Mi Camino en la Ciberseguridad: De Víctima a Defensor

Cuando tenía 11 años, mi network de Minecraft era constantemente atacada. Bots. Miles de bots. Conexiones falsas que saturaban el servidor, lo hacían caer, y dejaban a los pocos jugadores reales que tenía sin poder jugar.

No sabía quién estaba detrás. No sabía por qué lo hacían. Y lo peor de todo: no sabía cómo detenerlos.

Esa frustración, esa sensación de impotencia de ver tu proyecto ser destruido por alguien invisible, fue lo que cambió mi vida y me llevó al mundo de la ciberseguridad.

El Problema: Ataques Constantes

Mi network estaba recién abierta. Ya había aprendido la lección cara de gastar $350 mensuales en servidores dedicados, así que esta vez empecé más humilde. Pero no importaba cuánto optimizara el servidor o cuántos plugins de protección instalara: los ataques seguían llegando.

DDoS. Aunque en ese momento ni siquiera conocía el término.

Veía en la consola del servidor:

[INFO] Player_Bot_123 has connected
[INFO] Player_Bot_456 has connected
[INFO] Player_Bot_789 has connected
[INFO] Player_Bot_1011 has connected
...
[ERROR] Server crashed due to high memory usage

Cientos, a veces miles de conexiones por segundo. El servidor colapsaba. Los jugadores reales no podían entrar. Y yo no entendía qué estaba pasando.

Probé todo:

• Plugins de antibot (no funcionaban)
• Cambiar IP del servidor (funcionaba 2 días, luego volvían los ataques)
• Aumentar recursos del servidor (solo retrasaba el colapso)
• Whitelist (pero entonces nadie nuevo podía jugar)

Nada funcionaba. Estaba desesperado.

El Punto de Inflexión: Ismael y NullCordX

Un día, en el Discord de Ajneb97 (una comunidad de desarrolladores de servidores de Minecraft donde yo aprendía y compartía), comenté mi problema. Estaba frustrado, casi a punto de rendirme con la network.

Entonces apareció un mensaje de alguien llamado Ismael.

“Veo que estás teniendo problemas con bots. Yo desarrollé un proxy antibot llamado NullCordX. Si quieres, te puedo ayudar.”

En ese momento no lo sabía, pero Ismael era el main developer de NullCordX, uno de los proxys antibot más potentes para networks de Minecraft. Su herramienta era usada por networks grandes que movían miles de jugadores reales.

Y él se ofreció a ayudarme. A mí, un niño de 11 años con una network de 10 jugadores.

La ayuda que cambió todo

Ismael no me cobró nada. Ni un dólar. Se tomó el tiempo de:

1. Explicarme qué era un proxy reverso
2. Cómo funcionaban los ataques DDoS
3. Qué hacían los bots exactamente
4. Cómo NullCordX los filtraba

Y no solo eso: me regaló su proxy. Me dio acceso a NullCordX sin costo alguno.

Lo instalé siguiendo sus instrucciones. Y por primera vez en meses, mi servidor estuvo estable. Los bots seguían llegando, pero el proxy los filtraba antes de que llegaran al servidor real. Era como magia.

Pero más importante que la solución técnica fue lo que Ismael despertó en mí: curiosidad.

La Pregunta que Cambió Mi Vida

Después de que el servidor estuviera estable, me quedé pensando:

“¿Cómo funciona esto? ¿Cómo sabe el proxy qué conexión es real y cuál es un bot? ¿Cómo se hace un ataque DDoS? ¿Quién estaba atacándome y por qué?”

Esas preguntas me consumían. No podía dejarlas ir. Así que empecé a investigar.

Mis primeras investigaciones

Comencé con lo básico:

• ¿Qué es un protocolo de red?
• ¿Cómo funciona TCP/IP?
• ¿Qué es un handshake?
• ¿Cómo se establece una conexión entre cliente y servidor?

Leía foros, veía videos, preguntaba en Discord. Pero la mejor forma de aprender fue experimentar.

Ya tenía Kali Linux instalado en dual boot (lo había instalado cuando aprendí sobre servidores). En ese momento solo lo usaba porque “se veía cool” y tenía herramientas de hacking. Pero ahora tenía un propósito real.

Aprendiendo con Kali Linux

Kali Linux venía con cientos de herramientas de seguridad pre-instaladas. Comencé a explorarlas una por una:

Wireshark

Mi primera herramienta seria. Capturaba todo el tráfico de red y lo mostraba en detalle. Podía ver exactamente qué estaba pasando cuando alguien se conectaba a mi servidor:

• Los paquetes SYN (solicitud de conexión)
• Los paquetes ACK (confirmación)
• Los datos que se transmitían

Fue fascinante ver la red “por dentro”. Era como ver la Matrix por primera vez.

Nmap

Aprendí a escanear puertos, detectar servicios, identificar sistemas operativos. Escaneaba mi propio servidor para ver qué puertos tenía abiertos y qué información estaba exponiendo.

Descubrí que tenía varios puertos innecesarios abiertos. Los cerré. Primera lección de seguridad aprendida: superficie de ataque mínima.

Metasploit

Esta fue más avanzada. No la entendía completamente al principio, pero poco a poco fui aprendiendo sobre exploits, payloads, y vulnerabilidades conocidas.

Aircrack-ng

Aunque no lo usé para nada malicioso, aprender sobre seguridad WiFi me enseñó conceptos importantes sobre encriptación, handshakes, y protocolos de autenticación.

Creando Mis Propias Herramientas

Después de usar herramientas existentes por un tiempo, quise entender cómo funcionaban “por dentro”. La mejor forma de aprender es construir. Así que comencé a crear mis propias herramientas.

1. Port Scanner Simple

Mi primera herramienta fue un escáner de puertos básico en Python. No era tan sofisticado como Nmap, pero lo hice yo:

Qué hacía:

• Escaneaba puertos del 1 al 1000
• Identificaba cuáles estaban abiertos
• Mostraba el servicio común asociado al puerto
• Guardaba resultados en un archivo

Qué aprendí:

• Cómo funcionan los sockets
• La diferencia entre puertos TCP y UDP
• Por qué algunos escaneos son “ruidosos” y otros “sigilosos”
• Conceptos de timeout y threading

2. IP Logger para Discord Bots

Creé un bot de Discord que registraba quién clickeaba ciertos enlaces. Era para entender:

• Cómo funcionan los redirects
• Cómo se obtiene información del cliente (IP, User-Agent, etc.)
• Cómo se puede rastrear actividad

Qué hacía:

• Generaba enlaces únicos
• Cuando alguien clickeaba, capturaba: IP, navegador, sistema operativo
• Enviaba la información a un canal de Discord
• Mantenía un log de todas las visitas

Lección importante: Esto me enseñó sobre privacidad y por qué es importante. Vi lo fácil que era recolectar información sin que la gente se diera cuenta. Desde entonces, me volví mucho más consciente sobre qué enlaces clickeo y qué información comparto.

3. Login Bruteforcer Educativo

Para entender cómo funcionan los ataques de fuerza bruta, creé un script simple que intentaba adivinar contraseñas.

Qué hacía:

• Leía una lista de contraseñas comunes (wordlist)
• Intentaba cada una contra un endpoint de login
• Contaba intentos por segundo
• Mostraba cuánto tardaría en probar todas las combinaciones

Qué aprendí:

• Por qué las contraseñas débiles son peligrosas
• La importancia del rate limiting
• Por qué la autenticación de dos factores (2FA) es crucial
• Conceptos de hashing y salting de contraseñas

4. Network Traffic Analyzer

Una herramienta que monitoreaba el tráfico de mi servidor de Minecraft en tiempo real.

Qué hacía:

• Capturaba paquetes entrantes
• Identificaba patrones sospechosos (muchas conexiones desde una IP)
• Alertaba cuando detectaba posible ataque
• Generaba estadísticas de tráfico

Qué aprendí:

• Análisis de patrones de tráfico
• Detección de anomalías
• Conceptos básicos de IDS (Intrusion Detection System)
• Por qué el monitoreo proactivo es esencial

5. Hash Cracker Simple

Para entender cómo se rompen contraseñas hasheadas:

Qué hacía:

• Tomaba un hash MD5 o SHA1
• Probaba palabras de un diccionario
• Comparaba los hashes
• Mostraba la contraseña si la encontraba

Qué aprendí:

• Diferencia entre hashing y encriptación
• Por qué MD5 y SHA1 ya no son seguros
• La importancia del salting
• Por qué las rainbow tables funcionan

De la Defensa a la Investigación

Con el tiempo, mi enfoque cambió. Ya no solo quería defender mis propios sistemas. Quería entender el panorama completo de la ciberseguridad:

Encontrando vulnerabilidades

Comencé a buscar vulnerabilidades en sistemas (siempre con permiso o en entornos de prueba):

• Servidores mal configurados
• APIs sin autenticación
• Inyecciones SQL en formularios
• Cross-Site Scripting (XSS) en aplicaciones web
• Exposición de información sensible

Cada vulnerabilidad que encontraba era una lección sobre qué no hacer cuando construyera mis propios sistemas.

Bug Bounty Programs

Descubrí que empresas pagaban por encontrar vulnerabilidades. Plataformas como HackerOne y Bugcrowd. Aunque no me dediqué a tiempo completo, fue fascinante ver cómo la industria valoraba a las personas que encontraban problemas de seguridad.

Responsible Disclosure

Aprendí sobre divulgación responsable: si encuentras una vulnerabilidad, no la publicas inmediatamente. Contactas al propietario, les das tiempo para arreglarlo, y luego (si ellos están de acuerdo) puedes compartir el hallazgo educativamente.

Esto me enseñó que la ciberseguridad no es solo técnica. También es ética.

Mi Filosofía de Ciberseguridad

Hoy, varios años después, la ciberseguridad es una de mis pasiones más grandes (junto con la arquitectura de software). Pero mi enfoque es específico:

1. Protección de Sistemas

No solo construyo software funcional. Construyo software seguro:

• Autenticación robusta
• Autorización granular
• Encriptación de datos sensibles
• Validación de inputs
• Rate limiting
• Logging de seguridad
• Principio de menor privilegio

2. Protección de Información de Personas

Me tomo muy en serio la privacidad. Después de ver lo fácil que es recolectar información, entiendo la responsabilidad que tenemos como developers:

• Minimizar datos recolectados
• Encriptar todo lo sensible
• No vender/compartir datos de usuarios
• Cumplir con GDPR, CCPA, y regulaciones de privacidad
• Dar a los usuarios control sobre su información

3. Lucha Contra Cibercriminales

Esto suena dramático, pero es real. Cada sistema seguro que construyo es un sistema que los atacantes no pueden comprometer. Cada vulnerabilidad que encuentro y reporto es una puerta que cierro antes de que los malos la usen.

4. Educación

Comparto lo que sé. Escribo sobre seguridad. Explico conceptos. Porque creo que más developers conscientes de seguridad = un internet más seguro para todos.

Lecciones que Aprendí

Lección 1: La seguridad no es opcional

No puedes agregar seguridad “después”. Tiene que ser parte del diseño desde el día 1. Cada decisión arquitectural tiene implicaciones de seguridad.

Lección 2: Asume que serás atacado

No es “si” te atacan, es “cuándo”. Especialmente si tu proyecto crece. Prepárate desde el principio.

Lección 3: El eslabón más débil

Tu sistema es tan seguro como su parte más débil. Puedes tener la mejor encriptación del mundo, pero si tus usuarios usan “password123”, no importa.

Lección 4: La seguridad es un proceso, no un producto

No “terminas” la seguridad. Es constante:

• Nuevas vulnerabilidades se descubren
• Nuevos ataques se desarrollan
• Las mejores prácticas evolucionan

Tienes que mantenerte actualizado.

Lección 5: El conocimiento es poder, pero también responsabilidad

Saber cómo romper sistemas te da poder. Pero con ese poder viene la responsabilidad de usarlo éticamente. Siempre.

El Círculo Completo

Es irónico: los ataques a mi network de Minecraft, que casi me hicieron cerrar el proyecto, terminaron dándome una de las pasiones más grandes de mi vida.

Si esos ataques no hubieran ocurrido, si Ismael no me hubiera ayudado, si no me hubiera quedado esa curiosidad de “¿cómo funciona esto?”, probablemente no estaría donde estoy hoy.

Hoy, cuando construyo sistemas como Invitex o cualquier otro proyecto, la seguridad está en el centro:

• Autenticación robusta con JWT
• Encriptación de datos sensibles
• Rate limiting en todos los endpoints
• Logging de eventos de seguridad
• Auditorías regulares de código
• Pruebas de penetración

Y cuando veo a otros developers, especialmente jóvenes, teniendo problemas de seguridad en sus proyectos, trato de hacer lo que Ismael hizo por mí: ayudar sin esperar nada a cambio.

Mi Mensaje Final

Si eres developer y no has pensado en seguridad, empieza hoy. No necesitas ser un experto. Empieza con lo básico:

Para comenzar:

1. Aprende sobre OWASP Top 10 (las vulnerabilidades más comunes)
2. Nunca guardes contraseñas en texto plano
3. Valida y sanitiza todos los inputs
4. Usa HTTPS siempre
5. Implementa autenticación apropiada
6. Aprende sobre SQL injection y cómo prevenirla
7. Entiende XSS y CSRF

Para profundizar:

1. Instala Kali Linux en una VM
2. Practica en entornos legales (HackTheBox, TryHackMe)
3. Lee reportes de bug bounty
4. Sigue a expertos en seguridad
5. Construye herramientas simples para entender conceptos

Y lo más importante: usa tu conocimiento para bien. El mundo necesita más defenders, no más attackers.

La ciberseguridad no es solo sobre código. Es sobre proteger a personas reales de daños reales. Es una responsabilidad que todos los developers compartimos.

Gracias, Ismael, dondequiera que estés. Tu acto de bondad con un niño de 11 años cambió mi vida completamente. Espero poder hacer lo mismo por otros.