Especialista en ciberseguridad que protege tu SaaS, fintech o plataforma digital antes de que llegue el atacante.

Diego Melo — Investigador de seguridad ofensiva y fundador de No Vuln.

Investigador de seguridad ofensiva con trayectoria en programas internacionales de bug bounty (U.S. Department of Defense, eToro, Bitso, Hostinger). Fundador de No Vuln. Se enfoca en vulnerabilidades de identidad (OAuth, SAML, JWT) y de lógica de negocio.

A diferencia de una consultora tradicional, en No Vuln hablas directamente con quien encontró el bug. No hay un account manager de por medio ni un junior ejecutando mientras el senior solo aparece en ventas. Cada pentest lo ejecuta un investigador con nombre y rostro — con revisión por pares y quality gates documentados.

Consulta el perfil completo en /es/sobre/diego-melo.

“Especialista en ciberseguridad” abarca tres perfiles muy distintos. Saber cuál necesitas es la mitad de la decisión de contratación:

1. Especialista defensivo (Blue Team)

• SOC analyst, threat hunter, security engineer
• Enfoque: detectar y responder a un ataque en curso
• Herramientas: SIEM, EDR, threat intel, análisis de logs
• Cuándo contratar: empresas con un alto volumen de transacciones que necesitan monitoreo 24x7

2. Especialista ofensivo (Red Team / Pentester)

• Pentester, red team operator, bug bounty hunter, exploit developer
• Enfoque: encontrar vulnerabilidades antes que el atacante
• Herramientas: Burp, fuzzers a medida, exploit chains, recon
• Cuándo contratar: empresas que necesitan descubrir qué está mal antes que el regulador, la prensa o el atacante. Es el perfil de No Vuln

3. Especialista regulatorio (GRC)

• GRC analyst, compliance officer, auditor ISO/SOC, CISO regulatorio
• Enfoque: estructurar políticas, cumplimiento y auditabilidad
• Herramientas: frameworks (ISO, NIST, COBIT), hojas de cálculo, políticas, capacitación
• Cuándo contratar: empresas que se preparan para ISO 27001 o SOC 2, o que necesitan un DPO dedicado

En 2026, una empresa seria tiene los tres — internos o tercerizados. Pero si estás empezando, el perfil ofensivo es el que entrega más ROI inmediato. El pentest descubre vulnerabilidades reales, en horas, con PoC reproducible. Lo defensivo y lo regulatorio son capas que se construyen sobre ese diagnóstico.

1. Trayectoria pública verificable — hallazgos en programas internacionales de bug bounty (U.S. Department of Defense, eToro, Bitso, Hostinger); CVEs a su nombre; CTFs ganados; charlas en conferencias reconocidas (DEF CON, Black Hat, H2HC, BSidesSP)
2. Capacidad de explicar la metodología — un investigador real explica con detalle técnico cómo aborda un bug, qué herramientas usa, en qué orden y por qué. Quien vende un checklist genérico no pasa de ahí
3. PoCs anonimizadas de trabajos anteriores — no puede revelar quién fue el cliente, pero sí la forma del bug, su severidad y cómo se explotó. Un generalista sin base técnica no tiene material de ese tipo
4. Soporte directo, sin account manager de por medio — en una consultora de élite hablas con el investigador, no con un account manager. Eso es un diferencial real
5. NDA bilateral, facturación formal y empresa legalmente constituida — una operación seria tiene su propia estructura jurídica, no una razón social prestada
6. Retest incluido — en 2026, el retest es un commodity. Un profesional serio lo incluye en el precio; quien lo cobra aparte está cobrando dos veces por el mismo trabajo

1. Contacto inicial — describes el alcance (SaaS, fintech, app, tamaño del equipo, regulación). NDA bilateral enviado en 24h
2. Llamada técnica — una vez firmado el NDA, conversación de 30–60 min con el investigador para mapear la superficie, los roles y los flujos críticos
3. Propuesta formal — en 3 días hábiles, con alcance detallado, cronograma, rango de inversión y cláusulas. Propuesta, contrato y NDA en el idioma de tu empresa
4. Ejecución — pentest con metodología documentada, comunicación directa con el investigador por un canal dedicado (Slack/Discord) y alertas en tiempo real de los hallazgos críticos
5. Entrega — informe técnico + ejecutivo (en el idioma de quien lo solicita) + readout en vivo + plan de remediación. Retest incluido en una ventana de 30 a 90 días