Ricardo Sánchez Bermúdez is a Security Architect specialized in AppSec and DevSecOps practices, with experience in SecOps and IAM.
The most recent supply chain attacks don't exploit vulnerabilities in code. They exploit the pipeline. Nobody treats it as an attack surface, and that's exactly how Shai-Hulud compromised 14k+ secrets without touching a single application. Through a live demo you'll see the attack from the attacker's perspective and walk away with a practical framework to evaluate and strengthen your own pipelines.
Presented at Ekoparty Miami 2026
Los ataques más recientes a cadenas de suministro no explotan vulnerabilidades en el código. Explotan el pipeline. Casos reales han comprometido miles de secretos y organizaciones enteras usando como vector el sistema que construye y despliega tu software. Shai-Hulud es solo un ejemplo; +14k secretos expuestos sin tocar una sola aplicación.
En esta charla analizamos cómo ocurren estos ataques, por qué los controles tradicionales no son suficientes y qué significa esto para los equipos que construyen software hoy. A través de una demo veremos cómo un pipeline mal configurado puede convertirse en el atacante, y con buenas prácticas para robustecer la seguridad desde el build.
Una sesión para equipos que quieren dejar de tratar el pipeline como zona de confianza y empezar a tratarlo como superficie de ataque.
Presented at 8.8 UnReal Perú 2026