Secur0: “BIND nos ha abierto la puerta a un ecosistema industrial para el que haber trabajado con sus startups es la mejor carta de presentación”

El programa BIND del Grupo SPRI ha cumplido ya 10 ediciones en las que ha hecho crecer a empresas y startups innovadoras colaborando juntas. Más de 275 startups aceleradas, 100 empresas Venture Client y más de 400 proyectos desarrollados confirman su éxito. Esta plataforma ofrece un espacio de conexión y asesoramiento en innovación abierta para la colaboración entre startups de todo el mundo y empresas con sede en Euskadi y de referencia internacional. Y, en ocasiones, las mismas startups crecen colaborando unas con otras, validando sus soluciones y modelos de negocio. 

Fue el caso de Secur0, que llegó atraída por la industria vasca, “que cada vez pide más garantías de seguridad a sus proveedores antes de integrarlos”, y por adentrarse «en uno de los ecosistemas industriales y de ciberseguridad más fuertes de España”, explica su CEO y cofundador, Javier Juárez Zarruk. La startup se dedica a la ciberseguridad ofensiva: “Ponemos a prueba la seguridad de las empresas con la mayor red de hackers éticos de habla hispana, más de 2.000 profesionales verificados que buscan vulnerabilidades en sistemas reales con autorización del cliente. Cada hallazgo lo valida nuestro equipo, que descarta falsos positivos, le asigna una severidad y entrega a la empresa un informe con el impacto de cada fallo y cómo corregirlo”. 

Desde noviembre de 2024, momento en que comenzó su actividad, Secur0 ya ha reportado más de 3.500 vulnerabilidades a más de 130 empresas, y ha pasado de 3.000 euros de capital inicial a un millón de euros de facturación en 18 meses sin inversores. “De media encontramos 15 vulnerabilidades en la primera auditoría a una startup”. Aunque trabaja con algunas startups y pequeñas empresas a través de su programa Startup Perk, sus clientes son sobre todo medianas y grandes empresas, por lo que Secur0 encontró en la última edición de BIND la oportunidad perfecta para seguir testando dicho programa.

BIND 4.0, un lazo entre startups

En un primer momento, Secur0 planteó desarrollar un proyecto de ciberseguridad con una pyme del programa. Aunque finalmente no pudo llevarse a cabo, la plataforma consiguió brindarle igualmente ese espacio de conexión y colaboración: “El programa nos dio algo mejor, y terminamos trabajando con otras tres startups de nuestra misma promoción y con productos muy distintos”, valora el CEO.  

Así, Secur0 conectó con Muutech Monitoring Solutions, participante de Vigo, que monitoriza máquinas y sistemas industriales para evitar paradas de producción; con Process Talks, de Barcelona, que automatiza tareas de oficina a partir de instrucciones en lenguaje natural; y con la donostiarra Zeru Drones, que inspecciona infraestructuras como torres eléctricas con drones e inteligencia artificial.  

El proceso fue el mismo en los tres casos, según explica Juárez Zarruk: “Una reunión inicial para definir el alcance, qué activos se auditan -desde la aplicación web hasta las APIs- y con qué reglas. Unos días de pruebas en los que los hackers buscan y documentan vulnerabilidades. Un triaje de nuestro equipo, que descarta falsos positivos y ordena el resto por severidad. Y una sesión de entrega con el equipo técnico de cada startup para repasar el informe y priorizar la corrección”.  

De las 15 vulnerabilidades de media que Secur0 encuentra en la primera auditoría a una startup, Juárez Zarruk afirma que “casi siempre son del mismo tipo. Controles de acceso que dejan ver datos de otros usuarios, información sensible expuesta o fallos de validación que permiten inyectar código. Estos equipos son muy buenos en lo suyo, lo que pasa es que nadie había mirado su producto con los ojos de un atacante”.

Tras la participación en BIND, las tres empresas con las que ha trabajado Secur0 han cerrado el proceso con el informe entregado y las vulnerabilidades más graves corregidas. Para Secur0, la experiencia ha servido sobre todo “para validar el Startup Perk con casos reales. Nuestros clientes eran casi siempre medianas y grandes empresas y teníamos la duda de si el modelo encajaba en una startup con menos equipo y menos presupuesto. Encaja. La misma red de hackers y el mismo proceso de triaje funcionan igual en una empresa de diez personas que en una de mil, así que ahora sabemos que también podemos ayudar a startups y pequeñas empresas. También que da igual que una startup haga drones, inteligencia artificial o monitorización industrial, las vulnerabilidades de base aparecen en los mismos sitios. Eso nos permite auditar más rápido porque sabemos dónde mirar primero”.

Juárez Zarruk concluye afirmando que BIND ha abierto la puerta a un ecosistema industrial que no conocían en primera persona, “con empresas que necesitan poner a prueba su seguridad y para las que haber trabajado con sus startups es la mejor carta de presentación”. Y a aquellas startups que recién empiezan y aún no han pensado en la ciberseguridad, “les diría que no esperen a llevarse un susto ni a que el primer cliente grande le pida un informe de seguridad para firmar. Un pentest al principio cuesta poco y dice exactamente dónde estás. A partir de ahí, corregir primero lo crítico y no intentar arreglarlo todo a la vez. Y que la seguridad no se hace una vez. Cada despliegue puede abrir una vulnerabilidad nueva, por eso nosotros auditamos de forma continua durante todo el año en lugar de hacer una foto puntual”. 

El Grupo SPRI da la oportunidad a las empresas vascas de informar sobre su actividad en sus canales propios. Si tu proyecto está relacionado con nuestras temáticas (I+D+i, digitalización, internacionalización, emprendimiento, innovación…) puedes participar en la iniciativa Hablamos de ti. Además, puedes acceder a los programas de ayudas y servicios.