José Selvi

Jose Selvi ha trabajado en en el campo de la seguridad informática durante los últimos 13 años. Durante este tiempo, ha proporcionado servicios y soluciones de seguridad en varias industrias (gobierno, telecomunicaciones, comercios, industria, sanitaria, financiera, tecnológicas...) incluyendo principalmente tests de intrusión e investigación en nuevas tecnologías. También es Community Instructor del SANS Institute para los cursos de penetration testing, y ponente habitual en conferencias de seguridad

En ocasiones, los usuarios y empresas tenemos excesiva confianza en que nuestros proveedores de software y servicios cumplen con todos los requisitos lógicos de seguridad. Por desgracia, en ocasiones no es así, y es habitual encontrarte con herramientas comerciales vulnerables que pueden poner en riesgo nuestra seguridad.

En esta charla, comentaremos algunos conceptos básicos sobre el uso de criptografía, y mostraremos un ejemplo de como se encontró una vulnerabilidad por mal uso de cripografía en un software que pretendía ser un reemplazo para una conocida herramienta de gestión remota de equipos de usuario.


Pablo Gonzalez

Trabaja en 11Paths – Telefónica Digital Identity & Privacy como Security Researcher & Technical Manager. Es docente en el Máster de Seguridad de Tecnologías de la Información y de las Comunicaciones en la Universidad Europea de Madrid. Trabajó en Informática64 durante 4 años en Formación, Consultoría y Auditoría. Fundador de hackersClub (hackersclub.academy). Docente en diferentes Universidades en másteres con temática de seguridad de la información.

Tiene diversas publicaciones en el ámbito de la Seguridad de la Información:

  • Autor del libro Metasploit para Pentesters. Editorial 0xWord. 1ª ed. 2012, 2ª ed. 2013 y 3ª ed. 2014.
  • Autor del libro Ethical Hacking: Teoría y práctica para la realización de un pentesting. Editorial 0xWord.
  • Autor del libro Pentesting con Kali. Editorial 0xWord.
  • Autor de Got Root.
  • Autor de Pentesting con Powershell.

Pablo ha impartido formación en Rooted CON 2013, 2014 y 2015 con Metasploit Labs y Hacking de dispositivos iOS. También ha sido docente en los Labs de No cON Name 2013 y 2014 con Metasploit para Pentesters. Ha sido ponente en Rooted CON 2013, 2014 y 2016, No cON Name 2011, Navaja Negra 2014 y 2016 y otros congresos como Hackron, Sh3llCon, Qurtuba Security Congress, Cybercamp o Rooted Valencia, la 8dot8 celebrada en Chile en 2014 y 2015 o el IEEE SBS Gold en 2012.

Francisco Ramirez

Ingeniero informático con más de 15 años de experiencia como Administrador de Sistemas en una multinacional española, realizando múltiples proyectos internacionales sobre todo en EEUU y Canadá. Desde el año 2017, trabajo como Security Researcher en Telefónica y ElevenPaths. Creador y escritor del blog www.cyberhades.com (nick: cybercaronte) sobre Seguridad Informática y también un aficionado a la historia de la informática.

Co-autor del libro "MicroHistorias: anécdotas y curiosidades de la Informática" de 0xWord y colaborador habitual de la revista One-Hacker.

Las amenazas en Internet están más latentes que nunca. Hoy en día la materialización de una amenaza en la vida de los usuarios y las empresas pueden provocar una gran destrucción, pero, ¿Es sencillo? La publicación de vulnerabilidades y de técnicas de pentesting provocan que cualquier usuario puedan aprovecharlas para integrarlas en un nuevo malware.

En la charla se detallará cómo de fácil es modular, por un bad boy, un malware a través de vulnerabilidades y técnicas publicadas en el último año. La técnica Fileless & Fileless2 para hacer bypass UAC o crear persistencia en Windows sin crear un archivo en disco ya ha sido utilizada en campañas de malware. La vulnerabilidad Eternalblue ha sido aprovechada para propagar malware a través del protocolo SMB. La lacra del ransomware sigue siendo utilizada para obtener un beneficio directo y, hoy en día, cualquier usuario puede modularizar las partes y hacer un malware más potente, ¿Estamos preparados para luchar contra esto? Detallaremos de forma técnica y práctica los conceptos comentados anteriormente.

Por último, hablaremos de la transición de la sociedad. La nueva sociedad que viene debe estar preparada para entender y luchar contra las nuevas amenazas cibernéticas. Los casos de la Botnet Mirai o del Ransomware Petya son claros ejemplos de que la sociedad debe entender y asimilar un nuevo rol. ¿Estás en la nueva sociedad?


Elias Grande

Ingeniero Técnico e Ingeniero Superior en Informática por la Universidad Rey Juan Carlos de Madrid y Máster en Seguridad de Tecnologías de la Información y de las Comunicaciones por la Universidad Europea de Madrid. Apasionado de la seguridad, las tecnologías middleware y de la computación de altas prestaciones.

Actualmente trabaja en el Departamento de Arquitectura de Seguridad de BBVA España con más de cinco años de experiencia dentro del ámbito de la consultoría en Arquitecturas SOA/BPM y Seguridad TIC.

También ha formado parte en proyectos con un amplio espectro de tecnologías, desde el mundo del Big Data y el Cloud Computing, hasta proyectos de optimización de algoritmos de descifrado sobre entornos de altas prestaciones CUDA.

Vivimos en una época en donde los ""as a Service"" han pasado de ser Infraestructura, Plataforma y Servicio, a una cantidad tan ingente de ellos que ya es imposible acotarlos a un conjunto conocido por todos. Sin embargo, y aunque el marketing inunde de términos el mundo de IT, todos ellos se basan en la automatización y en el uso de contenedores para desplegar todas las aplicaciones y servicios.

En esta charla se mostrará Dagda, una herramienta completamente Open Source que permite el análisis estático de vulnerabilidades conocidas en contenedores Docker y la monitorización de comportamientos anómalos dentro de contenedores en ejecución. Además, en la charla se incluirán, entre otros temas, cómo realizar un perfilado a nivel de capabilities de Linux sobre los contenedores sin necesidad de SELinux o AppArmor, y una introducción a los unikernels.


Paula de la Hoz

Tengo 21 años, soy estudiante de tercero de Ingeniería informática y fundadora de "Interferencias", grupo sin ánimo de lucro para la defensa de la privacidad y los derechos digitales. He trabajado como profesora de robótica en Suiza, monitora para un campus de programación en Granada, y analista de sistemas. Me entusiasma la seguridad informática y el "hacktivismo".

Internet es, idealmente, un lugar donde la información es descentralizada y las comunicaciones no tienen barreras. Sin embargo, diferentes países atentan contra la libertad digital del usuario a través de la vigilancia masiva y la censura de internet. Afortunadamente existen herramientas, organizaciones y activistas dispuestos a luchar por la libertad de los usuarios en todo el mundo. En la charla pretendo introducir este contexto y dar algunas de esas herramientas para combatir la censura.


Alfonso Muñoz

PhD in Telecommunications Engineering by Technical University of Madrid (UPM) and postdoc researcher in network security by Universidad Carlos III de Madrid (UC3M).

He has been a senior security researcher for more than 10 years and has published more than 60 academic publications (IEEE, ACM, JCR, hacking conferences…), books and computer security tools. He has also worked in advanced projects with European Organisms, public bodies and multinational companies (global 500). For over a decade, he has been involved in security architecture design, penetration tests, forensic analysis, mobile and wireless environments, and information security research (leading technical and scientific teams).

Alfonso frequently takes part as a speaker in hacking conferences (STIC CCN-CERT, DeepSec, HackInTheBox, Virus Bulletin, RootedCon, 8.8, No cON Name, GSICKMinds, Cybercamp, Secadmin, JNIC, Ciberseg,X1RedMasSegura...) and commercial and academic security conferences (+60 talks). He is certified by CISA (Certified Information Systems Auditor), CEHv8 (Certified Ethical Hacker), CHFIv8 (Computer Hacking Forensic Investigator) and CES (Certified Encryption Specialist). Several academic and professional awards. Professor in several Universities.

He is co-editor of the Spanish Thematic Network of Information Security and Cryptography (CRIPTORED), where he develops and coordinates several projects about cybersecurity and advanced training, with great impact in Spain and Latam.

Specialities (strong knowledge): Pentesting & network security, Digital Surveillance & Forensic technology, Cryptography, Steganography, NLP and Machine Learning

Miguel Hernandez

Ingeniero en Telecomunicaciones por la universidad de Zaragoza (UNIZAR) y Máster en Ciberseguridad por la universidad Carlos III de Madrid (UC3M). Analista de seguridad Informática. Amante de CTFs, programación e IA.

Ha invertido los últimos años de su carrera profesional en multinacionales españolas, como Telefónica o BBVA (i4s), en investigación e innovación de nuevos procedimientos de detección de fraude, thread intelligence y seguridad defensiva.

Actualmente trabaja en el sector bancario aplicando tecnologías de Natural Language Processing, Deep Learning y graph databases. Ha sido premiado con diferentes reconocimientos por su trabajo en estas disciplinas: Accesit y Finalista – III / IV Concurso de Jóvenes Profesionales ISACA, ganador del Sinfonier Contest 2015 (Telefónica). Conferencias: RootedCon, Mariapitadefcon, JNIC, Secrypt...

En los últimos años diversas redes sociales libres y de código abierto están enfrentando una gran batalla como una alternativa descentralizada a plataformas comerciales como Twitter, evitando el riesgo que una única compañía monopolice tu comunicación. En esta charla analizaremos una red social de gran interés como es Mastodon, estudiaremos sus características, sus problemas de seguridad, la posibilidad de realizar comunicaciones encubiertas y ataques masivos, así como automatizar el espionaje de la red completa. Y esto es solo el principio…


José Torres

Ingeniero de Software y Máster en Ingeniería del Software e Inteligencia Artificial. Actualmente trabaja como analista en el área de Innovación y Laboratorio de ElevenPaths, la unidad de ciberseguridad de Telefónica. Anteriormente ha trabajado como investigador en la Universidad de Málaga.

Además de la ciberseguridad, el Machine Learning y la IA son sus principales intereses, trabajando habitualmente en proyectos que unifican estas dos disciplinas, algunos de ellos representados en diferentes publicaciones y conferencias. (JNIC, ICISSP, HW…)

Sergio de los Santos

Actualmente es coordinador del área de innovación y laboratorio de ElevenPaths en Telefónica Digital. De 2005 a 2013 ha sido consultor técnico en Hispasec, responsable de antifraude, alertas de vulnerabilidades y de la publicación sobre seguridad más veterana en español. Desde 2000 ha trabajado como auditor y coordinador técnico, escrito un libro sobre la historia de la seguridad y tres más técnicos sobre hacking y seguridad Windows. Es informático de sistemas por la Universidad de Málaga donde también ha cursado un máster en ingeniería del software e inteligencia artificial. Ha sido galardonado durante 2013 a 2105 con el premio Microsoft MVP Consumer Security e imparte clases del máster de seguridad TIC en la Universidad de Sevilla.

Google ya anunció que Certificate Transparency será obligatorio en Chrome (a partir de octubre) para todos los nuevos certificados que se emitan. Esto ha forzado a todos los actores involucrados en este ecosistema (CAs, administradores de dominios, o incluso otros navegadores …) a prepararse de forma precipitada para este deadline.

En esta charla detallaremos, por un lado, quién y cómo está usando Certificate Transparency realmente. A día de hoy no tenemos constancia de que se haya realizado ningún estudio a nivel global de este tipo. Por otro lado, realizaremos una profunda incursión en los puntos ciegos de la especificación de CT, con el objetivo de explotarlos, desde el punto de vista del atacante que pretende crear un “rogue certificate” y realizar un bypass de Certificate Transparency junto con las limitaciones que supone este mecanismo ante la ejecución de ataques tradicionales como por ejemplo MiTM.


Jaume Martín

Ingeniero informático con Master en seguridad de la información, trabaja en S2 Grupo y recién incorporado en el CERT de la Comunidad Valenciana (CSIRT-CV). Más de cuatro años trabajando a la seguridad informática (BLUE TEAM) y dedicado especialmente al análisis de malware y forense informático.

Los bad guys de Internet saben como explotar el eslabón más débil y como conseguir acceso a las organizaciones mediante archivos adjuntos en los phishings. La charla trata de mostrar algunos phishings de los principales actores, así como mostrar algunos métodos de detección manual y automatizada y como analizarlos para extraer el "podrido" del pescado.