI (OffSec AI Red Teamer). El momento tiene sentido. Las organizaciones están desplegando LLMs, agentes de IA y pipelines de machine learning a un ritmo que supera la capacidad de sus equipos de seguridad para evaluarlos. La metodología tradicional de pentesting no fue diseñada para esto. OSAI es la respuesta de OffSec a esa brecha. ...

OSCP solía ser la única certificación que importaba para pentesters. Entonces TCM Security lanzó PNPT y cambió la conversación. En 2026, PNPT se ha convertido en una de las certificaciones más respetadas de nivel entry-to-mid en seguridad ofensiva — no por reconocimiento de marca, sino por qué el examen realmente prueba. Esta es una reseña completa de si pertenece en tu carrera de certificación. Qué es el PNPT? Practical Network Penetration Tester (PNPT) es una certificación de TCM Security , creada por Heath Adams (The Cyber Mentor). Es un examen completamente práctico — sin opción múltiple, sin flags de CTF, sin memorización. ...

⚠️ Incidente Pasado — 31 de Marzo, 2026. Si corriste npm install o npm update entre la tarde del 30 de marzo UTC y el 31 de marzo, revisa tus sistemas ahora. Ver pasos de remediación abajo. ✅ Historia Concluida — Atribución resuelta (UNC1069 / Sapphire Sleet — Corea del Norte/BlueNoroff), versiones maliciosas eliminadas, post-mortem del mantenedor publicado, vector de ingeniería social completamente confirmado. No se programan más actualizaciones. Última actualización: 7 de abril, 2026 15:00 UTC. ...

🔄 Historia en Desarrollo — Última actualización: 3 de abril de 2026, 16:30 UTC. Se descubrió y parcheó silenciosamente en v2.1.90 un bypass de seguridad en las reglas de denegación. Repositorios troyanizados del leak están propagando el infostealer Vidar y el malware GhostSocks. Ver sección de Actualizaciones abajo. Actualizaciones 3 de abril de 2026 — 16:30 UTC Parche liberado; bypass de seguridad confirmado; campaña de malware en marcha. Primera versión parcheada: v2.1.90. Anthropic liberó silenciosamente Claude Code v2.1.90, corrigiendo una vulnerabilidad de seguridad descubierta por Adversa AI directamente a través del análisis del código fuente filtrado. No se emitió ningún changelog público ni advisory. Los usuarios que aún ejecutan v2.1.88 o cualquier versión anterior a v2.1.90 deben actualizar de inmediato. El paquete original v2.1.88 permanece despublicado en npm. ...