Ethiack, a empresa portuguesa de ciberseguridad fundada en 2022 y responsable de algunos de los descubrimientos de vulnerabilidades más relevantes en el ámbito internacional en los últimos meses, inicia formalmente su actividad comercial en España. La compañía aterriza en el mercado español con una destacada cartera internacional de clientes en países como Inglaterra, Alemania y la propia España.
En este último mercado, su ambición es convertirse en el socio de referencia para aquellas organizaciones que necesitan determinar, de manera continua y demostrable, qué parte de su superficie de exposición digital es realmente explotable por un atacante.
Los servicios de Ethiack se diferencian de los pentests anuales tradicionales -que solo ofrecen una fotografía estática que caduca en cuestión de semanas- y de los escáneres de vulnerabilidades convencionales, los cuales se limitan a entregar listas interminables de alertas ordenadas por una criticidad teórica, sin reflejar lo que un atacante puede explotar en la práctica.
El equipo de investigación de Ethiack, liderado por André Baptista, identificó recientemente una vulnerabilidad crítica de ejecución remota de código en Ruby on Rails, el framework web de código abierto que soporta más de medio millón de aplicaciones y algunas de las plataformas digitales más grandes del mundo. El fallo, denominado KindaRails2Shell y registrado como CVE-2026-66066 con una puntuación de 9.5, se localizaba en el procesador de imágenes predeterminado del framework: bastaba con que un usuario subiera una imagen (una foto de perfil, un avatar o una miniatura) para abrir la puerta a la lectura de archivos, la ejecución de código malicioso y, en última instancia, al control total del servidor.
Para Jorge Monteiro, cofundador y CEO de Ethiack: «España es un mercado natural para nosotros. Compartimos un marco regulatorio europeo y, en muchos casos, los mismos grupos empresariales operan a ambos lados de la frontera. Ya trabajamos con organizaciones españolas y lo que nos piden es siempre lo mismo: dejar de gestionar listas infinitas de alertas teóricas y empezar a mitigar el riesgo real demostrado».
Por su parte, André Baptista, cofundador y CTO de la compañía, afirma: «Cuando encuentras un fallo crítico que afecta a medio millón de aplicaciones o a los geoportales de decenas de países, te das cuenta de que el problema real no es la falta de herramientas, sino el tiempo que transcurre entre la aparición de una vulnerabilidad y el momento en que alguien comprueba si es explotable. En esa brecha es donde actúa el atacante y eso es exactamente lo que ayudamos a cerrar».
