Ranking HackerOneBrasil
Top 2
entre los investigadores de Brasil en 2026
- 2026
- 2.º lugar en Brasil
- 2025
- 3.er lugar en Brasil
- Bug bounty
- más de 1 millón recibido
Lucas SouzaCofundador, Chief Offensive Security
Hify AttackHify Defense
Descubre dónde
la IA
atacaría
a tu empresa,
antes de que
alguien lo haga.
Nuestra tecnología prueba tus sitios y APIs como un atacante de alto nivel. En el código, cada cambio se revisa con contexto antes de llegar a producción.
-
Leer la factura de otra cuenta
GET /api/invoices/demo-02Decisión: Reproducidopasa al investigador
-
Abrir el panel interno
GET admin.example.comDecisión: Bloqueadofuera del alcance autorizado
-
Usar la sesión después de salir
POST /api/logoutDecisión: En validaciónespera al investigador
-
Probar los campos de búsqueda
GET /api/searchDecisión: En colaespera tu aprobación
[02] Prueba
Cuenta con quienes viven y respiran ciberseguridad.
Los hallazgos son revisados por investigadores reconocidos por Apple, Microsoft y Google.
Hall of Fame
Principales empresas donde encontramos vulnerabilidades
- NASA
- GitLab
Empresas a las que nuestro equipo ya reportó vulnerabilidades
[03] Productos
Dos productos. Un ciclo de seguridad.
01para tus aplicaciones y APIs
Hify Attack
Agentes de IA prueban los sitios y APIs que autorizaste. Cada hallazgo llega revisado, con prueba reproducible.
Conocer Attack02para tu código
Hify Defense
Revisa cada cambio de código con contexto y sugiere la corrección en el propio pull request.
Conocer DefenseHify Attack para tus aplicaciones y APIs Producto 1 de 2
[04] Cómo funciona
Agentes de IA atacan. Un especialista confirma.
-
Probamos la aplicación
Agentes de IA atacan los sitios y APIs que autorizaste.
-
Un investigador revisa
Cada hallazgo pasa por una persona antes de llegar a ti.
-
Tu equipo corrige
El hallazgo trae el paso a paso para reproducir y corregir.
-
Volvemos a probar
Repetimos el ataque para confirmar que la falla se cerró.
Empieza por una aplicación. Las demás entran después, en el orden de riesgo que definas.
[05] Cadencia Hify Attack
Un pentest al año no sigue el ritmo de lo que cambia.
Tu aplicación cambia cada semana. En Hify, cada cambio relevante dispara una prueba.
- semana con prueba
- semana sin prueba
PCI DSS v4.0.1, req. 11.4, exige pentest al menos cada 12 meses y también después de un cambio significativo.
[06] Hallazgo Hify Attack
Cada hallazgo viene con prueba.
Nada de listas de alertas. Tu equipo recibe lo que fue explotado, cómo corregirlo y la confirmación de que la corrección funcionó.
HFY-0142
Lectura de datos de otra cuenta
Severidad: AltaPrueba
La cuenta A leyó los datos de la cuenta B.
Solicitud hecha por la cuenta A
GET /v1/accounts/7f3c…e21
Authorization: Bearer ‹cuenta A›Respuesta con datos de la cuenta B
200 OK
{ "nome": "Mar*** S***",
"cpf": "***.***.***-12" }Corrección
Verificar que la cuenta pertenece a quien la pide, antes de responder.
Fragmento sugerido
if (account.owner !== user.id)
return 404Retest
Corregido el 25/09 · confirmado con el mismo ataque
Antes200 OK
Después404
[07] Plataforma Hify Attack
Una pantalla para quien decide. Otra para quien corrige.
El directorio ve si el riesgo está bajando. El equipo técnico ve qué corregir primero.
Para quien decide
- Índice de riesgo
- 2 de 100
- Críticos abiertos
- 0
- Tiempo hasta corregir
- 3 días
Riesgos abiertos por mes
Para quien corrige
- HFY-0160 El enlace de cambio de contraseña funciona más de una vez Severidad: Alta Responsable: Equipo de Cuentas corregir antes del 02/10
- HFY-0151 Se puede descubrir quién es cliente por su documento Severidad: Media Responsable: Equipo de Cuentas en retest
- HFY-0157 Límite diario burlado con solicitudes simultáneas Severidad: Crítica Responsable: Equipo de Tarjetas corregido el 25/09
- HFY-0142 Lectura de datos de otra cuenta Severidad: Alta Responsable: Equipo de Cuentas corregido el 25/09
Hify Defense para tu código Producto 2 de 2
[08] Revisión de código
Revisión de cada cambio de código, con contexto.
Defense lee el cambio junto con los servicios que toca y le explica el riesgo a quien lo escribió, antes de producción.
Pull request #128 Endpoint de facturas
Corregido antes de producción
src/api/invoices.ts líneas añadidas: +5
12
export async function getInvoice(req, res) {13+
const invoice = await db.invoices.find(req.params.id); 14+
if (invoice.accountId !== req.session.accountId) { 15+
return res.status(403).end();16+
}17+
return res.json(invoice);18
}Hify Defense bot
Esta ruta devuelve la factura sin verificar si es de la cuenta que inició sesión. Cualquier usuario autenticado lee la factura de otra cuenta cambiando el id.
Sugerencia de corrección
+
if (invoice.accountId !== req.session.accountId) { +
return res.status(403).end();+
}Sugerencia aplicada
-
Entra por GitHub App
En el repositorio que elijas.
-
Responde en el pull request
Explica el riesgo y sugiere la corrección donde se revisa el código.
-
Tu equipo decide
Tus desarrolladores aprueban cada cambio antes de ir a producción.
[09] Control
Nada sale del alcance que aprobaste.
Un agente autónomo solo es seguro con límites. Los tuyos se vuelven política, verificada en cada solicitud.
Alcance aprobado
Hosts, rutas, cuentas de prueba, horario y velocidad.
Todo registrado
Cada solicitud con su respuesta, exportable para auditoría.
Tú pausas
Un botón en el panel detiene la ejecución al instante.
Bloqueado antes de salir
- /v1/admin/*
- /payments/*
- servicios de terceros
Dentro del alcance
- app.ejemplo.com
- api.ejemplo.com/v1
[10] Radar
Salió un fallo nuevo. Radar te dice si te afecta.
Radar monitorea en tiempo real más de 200 fuentes donde investigadores de ciberseguridad de todo el mundo publican lo que encuentran, y entiende cómo afecta cada vulnerabilidad a tus aplicaciones.
Monitorea
Más de 200 fuentes, en tiempo real.
Cruza
Cada fallo nuevo con tus aplicaciones.
Prioriza
Primero, lo que pide acción hoy.
-
Fallo permite entrar sin contraseñaCríticaBiblioteca de login
Actuar hoyAfecta a 2 aplicaciones
-
Versión adulterada roba credencialesAltaPaquete de código abierto
No te afectaNo usas ese paquete
-
Fallo ya usado en ataques realesAltaServidor web
Esta semanaAfecta a 1 aplicación
-
Filtración de datos de clientesMediaServicio de terceros
No te afectaNo usas ese servicio
-
Fallo permite leer datos de otra cuentaCríticaFramework de API
Actuar hoyAfecta a 1 aplicación
[11] Integraciones
El hallazgo llega donde tu equipo ya trabaja.
También por correo, WhatsApp, API, webhooks e inicio de sesión único (SSO).
Jira
Slack
Microsoft Teams
GitHub
GitLab
Claude Code
Cursor
Codex
GitHub Copilot
Windsurf
[12] Comparativa
Profundidad de pentest, al ritmo de tus cambios.
| Criterio | Pentest anual | Escáner | Bug bounty |  |
|---|---|---|---|---|
| Frecuencia | 1 vez al año | En cada build | Mientras dure el programa | En ciclos y en cada cambio relevante |
| Encuentra fallas de lógica de negocio | Sí | Parcial | Parcial | Sí |
| Entrega prueba reproducible | Sí | Parcial | Sí | Sí |
| Repite el ataque después de la corrección | Parcial | Sí | Parcial | Sí |
| Encaja en el deploy | No | Sí | No | Sí |
| Revisa cada cambio de código antes de producción | No | Parcial | No | Sí |
| Costo previsible | Sí | Sí | No | Sí |
Para red interna, ingeniería social y pruebas físicas, el pentest tradicional sigue siendo el camino.
[13] Equipo
Quién construye Hify.
Cuatro cofundadores construyendo la plataforma, con un advisor del consejo de Nubank.
-
Cofundador, CEO
Igor Gontijo
Fundó, escaló y vendió Hackr Ads, plataforma que gestionaba más de R$ 380 millones en anuncios. Adquirida por Conta Simples en 2022.
-
Cofundador, CPO
Lucas Fonseca
Experiencia en la construcción de sistemas con IA. Consultor de seguridad de Dreamer, adquirida por Meta en 2026.
-
Cofundador, Chief Offensive Security
Lucas Souza
Distinguished hacker, con más de 1 millón recibido en bug bounty. TOP 2 de HackerOne en Brasil en 2026, con experiencia en equipos de DevSecOps.
-
Cofundador, Chief Research & Development
João Costa
Fue desarrollador y trabajó en AppSec en Mercado Pago, en el equipo que construye las soluciones de seguridad de aplicaciones de Mercado Libre. Construyó con Lucas Souza un harness propio de pruebas de intrusión.
Advisor
Rogério Calderón
Miembro del consejo de administración de Nubank y presidente del comité de riesgo.
[14] Dudas
Dudas antes de la demo.
¿Sustituye al pentest manual?
En aplicaciones web y APIs, Hify prueba con mucha más frecuencia que un pentest anual, y cada hallazgo pasa por un especialista. Red interna, ingeniería social y pruebas físicas quedan fuera: para eso, el pentest manual sigue en tu plan.
¿Sustituye al escáner?
No, lo complementa. El escáner busca patrones conocidos, una solicitud a la vez. Hify sigue caminos de varias etapas con sesión real, prueba la lógica de negocio de la aplicación y entrega cada hallazgo con la prueba.
¿En qué entorno corren las pruebas?
En el entorno que defines en el alcance, con ventana horaria, límite de solicitudes por segundo y métodos destructivos bloqueados.
¿Dónde quedan los datos de las pruebas?
Dónde quedan, por cuánto tiempo y quién accede se responde en el cuestionario de seguridad, bajo acuerdo de confidencialidad, antes de cualquier dato sensible. En la evidencia, los datos personales aparecen enmascarados.
¿Necesito entregar credenciales o código?
No para empezar. Se puede partir de la vista externa o de dos cuentas de prueba, que ya muestran si una cuenta logra leer datos de la otra. El código entra cuando lo autorices, y la prueba pasa a ver más.
¿Y si no se encuentra nada?
Ningún hallazgo no significa un entorno seguro. El informe registra qué se probó, con qué accesos, y qué quedó fuera y por qué.
¿Cómo funciona el precio?
Por aplicación, según el plan. Pesan la complejidad de cada una, la frecuencia de los ciclos y el nivel de acceso. El valor se define después de la demo; no hay tabla pública.
[15] Conversación
Mira a Hify atacar primero, con tu autorización.
Una demo con la plataforma en funcionamiento.
No fue posible enviar ahora.
Copia el mensaje de abajo o abre tu aplicación de correo. El destino es igor@hify.ai.
O escribe a igor@hify.ai.