Usted baja hasta el final de la web de TradingView y, justo debajo de la línea «© 2026 TradingView, Inc.», le saltan a la vista dos enormes botones con marcos severos: SOC 2 Compliant con su sello redondo y GDPR Compliant rodeado de las estrellitas de la Unión Europea. Se ve monumental: enseguida siente respeto por los implacables responsables de seguridad de la plataforma. Hace clic en esas insignias por pura curiosidad, para ver cómo exactamente se forjó esa armadura inexpugnable, y aterriza en la página trust.tradingview.com.
Y es aquí, en cuanto uno empieza a escarbar, donde se abre un absurdo tal que uno no sabe si reír o llorar.
En el escaparate lucen las insignias de SOC 2, PCI DSS 4.0.1, GDPR y DORA, y al lado un indicador verde hace tictac con entusiasmo: «Updated 4 minutes ago»; o sea, hace cuatro minutos revisamos todas las cerraduras, la frontera está cerrada a cal y canto. Debajo se alinean veinte sólidos puntos de protección de la infraestructura: acceso a los servidores estrictamente con claves criptográficas, redes segmentadas, cifrado activo, un sistema de detección de intrusiones que nunca duerme.
Empieza a mirar los detalles con lupa… y la columna con los estados reales de las comprobaciones está sencillamente vacía. Los propios informes están escondidos tras un botón de «Solicitar acceso», por el que nadie va a dejar pasar a cualquiera que venga de la calle. Pero lo más gracioso ni siquiera es eso: ninguno de los veinte temibles puntos de la página lo escribieron ingenieros de TradingView. Toda esa «fortaleza» la generó de cabo a rabo, a partir de una plantilla prefabricada, una empresita estadounidense externa llamada Vanta.
Para demostrar que no hay ladrones en casa, deje entrar a extraños en cada dormitorio
¿Cómo funciona este negocio? En el mundo corporativo se exige a los servicios un papelito de un auditor: el famoso certificado SOC 2. Antes, para conseguirlo había que aguantar durante meses en la oficina a inspectores de carne y hueso que hurgaban con desgana en la configuración de los servidores. Pero entonces apareció Vanta y le ofreció a la industria un truco genial: «No tiene que recopilar nada a mano. Conecte nuestro software a su empresa, nosotros marcamos las casillas para el auditor en segundo plano y, de paso, le dibujamos en su web un escaparate bonito con insignias».
Y ahora, fíjese bien en las manos del prestidigitador. Para colgar en el pie de página un orgulloso botón de «No dejamos que nadie se acerque a sus datos», la empresa deja voluntariamente que una firma ajena se meta bajo su propio capó. Da a los servidores de Vanta acceso a su infraestructura en la nube (AWS, Google Cloud), a su código fuente en GitHub, al correo corporativo y a la base de datos de personal con las listas de todos los empleados. Y no solo eso: en el portátil de trabajo de cada programador y de cada administrador se instala a la fuerza un programa espía de Vanta que comprueba día y noche si el equipo tiene contraseña activada, si funciona el antivirus y si se ha descargado la actualización.
Formalmente, el acceso es «de solo lectura»: un script ajeno no le va a borrar la base por su cuenta. A cambio, en los servidores de la empresa externa se va armando con mimo un mapa radiográfico completo de la compañía: los planos de toda la red, los nombres y correos de todos los ingenieros, los modelos de sus portátiles y una lista en vivo de todas las vulnerabilidades sin parchear.
Rellenaformularios al timón de la seguridad mundial
Uno pensaría: ¿quiénes son esos implacables genios de la criptografía y veteranos de las ciberfuerzas a los que miles de empresas de todo el mundo confían las llaves de su trastienda?
Abrimos las biografías de la cúpula de Vanta y sacamos las palomitas.
La fundadora y eterna jefa de la empresa es Christina Cacioppo. ¿Dónde forjó su legendaria experiencia en seguridad de la información? ¿En los laboratorios secretos del Pentágono? ¿Desarrollando la protección de los sistemas centrales de la banca? No. La chica se fue a aprender a programar, se pasó un par de años trasteando con proyectitos que nunca despegaron y luego entró como product manager en Dropbox. Y allí ni siquiera se encargaba del almacenamiento de archivos ni del cifrado de discos. La cumbre de su carrera fue Dropbox Paper: una libretita online secundaria para escribir notas en grupo dentro de un servicio de alojamiento de archivos, de cuya existencia nueve de cada diez usuarios de Dropbox ni siquiera sospechaban. Mientras fabricaba esa libretita, la obligaron a rellenar aburridas tablas para los auditores, y decidió que era mucho más rentable venderles a otras empresas formularitos web para recopilar automáticamente esas mismas tablas.
Sigamos mirando: ¿quién es la otra gran dama de este barco? La directora de marketing, Sarah Scharf. Esta señora llegó de Google, donde se pasó siete años haciendo «marketing de producto de privacidad, seguridad y Android». Piense en el cargo en sí: esta persona no escribía código ni cazaba hackers, sino que se pasó siete años redactando cuentos publicitarios sobre lo mucho que Google se preocupa por su privacidad mientras la corporación armaba un expediente de cada habitante del planeta.
El resto del equipo va a juego: el director de producto y tecnología antes gestionaba complementos y escaparates secundarios en GitHub, y el director financiero viene de Calendly, una web que hace formularitos para agendar una llamada en el calendario.
Este dream team —la creadora de una libretita en la nube, una relaciones públicas de Google de la «privacidad» y un contable salido de un calendario online— reparte hoy estándares de seguridad a la fintech mundial.
Un vigilante en pantuflas y la paradoja de los comerciales de oficina
Pero la verdadera comedia empieza cuando uno mira cómo funciona la trastienda de los propios «inspectores». La empresa que guarda las radiografías de las vulnerabilidades de miles de negocios ajenos trabaja oficialmente en modo «remote-first». Ya en la primavera de 2022 escribían alegremente en su web: «Trabajamos con éxito desde cualquier lugar».
Si entra ahora mismo en su portal de empleo, de 83 puestos, 52 son teletrabajo puro en EE. UU., Canadá, Reino Unido e Irlanda. Y los que trabajan desde el sofá no son precisamente diseñadores de iconos:
- Sr. Manager, Security Operations (en remoto). Esta persona configura la propia protección de Vanta y dirige la respuesta a los ataques de hackers. En la oferta le prometen con todo cariño «una ayuda para montar el puesto de trabajo en casa, internet doméstico y móvil». El jefe de la defensa contra ciberataques dirige la defensa a través del router de casa, invita la casa.
- Ingeniero de la nube gubernamental GovCloud (en remoto, con guardias por incidencias). El único requisito de seguridad para trabajar con el sector público es iniciar sesión «físicamente desde territorio de EE. UU.». Desde qué bar de carretera o piso de alquiler exactamente, eso no le importa a nadie.
- Senior Engineer, Enterprise Resilience y Senior Security Engineer (en remoto). Las personas responsables de que la producción sobreviva, que en el texto de la oferta juran ser «custodios de confianza de datos sensibles», también están en casa.
- Staff Engineer, Program Structure & Trust (en remoto). Y este puesto apúnteselo aparte: este especialista en remoto es el responsable de que los datos secretos de distintos clientes no se mezclen entre sí.
¿Sabe cuál es aquí el mayor absurdo? A los simples comerciales de Londres y Dublín, los jefes de Vanta los obligan a ir a la oficina tres días por semana. Es decir, gente que solo llama a clientes por teléfono y enseña presentaciones tiene que estar vigilada en un edificio de oficinas. En cambio, los ingenieros que tienen las llaves de producción y los mapas de infraestructura de miles de empresas están en pantuflas en la cocina de su casa, rodeados de familiares, vecinos, repartidores y fontaneros. Y esto en una época en la que las empresas tecnológicas estadounidenses cazan a montones a falsos teletrabajadores: cuando la entrevista por videollamada la hace un actor contratado que se hace pasar por el candidato y el portátil de trabajo viaja por correo directo a una granja de hackers norcoreanos.
Cuatro días con la bragueta abierta de par en par
Adónde lleva la seguridad de las creadoras de libretitas y los teletrabajadores con el Wi-Fi de casa, no hubo que adivinarlo mucho tiempo.
¿Recuerda la oferta del ingeniero en remoto que debe vigilar que las bases de distintas empresas no se mezclen? En mayo de 2025, los rellenaformularios de Vanta lanzaron una actualización chapucera y los datos secretos de unos clientes se escribieron, sin más, en los paneles de otros (informe del incidente INC-868).
Los secretos de cientos de empresas se desparramaron sin más por pantallas ajenas. A extraños les llegaron listas de empleados de otras compañías, sus cargos y —la guinda del pastel— la configuración de su autenticación de dos factores (MFA). Es decir, una chuleta lista para un hackeo: quién hace qué y quién no tiene activada la protección de su cuenta.
Pero toda la magnitud de este circo la revelan dos detalles:
- El agujero estuvo abierto cuatro días. La cacareada monitorización automática de Vanta, que cada cuatro minutos pinta marcas verdes en las webs de los clientes, se pasó cuatro días sin ver, delante de sus narices, que estaba repartiendo las bases de unos a vecinos al azar. El error solo se descubrió cuando uno de los clientes, atónito, vio en su propio panel la trastienda de otro y escribió al soporte.
- Una chutzpah de manual. Cuando el bochorno salió a la luz, los marketeros de Vanta publicaron un informe y, con toda la cara, calificaron la fuga de los datos de cientos de empresas a manos ajenas de incidente «no relacionado con la seguridad» (non-security related). Bueno, se mezclaron unas bases, ¿y qué? ¡Lo importante es que las marcas de los informes están en verde!
Un escudo de papel
Eso es todo lo que valen los temibles botones SOC 2 Compliant y GDPR Compliant en el pie de página de una web.
Una persona normal mira esas insignias y cree que su servicio está protegido como el maletín nuclear. En realidad, por un papelito burocrático, las empresas abren ellas mismas un boquete en su propio muro, vuelcan todo el esquema de su defensa en un comedero común para antiguas gestoras de notas y publicidad, y ponen a vigilar ese comedero a gente conectada al router de casa, cuyo software ni siquiera es capaz de darse cuenta de que lleva cuatro días seguidos repartiendo secretos ajenos a diestro y siniestro.
Las lecciones de seguridad sin seguridad están perfectamente aprendidas: la insignia de la web reluce, y lo que hay detrás de la puerta, mejor que nadie lo sepa.
A modo de epílogo: quién es en la vida real un «ingeniero de seguridad en remoto»
Cuando las corporaciones ponen en sus presentaciones la expresión Remote Security Engineer, el cliente se imagina a un profesional concentrado en un despacho bañado de sol, custodiando secretos ajenos a través de un canal satelital seguro.
En realidad, un teletrabajador es una caja negra cuyo contenido el empleador no controla absolutamente de ninguna manera. Las empresas no tienen ni idea de lo que pasa al otro lado de la webcam en cuanto termina la llamada matinal de quince minutos. Y lo que pasa allí es la vida real en todo su esplendor.
1. La mente entre brumas, los ISRS y el microdosing de hongos En la oficina, al menos ve usted a la persona en carne y hueso: si le tiemblan las manos, si tiene la mirada normal, si se ha duchado esta semana y si no habla con las paredes. En remoto, todo el contacto con alguien que tiene en sus manos accesos root a los servidores de miles de empresas se reduce a un cuadradito en Zoom con el fondo difuminado.
Quince minutos al día, en el stand-up, este tipo se arranca a duras penas una sonrisa de compromiso y da el parte con energía: «Sin bloqueos, subo la actualización a producción». Después apaga la cámara, y nadie en la sede tiene ni idea de en qué estado está. Quizá lleva tres meses con dosis de caballo de antidepresivos fuertes (ISRS) que le han atrofiado por completo el sentido del peligro y le da exactamente igual qué bases filtra ahora y adónde. Quizá, al estilo de Silicon Valley, se ha metido por la mañana una microdosis de hongos de psilocibina o va de Adderall mezclado con terapia de ketamina, intentando salir de la depresión tras el divorcio. Para la empresa es un puntito verde en Slack. Pero en realidad, ante los mandos de un reactor nuclear está sentada una persona en un profundo desenfoque cognitivo.
2. Atraco en la cafetería y un MacBook abierto Los polos tecnológicos estadounidenses como San Francisco, Seattle o Austin hace tiempo que se convirtieron en parques temáticos del crimen. En San Francisco existe incluso todo un oficio callejero, el laptop snatching: los ladrones irrumpen en cafeterías de moda, les arrancan de las manos a los informáticos los MacBook abiertos y desbloqueados, con las sesiones de VPN ya levantadas y las terminales abiertas, y se los llevan al coche que espera en la puerta.
O más sencillo todavía: por la tarde, después del trabajo, este «custodio de datos sensibles» sale a por un burrito con el teléfono del trabajo y el portátil en la mochila. A un par de manzanas de casa se le acercan dos chavales con una pistola, le dan un golpe en la cabeza y le explican con claridad meridiana que ahora mismo no solo les va a dar todos sus aparatos, sino que también va a poner el dedo en el Touch ID y les va a dictar el PIN. Ningún cortafuegos en la nube ni ninguna insignia SOC 2 Compliant ha salvado nunca a nadie de una barra de hierro en un callejón oscuro.
3. Esposas, amantes y accesos robados directamente de la almohada Aunque el ingeniero no salga nunca de casa, su casa es un ir y venir constante de gente. A sus espaldas desfilan esposas, novias pasadas y actuales, compañeros de piso, personal de limpieza, repartidores e invitados de las fiestas del viernes.
En EE. UU. esto ya no es teoría, sino material de causas judiciales. En 2024, la Comisión de Bolsa y Valores (SEC) destapó un precioso montaje familiar: el marido de una empleada en remoto del gigante petrolero BP simplemente se paseaba por la casa y compartía habitación de hotel con ella en los viajes mientras ella trabajaba desde casa en operaciones confidenciales de fusión. Escuchaba sus llamadas, echaba un vistazo a la pantalla abierta de su portátil del trabajo cuando ella se iba a la cocina, compró acciones de la cadena adecuada y se embolsó con información privilegiada casi dos millones de dólares.
Y ahora imagine un escenario más prosaico: un responsable de seguridad en remoto en pleno divorcio difícil o en plena pelea con su media naranja. La esposa resentida o un compañero de piso con iniciativa simplemente esperan a que el «guardián de la infraestructura» se meta en la ducha o se quede dormido, fotografían con el móvil la pantalla abierta con claves de acceso, tokens y conversaciones de Slack, o directamente meten un pendrive en el portátil del dueño, cuya contraseña le vieron por encima del hombro hace tiempo.
4. El cansancio de las tres de la madrugada Y por último, el clásico con el que en los últimos años se han estrellado gigantes desde Uber hasta el servicio de autenticación Okta. Cuando los atacantes compran la contraseña robada de un empleado en remoto, solo les queda saltarse la autenticación de dos factores (MFA). ¿Qué hacen? Esperan a que el teletrabajador se vaya a dormir en su casa y, a las tres de la madrugada, empiezan a bombardear su teléfono con decenas de notificaciones push: «Confirme el inicio de sesión». A continuación le escriben a su mensajería personal haciéndose pasar por el «soporte técnico de la empresa»: que es un fallo del sistema, que pulse «Confirmar» para que las notificaciones dejen de sonar. Y el hombre medio dormido y en calzoncillos, con tal de que el teléfono se calle de una vez y le deje dormir, deja entrar a los hackers en el sanctasanctórum con su propio dedo.
De este caos humano —pastillas, dramas familiares, delincuencia callejera y pereza nocturna— está hecho en realidad el cimiento sobre el que se sostiene toda la industria moderna de la «confianza en la nube». Y la próxima vez que vea al pie de una bonita web financiera las severas insignias SOC 2 Compliant y GDPR Compliant, recuerde simplemente que en algún lugar al otro lado del océano, ahora mismo, una persona cansada y con antidepresivos se ha apartado del portátil abierto para servirse un café, mientras su novia desliza pensativa por su monitor las listas de servidores ajenos.