Ethiack, la empresa portuguesa de ciberseguridad fundada en 2022 y responsable de algunos de los descubrimientos de vulnerabilidades más relevantes en el ámbito internacional en los últimos meses, ha empezado formalmente su actividad comercial en España. La compañía aterriza en el mercado español con una destacada cartera internacional de clientes en países como Inglaterra, Alemania y la propia España, según ha comunicado la propia compañía. En el mercado español, aseguran desde la firma lusa, su objetivo es convertirse en el socio de referencia para aquellas organizaciones «que necesitan determinar, de manera continua y demostrable, qué parte de su superficie de exposición digital es realmente explotable por un atacante».Los servicios de Ethiack -apuntan desde la compañía- se diferencian de los ‘pentests’ anuales tradicionales —que solo ofrecen una fotografía estática que caduca en cuestión de semanas— y de los escáneres de vulnerabilidades convencionales, los cuales se limitan a entregar listas interminables de alertas ordenadas por una criticidad teórica, sin reflejar lo que un atacante puede explotar en la práctica.Ethiack invierte esta lógica a través de su motor de IA basado en agentes, Hackian, que mapea permanentemente la superficie de ataque, encadena rutas de intrusión, ejecuta rutinas de explotación y ofrece una prueba de concepto en cada riesgo confirmado. El resultado, según datos de la compañía, es una tasa de falsos positivos inferior al 0,5%.Ethiack nació en 2022 en Coímbra, la ciudad que alberga la universidad más antigua de Portugal (fundada en 1290, unas siete décadas después de la de Salamanca) y que sigue siendo la principal cuna académica del país. La empresa dio sus primeros pasos en el Instituto Pedro Nunes —la incubadora vinculada a la Universidad de Coímbra, reconocida en varias ocasiones como una de las mejores del mundo— y desde allí dio el salto al mercado internacional.La compañía fue fundada por André Baptista y Jorge Monteiro, dos perfiles complementarios. Monteiro, CEO, aporta la visión de negocio e internacionalización. Baptista, director de tecnología (CTO), es probablemente el hacker ético más reconocido de la península ibérica. Nacido en Coímbra en 1994 y graduado en su universidad, Baptista ganó el título de ‘Hacker Más Valioso’ en 2018 en la competición H1-202, organizada por HackerOne en Washington; una distinción que le valió el apodo del Cristiano Ronaldo de la ciberseguridad; en la prensa portuguesa. En agosto de 2024, revalidó el título en Las Vegas en una competición por invitación centrada en TikTok y Epic Games, convirtiéndose en uno de los cinco hackers del mundo en lograrlo en dos ocasiones. También es profesor invitado del Máster en Seguridad Informática de la Universidad de Oporto y entrenador del equipo portugués en el European Cyber Security Challenge.Historial de investigacionesEl equipo de investigación de Ethiack, liderado por Baptista, identificó recientemente una vulnerabilidad crítica de ejecución remota de código en ‘Ruby on Rails’ , el ‘framework web’ de código abierto que soporta más de medio millón de aplicaciones y algunas de las plataformas digitales más grandes del mundo. El fallo, denominado KindaRails2Shell y registrado como CVE-2026-66066 con una puntuación de 9.5, se localizaba en el procesador de imágenes predeterminado del ‘framework’: bastaba con que un usuario subiera una imagen (una foto de perfil, un avatar o una miniatura) para abrir la puerta a la lectura de archivos, la ejecución de código malicioso y, en última instancia, al control total del servidor.Ethiack notificó discretamente al equipo de ‘Ruby on Rails’ y coordinó con ellos un proceso de divulgación responsable . La empresa advierte de que actualizar el ‘framework’ puede no ser suficiente: «la solución completa requiere varios pasos, incluida la actualización independiente de una biblioteca de procesamiento de imágenes de terceros, por lo que muchas implementaciones podrían seguir expuestas tras aplicar el parche principal».España, en plena ebullición regulatoriaLa entrada de Ethiack en España coincide con un momento de gran presión regulatoria en el mercado local. La transposición de la Directiva NIS2, que extenderá a miles de entidades la obligación de gestionar el riesgo digital y notificar incidentes en plazos estrictos, sigue pendiente de tramitación parlamentaria en las Cortes y acumula un retraso que ya ha provocado advertencias y acciones formales por parte de la Comisión Europea. A esto se suman DORA , plenamente aplicable al sector financiero; el Esquema Nacional de Seguridad (ENS), que exige a las administraciones públicas y sus proveedores realizar auditorías y pruebas periódicas; y el Reglamento de Ciberresiliencia (CRA), cuyas primeras obligaciones de reporte de vulnerabilidades acaban de entrar en vigor este mes.Para Jorge Monteiro, «España es un mercado natural para nosotros. Compartimos un marco regulatorio europeo y, en muchos casos, los mismos grupos empresariales operan a ambos lados de la frontera. Ya trabajamos con organizaciones españolas y lo que nos piden es siempre lo mismo: dejar de gestionar listas infinitas de alertas teóricas y empezar a mitigar el riesgo real demostrado.Por su parte, André Baptistaafirma que «cuando encuentras un fallo crítico que afecta a medio millón de aplicaciones o a los geoportales de decenas de países, te das cuenta de que el problema real no es la falta de herramientas, sino el tiempo que transcurre entre la aparición de una vulnerabilidad y el momento en que alguien comprueba si es explotable. En esa brecha es donde actúa el atacante y eso es exactamente lo que ayudamos a cerrar».CiberdefensaLa tecnología de Ethiack se utiliza actualmente en entornos donde la continuidad operativa no permite pausas. En el ámbito de la defensa , la empresa participó en el proyecto de Hacking Ético por IA desarrollado por el Estado Mayor de las Fuerzas Armadas de Portugal, a través del Comando de Operaciones de Defensa Ciberespacial. Este proyecto estaba destinado a automatizar y aumentar la frecuencia de las pruebas de seguridad en las tres ramas de las fuerzas armadas y fue diseñado para operar también en redes aisladas (air-gapped). El trabajo se completó en junio de 2026 y fue validado el pasado 31 de agosto por la Agencia para la Modernización Administrativa (AMA) y la Comisión Europea.Fuera del ámbito militar, entre los casos de éxito publicados por la propia compañía destacan el de la Universidad de Oporto , con más de 5.000 activos protegidos y dos millones de euros en pérdidas potenciales evitadas durante 2025, y el del grupo farmacéutico Bluepharma, con mil activos críticos bajo supervisión permanente. En total, Ethiack reportó más de 150.000 vulnerabilidades explotables y evitó daños financieros estimados en más de 150 millones de euros a lo largo del año 2025.Ronda de financiaciónEn diciembre de 2024, Ethiack cerró una ronda de financiación semilla de 4 millones de euros liderada por la firma de capital privado Explorer Investments, con la participación de CoreAngels, Startup Wise Guys, Aralab, Amena Ventures, Start Ventures y el inversor Paulo Marques, con el objetivo de acelerar su expansión internacional. Ethiack, la empresa portuguesa de ciberseguridad fundada en 2022 y responsable de algunos de los descubrimientos de vulnerabilidades más relevantes en el ámbito internacional en los últimos meses, ha empezado formalmente su actividad comercial en España. La compañía aterriza en el mercado español con una destacada cartera internacional de clientes en países como Inglaterra, Alemania y la propia España, según ha comunicado la propia compañía. En el mercado español, aseguran desde la firma lusa, su objetivo es convertirse en el socio de referencia para aquellas organizaciones «que necesitan determinar, de manera continua y demostrable, qué parte de su superficie de exposición digital es realmente explotable por un atacante».Los servicios de Ethiack -apuntan desde la compañía- se diferencian de los ‘pentests’ anuales tradicionales —que solo ofrecen una fotografía estática que caduca en cuestión de semanas— y de los escáneres de vulnerabilidades convencionales, los cuales se limitan a entregar listas interminables de alertas ordenadas por una criticidad teórica, sin reflejar lo que un atacante puede explotar en la práctica.Ethiack invierte esta lógica a través de su motor de IA basado en agentes, Hackian, que mapea permanentemente la superficie de ataque, encadena rutas de intrusión, ejecuta rutinas de explotación y ofrece una prueba de concepto en cada riesgo confirmado. El resultado, según datos de la compañía, es una tasa de falsos positivos inferior al 0,5%.Ethiack nació en 2022 en Coímbra, la ciudad que alberga la universidad más antigua de Portugal (fundada en 1290, unas siete décadas después de la de Salamanca) y que sigue siendo la principal cuna académica del país. La empresa dio sus primeros pasos en el Instituto Pedro Nunes —la incubadora vinculada a la Universidad de Coímbra, reconocida en varias ocasiones como una de las mejores del mundo— y desde allí dio el salto al mercado internacional.La compañía fue fundada por André Baptista y Jorge Monteiro, dos perfiles complementarios. Monteiro, CEO, aporta la visión de negocio e internacionalización. Baptista, director de tecnología (CTO), es probablemente el hacker ético más reconocido de la península ibérica. Nacido en Coímbra en 1994 y graduado en su universidad, Baptista ganó el título de ‘Hacker Más Valioso’ en 2018 en la competición H1-202, organizada por HackerOne en Washington; una distinción que le valió el apodo del Cristiano Ronaldo de la ciberseguridad; en la prensa portuguesa. En agosto de 2024, revalidó el título en Las Vegas en una competición por invitación centrada en TikTok y Epic Games, convirtiéndose en uno de los cinco hackers del mundo en lograrlo en dos ocasiones. También es profesor invitado del Máster en Seguridad Informática de la Universidad de Oporto y entrenador del equipo portugués en el European Cyber Security Challenge.Historial de investigacionesEl equipo de investigación de Ethiack, liderado por Baptista, identificó recientemente una vulnerabilidad crítica de ejecución remota de código en ‘Ruby on Rails’ , el ‘framework web’ de código abierto que soporta más de medio millón de aplicaciones y algunas de las plataformas digitales más grandes del mundo. El fallo, denominado KindaRails2Shell y registrado como CVE-2026-66066 con una puntuación de 9.5, se localizaba en el procesador de imágenes predeterminado del ‘framework’: bastaba con que un usuario subiera una imagen (una foto de perfil, un avatar o una miniatura) para abrir la puerta a la lectura de archivos, la ejecución de código malicioso y, en última instancia, al control total del servidor.Ethiack notificó discretamente al equipo de ‘Ruby on Rails’ y coordinó con ellos un proceso de divulgación responsable . La empresa advierte de que actualizar el ‘framework’ puede no ser suficiente: «la solución completa requiere varios pasos, incluida la actualización independiente de una biblioteca de procesamiento de imágenes de terceros, por lo que muchas implementaciones podrían seguir expuestas tras aplicar el parche principal».España, en plena ebullición regulatoriaLa entrada de Ethiack en España coincide con un momento de gran presión regulatoria en el mercado local. La transposición de la Directiva NIS2, que extenderá a miles de entidades la obligación de gestionar el riesgo digital y notificar incidentes en plazos estrictos, sigue pendiente de tramitación parlamentaria en las Cortes y acumula un retraso que ya ha provocado advertencias y acciones formales por parte de la Comisión Europea. A esto se suman DORA , plenamente aplicable al sector financiero; el Esquema Nacional de Seguridad (ENS), que exige a las administraciones públicas y sus proveedores realizar auditorías y pruebas periódicas; y el Reglamento de Ciberresiliencia (CRA), cuyas primeras obligaciones de reporte de vulnerabilidades acaban de entrar en vigor este mes.Para Jorge Monteiro, «España es un mercado natural para nosotros. Compartimos un marco regulatorio europeo y, en muchos casos, los mismos grupos empresariales operan a ambos lados de la frontera. Ya trabajamos con organizaciones españolas y lo que nos piden es siempre lo mismo: dejar de gestionar listas infinitas de alertas teóricas y empezar a mitigar el riesgo real demostrado.Por su parte, André Baptistaafirma que «cuando encuentras un fallo crítico que afecta a medio millón de aplicaciones o a los geoportales de decenas de países, te das cuenta de que el problema real no es la falta de herramientas, sino el tiempo que transcurre entre la aparición de una vulnerabilidad y el momento en que alguien comprueba si es explotable. En esa brecha es donde actúa el atacante y eso es exactamente lo que ayudamos a cerrar».CiberdefensaLa tecnología de Ethiack se utiliza actualmente en entornos donde la continuidad operativa no permite pausas. En el ámbito de la defensa , la empresa participó en el proyecto de Hacking Ético por IA desarrollado por el Estado Mayor de las Fuerzas Armadas de Portugal, a través del Comando de Operaciones de Defensa Ciberespacial. Este proyecto estaba destinado a automatizar y aumentar la frecuencia de las pruebas de seguridad en las tres ramas de las fuerzas armadas y fue diseñado para operar también en redes aisladas (air-gapped). El trabajo se completó en junio de 2026 y fue validado el pasado 31 de agosto por la Agencia para la Modernización Administrativa (AMA) y la Comisión Europea.Fuera del ámbito militar, entre los casos de éxito publicados por la propia compañía destacan el de la Universidad de Oporto , con más de 5.000 activos protegidos y dos millones de euros en pérdidas potenciales evitadas durante 2025, y el del grupo farmacéutico Bluepharma, con mil activos críticos bajo supervisión permanente. En total, Ethiack reportó más de 150.000 vulnerabilidades explotables y evitó daños financieros estimados en más de 150 millones de euros a lo largo del año 2025.Ronda de financiaciónEn diciembre de 2024, Ethiack cerró una ronda de financiación semilla de 4 millones de euros liderada por la firma de capital privado Explorer Investments, con la participación de CoreAngels, Startup Wise Guys, Aralab, Amena Ventures, Start Ventures y el inversor Paulo Marques, con el objetivo de acelerar su expansión internacional.
Ethiack, la empresa portuguesa de ciberseguridad fundada en 2022 y responsable de algunos de los descubrimientos de vulnerabilidades más relevantes en el ámbito internacional en los últimos meses, ha empezado formalmente su actividad comercial en España. La compañía aterriza en el mercado español con … una destacada cartera internacional de clientes en países como Inglaterra, Alemania y la propia España, según ha comunicado la propia compañía.
En el mercado español, aseguran desde la firma lusa, su objetivo es convertirse en el socio de referencia para aquellas organizaciones «que necesitan determinar, de manera continua y demostrable, qué parte de su superficie de exposición digital es realmente explotable por un atacante».
Los servicios de Ethiack -apuntan desde la compañía- se diferencian de los ‘pentests’ anuales tradicionales —que solo ofrecen una fotografía estática que caduca en cuestión de semanas— y de los escáneres de vulnerabilidades convencionales, los cuales se limitan a entregar listas interminables de alertas ordenadas por una criticidad teórica, sin reflejar lo que un atacante puede explotar en la práctica.
Ethiack invierte esta lógica a través de su motor de IA basado en agentes, Hackian, que mapea permanentemente la superficie de ataque, encadena rutas de intrusión, ejecuta rutinas de explotación y ofrece una prueba de concepto en cada riesgo confirmado. El resultado, según datos de la compañía, es una tasa de falsos positivos inferior al 0,5%.
Noticia relacionada
Ethiack nació en 2022 en Coímbra, la ciudad que alberga la universidad más antigua de Portugal (fundada en 1290, unas siete décadas después de la de Salamanca) y que sigue siendo la principal cuna académica del país. La empresa dio sus primeros pasos en el Instituto Pedro Nunes —la incubadora vinculada a la Universidad de Coímbra, reconocida en varias ocasiones como una de las mejores del mundo— y desde allí dio el salto al mercado internacional.
La compañía fue fundada por André Baptista y Jorge Monteiro, dos perfiles complementarios. Monteiro, CEO, aporta la visión de negocio e internacionalización. Baptista, director de tecnología (CTO), es probablemente el hacker ético más reconocido de la península ibérica.
Newsletter
Nacido en Coímbra en 1994 y graduado en su universidad, Baptista ganó el título de ‘Hacker Más Valioso’ en 2018 en la competición H1-202, organizada por HackerOne en Washington; una distinción que le valió el apodo del Cristiano Ronaldo de la ciberseguridad; en la prensa portuguesa. En agosto de 2024, revalidó el título en Las Vegas en una competición por invitación centrada en TikTok y Epic Games, convirtiéndose en uno de los cinco hackers del mundo en lograrlo en dos ocasiones. También es profesor invitado del Máster en Seguridad Informática de la Universidad de Oporto y entrenador del equipo portugués en el European Cyber Security Challenge.
Historial de investigaciones
El equipo de investigación de Ethiack, liderado por Baptista, identificó recientemente una vulnerabilidad crítica de ejecución remota de código en ‘Ruby on Rails’, el ‘framework web’ de código abierto que soporta más de medio millón de aplicaciones y algunas de las plataformas digitales más grandes del mundo. El fallo, denominado KindaRails2Shell y registrado como CVE-2026-66066 con una puntuación de 9.5, se localizaba en el procesador de imágenes predeterminado del ‘framework’: bastaba con que un usuario subiera una imagen (una foto de perfil, un avatar o una miniatura) para abrir la puerta a la lectura de archivos, la ejecución de código malicioso y, en última instancia, al control total del servidor.
Ethiack notificó discretamente al equipo de ‘Ruby on Rails’ y coordinó con ellos un proceso de divulgación responsable. La empresa advierte de que actualizar el ‘framework’ puede no ser suficiente: «la solución completa requiere varios pasos, incluida la actualización independiente de una biblioteca de procesamiento de imágenes de terceros, por lo que muchas implementaciones podrían seguir expuestas tras aplicar el parche principal».
España, en plena ebullición regulatoria
La entrada de Ethiack en España coincide con un momento de gran presión regulatoria en el mercado local. La transposición de la Directiva NIS2, que extenderá a miles de entidades la obligación de gestionar el riesgo digital y notificar incidentes en plazos estrictos, sigue pendiente de tramitación parlamentaria en las Cortes y acumula un retraso que ya ha provocado advertencias y acciones formales por parte de la Comisión Europea.
A esto se suman DORA, plenamente aplicable al sector financiero; el Esquema Nacional de Seguridad (ENS), que exige a las administraciones públicas y sus proveedores realizar auditorías y pruebas periódicas; y el Reglamento de Ciberresiliencia (CRA), cuyas primeras obligaciones de reporte de vulnerabilidades acaban de entrar en vigor este mes.
Para Jorge Monteiro, «España es un mercado natural para nosotros. Compartimos un marco regulatorio europeo y, en muchos casos, los mismos grupos empresariales operan a ambos lados de la frontera. Ya trabajamos con organizaciones españolas y lo que nos piden es siempre lo mismo: dejar de gestionar listas infinitas de alertas teóricas y empezar a mitigar el riesgo real demostrado.
Noticia relacionada
Por su parte, André Baptistaafirma que «cuando encuentras un fallo crítico que afecta a medio millón de aplicaciones o a los geoportales de decenas de países, te das cuenta de que el problema real no es la falta de herramientas, sino el tiempo que transcurre entre la aparición de una vulnerabilidad y el momento en que alguien comprueba si es explotable. En esa brecha es donde actúa el atacante y eso es exactamente lo que ayudamos a cerrar».
Ciberdefensa
La tecnología de Ethiack se utiliza actualmente en entornos donde la continuidad operativa no permite pausas. En el ámbito de la defensa, la empresa participó en el proyecto de Hacking Ético por IA desarrollado por el Estado Mayor de las Fuerzas Armadas de Portugal, a través del Comando de Operaciones de Defensa Ciberespacial.
Este proyecto estaba destinado a automatizar y aumentar la frecuencia de las pruebas de seguridad en las tres ramas de las fuerzas armadas y fue diseñado para operar también en redes aisladas (air-gapped). El trabajo se completó en junio de 2026 y fue validado el pasado 31 de agosto por la Agencia para la Modernización Administrativa (AMA) y la Comisión Europea.
Fuera del ámbito militar, entre los casos de éxito publicados por la propia compañía destacan el de la Universidad de Oporto, con más de 5.000 activos protegidos y dos millones de euros en pérdidas potenciales evitadas durante 2025, y el del grupo farmacéutico Bluepharma, con mil activos críticos bajo supervisión permanente.
En total, Ethiack reportó más de 150.000 vulnerabilidades explotables y evitó daños financieros estimados en más de 150 millones de euros a lo largo del año 2025.
Ronda de financiación
En diciembre de 2024, Ethiack cerró una ronda de financiación semilla de 4 millones de euros liderada por la firma de capital privado Explorer Investments, con la participación de CoreAngels, Startup Wise Guys, Aralab, Amena Ventures, Start Ventures y el inversor Paulo Marques, con el objetivo de acelerar su expansión internacional.
RSS de noticias de economia
