Buscamos patrocinadores · Patrocinar
HackIn Málaga Preinscripción

Concurso de bug bounty presencial · Edición 01

HackIn Málaga

Cien especialistas en ciberseguridad. Diez horas. Los servicios digitales de Málaga, a prueba, dentro de un alcance, un horario y una red controlados.

Polo Digital de Málaga · Sábado 30 de enero de 2027 · 10:30 – 20:30

Solicitar plaza Patrocinar
Ilustración del skyline de Málaga en líneas: la noria, el Palmeral de las Sorpresas, la Catedral, la Alcazaba, el faro y el puerto, con reflejos verdes en el agua.
100Participantes, individuales y mayores de 18
10 hDe 10:30 a 20:30, sin prórroga
3.000 €En premios para los tres primeros
5Miembros en el Comité Técnico

02 · El concurso

Un bug bounty sobre servicios en producción, con reglas de laboratorio

Objetivo

Encontrar vulnerabilidades reales antes que otros

El Ayuntamiento de Málaga pone sus webs y aplicaciones dentro del alcance, y los patrocinadores pueden sumar las suyas. Los participantes las atacan con autorización y dentro de un alcance cerrado. Cada hallazgo válido se reporta, se puntúa y llega a quien puede corregirlo.

Talento

Reconocimiento público para quien lo encuentra

Una clasificación abierta, premios en metálico y un escenario para la comunidad de ciberseguridad.

Ciudad

Málaga como referente en ciberseguridad

El Ayuntamiento abre sus servicios a la comunidad, y cualquier entidad puede sumar los suyos al alcance del concurso.

  • OrganizaBitnaga
  • Activos en alcanceAyuntamiento de Málaga
  • Plataforma de reportesGRayBack
  • SedePolo Digital de Málaga

03 · Agenda

Una jornada, de la acreditación a la clasificación definitiva

  1. Acreditación

    Identificación con DNI, firma de las bases y del acuerdo de confidencialidad, y entrega de tu ID de participante.

  2. Inauguración, alcance y normas

    Se publica la lista de activos en alcance y se repasan las reglas del concurso.

  3. Concurso

    Diez horas con cuenta atrás visible en sala. La red se abre a las 10:30 y se cierra a las 20:30.

  4. Clasificación

    Clasificación provisional, plazo de reclamaciones y clasificación definitiva.

04 · Premios

3.000 euros para el podio

1.º 1.500 €
2.º 1.000 €
3.º 500 €

Importes brutos. Se aplica la retención de IRPF que corresponda. Los premios se pagan la semana siguiente al evento.

05 · Reglas

Una red propia, un alcance cerrado y un horario estricto

Todo el tráfico del concurso sale por una red aislada del evento. Así los titulares de los activos lo distinguen del resto y el Comité puede resolver cualquier incidencia con datos.

01

IP de salida conocida

Te conectas a la red del evento con tu ID. Cada puesto está aislado del resto de la sala.

02

60 peticiones por minuto

Los activos están en producción. El límite protege los servicios y se vigila participante a participante.

03

De 10:30 a 20:30

La salida hacia los activos se abre y se cierra a la hora exacta, sin excepciones.

04

Tu ID en el User-Agent

Todas tus peticiones llevan tu ID de participante en la cabecera User-Agent. Los titulares lo comprueban en sus registros.

05

Solo lo que está en alcance

Destinos fuera del alcance, infraestructura o servicios de terceros suponen el bloqueo inmediato del participante implicado.

06

Reportes en GRayBack

Cada hallazgo se envía en la plantilla oficial, con sello de tiempo. El Comité valida y asigna la criticidad.

Quién puede participar

  • Personas mayores de 18 años, en modalidad individual.
  • Con DNI o documento equivalente para la acreditación.
  • Que acepten las bases y el acuerdo de confidencialidad.
  • No puede participar el personal de las entidades con activos en alcance ni el de las empresas que los mantienen.

Comité Técnico

Cinco miembros validan los reportes, asignan la criticidad y resuelven las reclamaciones: uno de fuera de Andalucía, uno de Andalucía y tres de Málaga.

Los reportes de cada activo se entregan solo a su titular, con total confidencialidad, y los datos de los participantes se borran al cerrar el evento.

06 · Preinscripción

Solicita tu plaza

Hay 100 plazas. La preinscripción no garantiza la participación: tras el cierre seleccionaremos a los participantes y confirmaremos su plaza por correo unas tres semanas antes del evento.

  1. Preinscripción. Rellena el formulario.
  2. Confirmación. Escribe el código que te llega por correo.
  3. Selección. Te escribimos si tienes plaza.
  4. Acreditación. El día del evento, con tu DNI.

07 · Preguntas frecuentes

Lo que más nos preguntan

¿Cuándo es exactamente?

El sábado 30 de enero de 2027, en el Polo Digital de Málaga. La acreditación abre a las 9:30 y el concurso empieza a las 10:30.

¿Cuánto cuesta participar?

Nada. La participación es gratuita.

¿Puedo participar en equipo?

No. El concurso es individual: cada participante tiene su propio ID, su puesto y su clasificación.

¿Qué tengo que llevar?

Tu DNI o documento equivalente y tu propio equipo. La conexión la da la red del evento, a la que accederás con tu ID de participante.

¿Se descifra mi tráfico?

No. El tráfico HTTPS no se descifra. La red registra flujos, DNS y destino TLS de cada participante para aplicar el alcance, el horario y el límite de peticiones. Los registros se borran al cerrar el evento.

¿Qué pasa si me bloquean?

Solo se bloquea al participante implicado, sin afectar al resto de la sala. El Comité Técnico revisa el caso y decide si se restablece el acceso.

¿Cómo se decide la clasificación?

El Comité Técnico valida cada reporte enviado a GRayBack y le asigna una criticidad. A las 20:30 se publica la clasificación provisional, se abre el plazo de reclamaciones y después se publica la definitiva.