La tecnología avanza a toda velocidad. Cada día aparecen nuevos lenguajes, herramientas, aplicaciones y modelos de inteligencia artificial, pero también nuevas amenazas que buscan aprovechar cualquier punto débil. En este contexto, la ciberseguridad se ha vuelto imprescindible, no solo para proteger a las organizaciones, sino también a todas las personas que usamos la tecnología en nuestro día a día.
Desde Codemotion, y a través de nuestra iniciativa Coding Wonder Women, seguimos dando voz a mujeres que están construyendo el futuro de la tecnología desde diferentes ámbitos y demostrando que hay muchas maneras de aportar y dejar huella en este sector.
En esta nueva entrega hablamos con Carolina Gómez Uriarte, profesional de la ciberseguridad con más de diez años de experiencia en hacking ético e ingeniería social. Fundadora de Cyber0asis, coautora del libro Social Hunters: Hacking con ingeniería social en el Red Team y antigua directora y miembro del equipo organizador de Sh3llCON, Carolina ha desarrollado una trayectoria que combina el conocimiento técnico con una fuerte vocación por divulgar y acercar la ciberseguridad a más personas.
Porque, al final, para entender cómo protegernos de un ataque, primero tenemos que entender cómo piensa la persona que está al otro lado.
Una carrera entre vulnerabilidades, ataques y aprendizaje constante
Aunque su trayectoria no está centrada en el desarrollo de software puro, Carolina lleva más de una década trabajando en el ámbito de la seguridad ofensiva. Su experiencia incluye auditorías de aplicaciones web, APIs, aplicaciones móviles, Active Directory y redes Wi-Fi, , entre otras.
“Mi día a día consiste en analizar cómo están construidas las aplicaciones, comprender su arquitectura y encontrar vulnerabilidades antes de que lo hagan los atacantes”, explica.
Ese trabajo le ha obligado a mantener una formación continua en diferentes lenguajes, frameworks y metodologías de desarrollo. No necesariamente para convertirse en desarrolladora, sino para comprender cómo se construyen los sistemas y, sobre todo, cómo pueden aparecer determinados fallos de seguridad.
A esta faceta técnica se suma su labor como fundadora de Cyber0asis, una academia y proyecto de divulgación desde el que busca acercar la ciberseguridad a startups y pymes de una manera práctica y accesible.
Su trayectoria también pasa por los escenarios de conferencias, las aulas y la divulgación de contenido técnico. Porque para Carolina, aprender y compartir conocimientos forman parte del mismo camino.
La curiosidad como motor de la ciberseguridad
Si hay algo que disfruta especialmente de su profesión es la posibilidad de enfrentarse constantemente a problemas nuevos.
“Lo que más disfruto es resolver problemas complejos. Me encanta enfrentarme a una aplicación que no conozco, entender cómo funciona y descubrir detalles que han pasado desapercibidos durante el desarrollo.”
Para ella, la ciberseguridad es un campo especialmente creativo. No existe una única manera de analizar un sistema ni una fórmula que permita anticipar todos los caminos posibles.
“El principal desafío es que la tecnología evoluciona a una velocidad enorme. Lo que hoy es una buena práctica puede quedarse obsoleto en pocos meses”, reconoce.
En este contexto, mantenerse actualizada no es una opción. Es parte del trabajo.
La curiosidad se convierte así en una de sus principales herramientas para enfrentarse a ese ritmo. Cuando aparece una tecnología que no conoce, Carolina intenta verla como una oportunidad para aprender. Divide los problemas, investiga, construye laboratorios y prueba por sí misma.
Y hay otra estrategia que considera especialmente útil: enseñar.
“También me ayuda mucho enseñar lo que aprendo; preparar cursos, escribir artículos o dar charlas me obliga a consolidar los conocimientos y seguir mejorando continuamente.”
Por ejemplo, participó en Codemotion Madrid 2026 con su charla «Top 10 que sí importan: Web, API, Mobile y LLM». Os dejamos aquí la charla:
Una década de cambios: la velocidad como nuevo reto de la ciberseguridad
Si algo ha aprendido Carolina después de más de diez años trabajando en ciberseguridad es que la velocidad se ha convertido en uno de los grandes factores de cambio del sector.
“Lo que más ha cambiado es la velocidad. Antes las amenazas evolucionaban rápidamente, pero ahora lo hacen a un ritmo casi diario. Han aparecido nuevas tecnologías, nuevos modelos de negocio, la nube, la inteligencia artificial, aplicaciones móviles mucho más complejas… y todo ello ha ampliado enormemente la superficie de ataque.”
Pero la transformación no ha sido únicamente tecnológica. También ha cambiado la manera en la que muchas organizaciones entienden la seguridad. Lo que hace unos años podía percibirse como un gasto o como una obligación más, poco a poco se ha convertido en una cuestión estratégica vinculada al propio funcionamiento del negocio.
“Hace diez años la ciberseguridad era vista, en muchos casos, como un gasto o un requisito. Hoy cada vez más organizaciones entienden que forma parte del negocio y que una buena estrategia de seguridad aporta confianza, continuidad y competitividad.”
Sin embargo, en medio de todos estos cambios hay un elemento que permanece prácticamente intacto: las personas. La tecnología puede evolucionar, pero muchos ataques siguen aprovechando los mismos errores humanos.
“Hay algo que sigue exactamente igual: el factor humano. La mayoría de los ataques siguen aprovechando errores de las personas, ya sea mediante ingeniería social, contraseñas débiles, configuraciones incorrectas o simples descuidos. La tecnología cambia, pero las personas seguimos siendo uno de los objetivos principales de los atacantes.”
Y precisamente esa combinación entre tecnología y comportamiento humano es una de las razones por las que la llegada de la inteligencia artificial está abriendo un nuevo capítulo para la ciberseguridad.
Cuando el factor humano también es una vulnerabilidad
Su especialización en hacking ético e ingeniería social le ha llevado a trabajar en un ámbito donde la tecnología y las personas están estrechamente conectadas.
Carolina es coautora de Social Hunters: Hacking con ingeniería social en el Red Team, un libro que pone el foco precisamente en el factor humano como uno de los principales vectores de ataque dentro de las organizaciones.
Su experiencia le ha permitido trasladar el mundo del ataque a un lenguaje comprensible y accionable, ayudando a empresas y profesionales a entender que proteger una organización no consiste únicamente en instalar herramientas de seguridad.
La concienciación, la formación y la capacidad de reconocer los riesgos también forman parte de la defensa.
Esta mirada está presente en su trabajo como divulgadora y formadora, donde busca que conceptos que pueden parecer complejos o inaccesibles puedan ser comprendidos por más personas.
La inteligencia artificial cambia las reglas del juego
La inteligencia artificial está transformando prácticamente todos los ámbitos tecnológicos y la ciberseguridad no es una excepción. Para quienes trabajan en este campo, la IA abre nuevas posibilidades para automatizar procesos, analizar información y detectar patrones, pero también introduce nuevas amenazas y facilita determinadas tareas a quienes buscan atacar sistemas y organizaciones.
“La inteligencia artificial está cambiando nuestra forma de trabajar. Nos permite automatizar tareas repetitivas, analizar grandes cantidades de información en menos tiempo, generar documentación o detectar patrones que antes podían pasar desapercibidos.”
El problema es que las mismas capacidades que pueden ayudar a los equipos de seguridad también pueden ponerse al servicio de los atacantes.
“Al mismo tiempo, también está facilitando el trabajo de los atacantes. Hoy es mucho más sencillo generar campañas de phishing más creíbles, desarrollar malware con mayor rapidez o automatizar determinadas fases de un ataque.”
Ante este escenario, Carolina considera que la clave no está en entender la IA como una amenaza que haya que evitar, sino como una herramienta cuyo valor dependerá de cómo se utilice.
“Por eso creo que la IA debe entenderse como una herramienta. Igual que ocurrió con Internet o con la computación en la nube, quien aprenda a utilizarla tendrá una ventaja, pero, bajo mi opinión, seguirá siendo imprescindible el criterio humano para interpretar resultados, tomar decisiones y entender el contexto.”
Sin embargo, esta democratización de la tecnología también plantea una de las principales preocupaciones de Carolina: que la inteligencia artificial reduzca la barrera de entrada para quienes quieren utilizarla con fines maliciosos.
Cuando la IA reduce la barrera de entrada para los atacantes
“Más que la tecnología en sí, me preocupa la facilidad con la que puede ser utilizada por personas con pocos conocimientos técnicos para llevar a cabo ataques cada vez más sofisticados.”
La generación de contenidos falsos, los correos de phishing cada vez más convincentes o la automatización de determinadas tareas están haciendo que algunas técnicas sean más accesibles que antes.
“La IA está reduciendo la barrera de entrada. Hoy es posible generar correos muy convincentes, crear contenido falso, automatizar tareas o incluso obtener ayuda para desarrollar herramientas maliciosas con mucha menos experiencia que hace unos años.”
Pero el riesgo no está únicamente en quienes utilizan la IA para atacar. También existe una preocupación creciente por la rapidez con la que las propias organizaciones están adoptando estas tecnologías sin analizar siempre las implicaciones de seguridad que llevan asociadas.
“También me preocupa que muchas organizaciones estén incorporando soluciones de IA sin evaluar adecuadamente los riesgos asociados, como la protección de los datos que comparten con estos modelos o la seguridad de las aplicaciones que los integran.”
Por eso, para Carolina, el reto no pasa por frenar la innovación, sino por acompañarla de una estrategia de seguridad que permita aprovechar sus posibilidades sin ignorar sus riesgos.
“Como ocurre con cualquier avance tecnológico, el reto no está en detener la innovación, sino en utilizarla de forma responsable y segura.”
La ciberseguridad no es un producto que se compra
Esta evolución constante también hace necesario desmontar algunas ideas muy extendidas sobre la ciberseguridad. Uno de los principales mitos que Carolina se encuentra en su trabajo es la idea de que proteger una organización consiste simplemente en instalar determinadas herramientas y dar el problema por resuelto.
“Quizá el más frecuente sea pensar que la ciberseguridad consiste únicamente en instalar un antivirus o un firewall y olvidarse del problema.”
Para ella, la seguridad debe entenderse como un proceso continuo que implica revisar, aprender y adaptarse constantemente a un escenario que nunca permanece estático.
“La seguridad no es un producto que se compra, sino un proceso continuo. Requiere mantener los sistemas actualizados, formar a las personas, revisar configuraciones, realizar copias de seguridad, monitorizar lo que ocurre y adaptarse constantemente a nuevas amenazas.”
Esta idea resulta especialmente importante cuando hablamos de pequeñas empresas, que en ocasiones pueden pensar que no tienen suficiente interés para convertirse en objetivo de un ataque. Sin embargo, precisamente esa percepción puede convertirse en un riesgo.
“Otro mito muy extendido es el ‘¿quién va a querer atacarme a mí?’. La realidad es que la mayoría de los ataques son automatizados y no distinguen entre una gran multinacional y una pequeña empresa. Si existe una vulnerabilidad o una oportunidad, probablemente alguien intentará aprovecharla.”
Por eso, la ciberseguridad no debería entenderse como una cuestión exclusiva de las grandes organizaciones ni depender únicamente de soluciones sofisticadas. En muchas ocasiones, la mejor defensa comienza por identificar y corregir los errores más básicos.
Los atacantes no buscan el sistema perfecto, sino el camino más fácil
La experiencia de Carolina trabajando en seguridad ofensiva también le ha permitido comprobar que, en muchas ocasiones, los ataques no necesitan aprovechar vulnerabilidades especialmente complejas para tener éxito. Basta con encontrar un punto débil que no haya sido detectado o corregido a tiempo.
“Si tuviera que resumirlo en una idea sería esta: los atacantes no buscan el sistema perfecto, buscan el camino más fácil.”
En muchas auditorías, los problemas aparecen precisamente en aspectos que pueden parecer básicos: contraseñas reutilizadas, servidores que no están actualizados, permisos excesivos o copias de seguridad que nunca se han comprobado. También en el factor humano, cuando los empleados no cuentan con la formación necesaria para identificar un intento de fraude.
“En muchas auditorías no encontramos vulnerabilidades extremadamente complejas; encontramos contraseñas reutilizadas, servidores sin actualizar, permisos excesivos, copias de seguridad que nunca se han probado o empleados que no saben identificar un correo fraudulento.”
La conclusión, por tanto, es que proteger una organización no siempre significa apostar por las soluciones más avanzadas. Antes de llegar a ellas, es necesario asegurarse de que los pilares fundamentales están bien construidos.
“Por eso siempre digo que la seguridad no empieza con las soluciones más sofisticadas, sino haciendo bien lo básico. Una buena gestión de contraseñas, la autenticación multifactor, las copias de seguridad verificadas, la formación de los empleados y mantener los sistemas actualizados evitan una gran parte de los incidentes que vemos cada día.”
Porque, al final, el objetivo no tiene que ser construir sistemas completamente inexpugnables, sino conseguir que nuestra organización no sea la opción más sencilla para un atacante.
“Las empresas no necesitan ser inexpugnables; necesitan dejar de ser el objetivo más fácil, qué menos que ponérselo un poco difícil a ‘los malos’
Mujeres en ciberseguridad: cuando el conocimiento habla por sí solo
A pesar de su amplia experiencia, Carolina también se ha encontrado con situaciones en las que su género condicionaba la primera impresión que otras personas tenían sobre sus capacidades.
“Sí, aunque afortunadamente ha sido de forma puntual”, explica.
Ha vivido situaciones en las que algunos clientes asumían que tenía menos experiencia antes incluso de conocer su trabajo o se sorprendían al descubrir que era ella quien estaba realizando una auditoría técnica.
También ha participado en reuniones y congresos en los que era la única mujer presente.
Sin embargo, su experiencia también le ha mostrado la otra cara de la moneda: equipos en los que el talento y las ganas de aportar estaban por encima de cualquier otra consideración.
“Por suerte, también he trabajado con equipos donde lo único que importaba era el talento y las ganas de aportar. Creo que esas experiencias positivas demuestran que el cambio es posible.”
Ante las situaciones de discriminación, su respuesta siempre ha sido la misma: trabajo y profesionalidad.
“Al final, el conocimiento termina hablando por sí solo.”
Pero Carolina considera que la industria también tiene una responsabilidad a la hora de construir ese cambio. Y para ella, el trabajo debe comenzar mucho antes de que una persona llegue a su primer empleo.
Muchas niñas descartan la tecnología antes incluso de llegar a la universidad porque no encuentran tantos referentes, debido en parte a ese cambio generacional o porque parte de la sociedad sigue manteniendo una idea preconcebida.
Por eso considera fundamental apostar por procesos de selección centrados en las capacidades reales y crear entornos donde cualquier persona pueda preguntar, equivocarse y aprender sin sentirse juzgada/o .
El reto ya no es solo entrar, sino poder quedarse
Cuando habla de los obstáculos que encuentran las mujeres para acceder al sector tecnológico, Carolina ofrece una perspectiva diferente.
“Creo, o al menos quiero creer, que actualmente ya no existen tantos obstáculos para que una mujer pueda acceder a un trabajo dentro del sector tecnológico como ocurría hace unos años.”
Reconoce que las mujeres todavía no son mayoría en muchas áreas tecnológicas, pero considera que parte de esta situación responde también a un cambio generacional que necesita tiempo para consolidarse.
Para Carolina, uno de los grandes retos actuales está en la conciliación.
Muchas mujeres retrasan la maternidad para consolidar su carrera profesional y acceder a un empleo estable y de calidad. En otros casos, la llegada de los hijos puede afectar a su tiempo de formación, a sus compromisos laborales o a sus posibilidades de crecimiento.
“Conseguir que la conciliación sea una responsabilidad compartida y que la maternidad no suponga una penalización en la carrera de una mujer sigue siendo uno de los grandes desafíos pendientes.”
La igualdad, desde su perspectiva, no pasa únicamente por facilitar el acceso a la profesión. También por garantizar que las personas puedan desarrollar y mantener una carrera profesional sin que las responsabilidades asociadas tradicionalmente al género terminen condicionando sus oportunidades.
Igualdad más allá de las medidas simbólicas
Para conseguirlo, Carolina apuesta por medidas que tengan un impacto real y no se queden únicamente en declaraciones de intenciones.
Entre ellas destaca los procesos de selección objetivos, los programas de mentoría, la visibilización de referentes femeninos en puestos técnicos, la flexibilidad laboral, la conciliación y los planes de formación y promoción basados en el mérito.
También considera imprescindible una tolerancia cero frente a los comportamientos discriminatorios.
Pero existe una cuestión que para ella resulta especialmente importante: la igualdad no debe confundirse con la contratación basada únicamente en cuotas.
“La igualdad no consiste en contratar por ser mujer, sino en garantizar que todas las personas tengan las mismas oportunidades de acceder, crecer y ser reconocidas por su trabajo sin que importe el género.”
En este sentido, también advierte sobre uno de los riesgos de las políticas de diversidad e inclusión: convertirlas en una acción de marketing.
“La diversidad no puede limitarse a cumplir un porcentaje; debe ir acompañada de procesos justos, oportunidades de crecimiento y una cultura donde todas las personas puedan aportar sin sentirse diferentes.”
La comunidad como acelerador del aprendizaje
A lo largo de su trayectoria, aprendió algo que ha trasladado a su propia labor divulgativa: no es necesario saberlo todo para empezar a enseñar.
“Es imposible saberlo todo. Compartir el camino mientras sigues aprendiendo ayuda tanto a quien te escucha como a ti misma.”
Ese espíritu de comunidad está presente en su trabajo como formadora, ponente y divulgadora, pero también en su trayectoria vinculada a eventos de ciberseguridad.
Como directora y miembro del equipo organizador de Sh3llCON, lideró durante tres ediciones un congreso celebrado en Santander que contribuyó a consolidarse como un evento de referencia en el norte de España.
Su recorrido demuestra que construir comunidad también es una forma de contribuir al crecimiento de un sector.
IA, APIs y una seguridad integrada desde el principio
Aunque la ciberseguridad es un campo en constante evolución, hay algunas áreas que despiertan especialmente el interés de Carolina.
Entre ellas se encuentran la inteligencia artificial aplicada al desarrollo y la seguridad, la protección de los modelos de IA y los LLMs, la seguridad en APIs y todo lo relacionado con las aplicaciones móviles.
Pero también anticipa un cambio importante en la forma en que se construye el software.
Carolina cree que veremos una evolución de las herramientas que ayudan a los desarrolladores a escribir código más seguro desde el principio, integrando la seguridad como una parte natural del ciclo de desarrollo y no como una revisión que llega al final.
Es una transformación especialmente relevante en un momento en el que la velocidad de desarrollo tecnológico aumenta y las aplicaciones incorporan cada vez más componentes y dependencias.
La seguridad, en su opinión, no debería ser una capa que se añade después, sino una parte integrada desde el principio.
Cómo seguir aprendiendo en un sector que nunca se detiene
Para mantenerse actualizada, Carolina combina diferentes fuentes de conocimiento.
Lee documentación oficial, sigue blogs técnicos, participa en conferencias, realiza laboratorios prácticos e investiga nuevas tecnologías. A todo ello suma la preparación de formaciones y la creación de contenido, actividades que le permiten profundizar todavía más en aquello que está aprendiendo.
Para quienes quieran iniciarse o seguir creciendo en ciberseguridad, recomienda recursos como el OWASP Web Security Testing Guide, OWASP API Security y OWASP Mobile, además de las nuevas investigaciones y recursos que la comunidad está desarrollando alrededor de los LLMs y la IA agéntica.
También destaca los laboratorios de PortSwigger Web Security Academy, que considera uno de los mejores espacios para aprender seguridad de aplicaciones de manera práctica.
Y, sobre todo, recomienda seguir a investigadores y creadores de contenido que compartan investigaciones reales y no únicamente teoría.
Porque en un sector como la ciberseguridad, aprender implica hacer, experimentar y mantenerse en movimiento.
Conclusión
La historia de Carolina Gómez es la de una profesional que ha construido su trayectoria entendiendo la tecnología desde uno de sus lados más complejos: el de quienes buscan encontrar sus puntos débiles.
Desde la ciberseguridad ofensiva y el hacking ético hasta la ingeniería social, la formación y la divulgación, su trabajo demuestra que proteger la tecnología requiere tanto conocimiento técnico como capacidad para entender a las personas.
Su recorrido también pone sobre la mesa una reflexión necesaria sobre la diversidad. El acceso de las mujeres al sector ha cambiado, pero todavía quedan retos relacionados con la conciliación, el crecimiento profesional y la construcción de entornos donde el talento pueda desarrollarse sin condicionantes.
Para Carolina, el camino pasa por crear oportunidades reales, valorar las capacidades de cada persona y construir una cultura en la que aprender, equivocarse y compartir conocimiento sea posible.
Porque, en un sector que cambia cada día, nadie puede saberlo todo. Pero sí podemos seguir aprendiendo, compartir lo que descubrimos por el camino y asegurarnos de que cada vez más personas sepan que la tecnología también es su lugar.
Gracias, Carolina, por compartir tu experiencia, por acercarnos al mundo de la ciberseguridad y por ayudarnos a visibilizar más referentes femeninos en un sector tan apasionante como necesario. Y, sobre todo, gracias por recordarnos que el conocimiento también crece cuando lo compartimos.
