Encadenaste cinco pasos hasta Domain Admin, dumpeaste NTDS y demostraste acceso a la base de datos de producción. Reporte impecable, CVSS 9.1, kill chain documentada. Tres meses después no se remedió nada, el presupuesto se fue al SIEM nuevo y el board sigue convencido de que el riesgo principal es "phishing a usuarios". Técnicamente impecable, operativamente irrelevante. El problema no es técnico: entre el shell que conseguiste y la decisión del negocio hay tres saltos de traducción que rara vez funcionan, del hallazgo al impacto operacional, del impacto al riesgo de negocio, y del riesgo a una decisión ejecutable. Esta charla es sobre ese gap, contado desde el cruce raro de hacer producto para organizaciones donde se hace seguridad ofensiva y aún así los hallazgos no siempre mueven la aguja: qué herramientas del mundo de producto se pueden importar al oficio sin convertirlo en consultoría. Para pentesters, equipos de VA, red teamers, líderes de seguridad y cualquiera que haya entregado un hallazgo crítico y se haya comido el silencio del otro lado.
Presented at Ekoparty Miami 2026