Un CTF, sigla de capture the flag, es una competencia de ciberseguridad en la que los participantes resuelven retos de seguridad para encontrar cadenas de texto ocultas llamadas flags. Los organizadores esconden esas flags dentro de programas, sitios web o sistemas vulnerables a propósito, así que llegar a una exige conocimiento real de seguridad. Los puntos suben con la dificultad y gana quien reúna más antes de que se acabe el tiempo.
En 2025 nuestro equipo quedó primero en Latinoamérica y noveno en el mundo en el HTB Business CTF, frente a 795 equipos corporativos y 4.549 participantes. También organizamos nuestro propio CTF, que ya va en su cuarta edición.
Esta página cubre qué es un CTF, los dos formatos que vas a encontrar, las categorías de reto detrás de ellos, cómo funcionan el puntaje y las clasificaciones, y dónde competir. También cubre qué dice el puntaje de un CTF sobre la habilidad en seguridad de una persona, y qué no.
¿Qué es un CTF?
Un CTF es una competencia en la que los participantes resuelven retos para capturar flags escondidas por los organizadores. Una flag es apenas una cadena de texto. Puede verse como flag{you_found_me} o seguir el formato que publiquen los organizadores, y solo aparece cuando el trabajo está hecho: la inyección explotada, el cifrado roto, el binario entendido.
Los participantes juegan solos o en equipo, dentro de una ventana que va de unas horas a varios días. Cada reto vale puntos según su dificultad. Gana quien tenga más puntos al final, a veces con premios en efectivo, a veces sin nada más que el puesto en la tabla.
El puntaje pocas veces es tan estático como parece. Plataformas como CTFd admiten valores dinámicos, donde un reto empieza alto y baja a medida que más jugadores lo resuelven, de modo que el tablero vuelve a tasar la dificultad según lo que hizo el campo y no según lo que supuso el organizador. Los empates se rompen por tiempo: cuando dos jugadores quedan iguales, la resolución más temprana va arriba. Un CTF puede definirse por quien llegó primero por un minuto.
Lo que un CTF no es es una prueba de penetración. Cada tarea del tablero está hecha para resolverse, y la flag confirma que llegaste. Un objetivo real no tiene flag, no garantiza que exista una vulnerabilidad y no tiene a nadie que te diga cuándo dejar de buscar. Las técnicas se parecen. Las condiciones no.
Tipos de competencias CTF
Los eventos CTF caen en dos formatos, y el formato cambia lo que el evento mide de verdad.
Jeopardy
Un CTF tipo Jeopardy presenta un tablero de retos independientes ordenados por categoría y dificultad. Eliges uno, lo resuelves, envías la flag y sigues con el próximo. Nada de lo que hagas afecta a los demás jugadores, así que el evento premia la amplitud y la profundidad individual. La mayoría de los eventos en línea usan este formato, y es con el que deberían empezar los principiantes, porque puedes escoger tareas acordes a tu nivel. Google CTF, PlaidCTF (organizado por el Plaid Parliament of Pwning de Carnegie Mellon), HITCON CTF y 0CTF llevan años con este modelo.
Attack-Defense
Un CTF tipo Attack-Defense pone a todos los equipos sobre la misma infraestructura vulnerable. Parcheas tus propios servicios mientras explotas la misma falla en los de los demás, y pierdes puntos si tu servicio se cae. Esa última regla es la que hace duro el formato: un parche que rompe la funcionalidad cuesta tanto como el exploit que no lograste bloquear. Los organizadores verifican la disponibilidad durante todo el juego, lo que convierte cada arreglo en una decisión contrarreloj y no en una decisión limpia. La final del DEF CON CTF es el ejemplo más conocido, y RuCTF, organizado por HackerDom, es otro.
Algunos eventos mezclan ambos: un tablero Jeopardy en las clasificatorias y el formato defensivo en la final. Esa progresión es deliberada. Las clasificatorias necesitan escalar a miles de jugadores en línea, mientras que la final necesita un formato que solo se juega bien con un equipo sentado en una misma sala.
| Jeopardy | Attack-Defense |
Infraestructura | Servidor central con retos independientes | Servicios vulnerables idénticos en la red de cada equipo |
Cómo se puntúa | Flags capturadas, ponderadas por dificultad | Flags robadas, servicios en pie, parches que aguantan |
Duración típica | 12 a 48 horas, casi siempre en línea | 8 a 10 horas, casi siempre presencial |
Qué premia | Amplitud entre categorías, profundidad individual | Coordinación, triaje bajo presión, criterio defensivo |
Ideal para | Aprender y construir habilidad | Equipos que ya están especializados |
El formato decide qué mide el evento: un tablero Jeopardy prueba el rango, un juego de defensa en vivo prueba cómo aguanta un equipo cuando lo están atacando de vuelta.
Categorías de retos CTF
Un tablero de CTF cubre un espectro amplio de disciplinas de seguridad, y la variedad es deliberada. El trabajo real de seguridad rara vez cabe en una sola casilla.
Las tareas de explotación web te entregan una aplicación y te piden hallar la falla que te deja entrar, desde inyección SQL hasta cross-site scripting. Los retos de criptografía te dan un cifrado, un protocolo o una primitiva mal usada para romper. La ingeniería inversa te da un binario sin código fuente y pregunta qué hace. La explotación de binarios va un paso más allá: entender el error de memoria y convertirlo en ejecución de código. Forense y esteganografía te entregan un volcado de memoria, una captura de tráfico o una imagen, con la flag escondida dentro.
Tres de esos clásicos corresponden directamente a debilidades que documentamos en trabajos reales con clientes.
Categoría de reto CTF | Debilidad en nuestro catálogo | Cómo se ve en un trabajo real |
Explotación web | Consultas dinámicas construidas concatenando entradas no confiables, sin parametrización | |
Explotación de binarios y sistemas | Una entrada externa que llega a un comando del sistema operativo y permite ejecutar código no autorizado | |
Inyección del lado del cliente | Contenido web generado dinámicamente desde una fuente que la aplicación nunca valida |
Las categorías de un tablero de CTF no son acertijos inventados. Son las mismas clases de debilidad que nuestros pentesters reportan a los clientes.
La diferencia está en cuánto del trabajo te regala el tablero. En el benchmark de Fluid Attacks de 36 herramientas AppSec de terceros contra un objetivo con 1.201 vulnerabilidades en 105 categorías CWE, un pentester reportó 1.076 verdaderos positivos, 89,6 % de recall con 100 % de precision, en 49 días. De esos, 743 hallazgos, el 61,9 % del total, los reportó el pentester y nadie más. En un tablero de CTF, una tarea existe porque alguien le puso una flag adentro. En producción, la mayor parte del hallazgo es decidir dónde mirar, y las categorías no te dan ningún mapa.
Por eso mismo las etiquetas de categoría son un indicador débil de habilidad. Dos tareas bajo el mismo encabezado pueden estar a tres escalones de dificultad de distancia, y quien resuelve todas las tareas web fáciles no demostró lo mismo que quien resolvió una difícil. Lee una tabla de posiciones por lo que se resolvió, no por cuántos encabezados tocó.
Los CTF en Fluid Attacks
Competimos, organizamos y construimos la matemática que clasifica los resultados. Cada una de esas tres cosas da una vista distinta de lo que un CTF puede y no puede decirte.
Qué organizamos y bajo qué reglas
El Fluid Attacks CTF es una competencia individual abierta a profesionales de seguridad, pentesters, estudiantes y entusiastas, sobre todo de Latinoamérica. Los participantes explotan escenarios de reto, envían flags en la plataforma y ven moverse el leaderboard en tiempo real. Van cuatro ediciones.
Edición | Fecha | Duración | Bolsa de premios | Jugadores | Retos |
2025-1 | 11 de octubre de 2025 | 24 horas | USD 1.000 | 73 | 20 |
2026-1 | 24 de enero de 2026 | 24 horas | USD 1.000 | 299 | 20 |
2026-2 | 4 de julio de 2026 | 12 horas | USD 3.500 | 267 | 21 |
2026-3 | 26 de septiembre de 2026 | 12 horas | USD 4.000 | 139 | 20 |
Cuatro más recientes ediciones del Fluid Attacks CTF. El evento está registrado en CTFtime y el Hall of Fame acumula puntajes entre ediciones.
El Salón de la Fama acumula los puntajes de todas las ediciones, no solo de la más reciente.
Competir, no solo organizar
En 2025 nuestro equipo entró al HTB Business CTF, un evento Jeopardy-Cloud-Fullpwn que corrió 96 horas continuas en 16 categorías. Simon Correa, nuestro Head of Research, lo describe como "a competition where participants work in teams to solve challenges sorted by category and difficulty". Frente a 795 equipos corporativos y 4.549 participantes, 14 de los nuestros sumaron 754 horas entre todos y resolvieron 59 de los 66 retos. El resumen de Correa:
"We ranked #1 in Latin America and #9 worldwide".
Eso no pasó de un salto. El mismo equipo quedó #80 del mundo en 2021 y #35 en 2024. Para profundizar: cómo se preparó nuestro equipo y qué exigió cada categoría.
Clasificar grupos de forma justa
Clasificar individuos en una tabla de posiciones es aritmética. Clasificar a las organizaciones a las que pertenecen, no. Como lo plantea Michael Rivera, nuestro Chief Data & AI Officer:
"The central issue of group evaluation […] is how to aggregate the results of participants".
Un promedio simple premia a la empresa que manda solo a sus tres mejores y castiga a la que manda cuarenta. Tomar el promedio de los tres mejores de cada grupo corrige ese incentivo, pero un grupo más grande sigue teniendo más probabilidad de contener a alguien de puntaje alto.
Nuestra respuesta es Top 3 over Expected con Bayesian shrinkage: dividir el promedio observado de los tres mejores del grupo entre el promedio que se esperaría de un grupo de ese mismo tamaño, con esa expectativa derivada de una simulación de Monte Carlo de 1.000 repeticiones sobre la distribución real de puntajes de la edición 2025. El shrinkage luego empuja a los grupos pequeños hacia la media, con una masa crítica fijada en cinco participantes. Para profundizar: el algoritmo completo, con las simulaciones.
Competir con IA y sin IA
Nuestras ediciones recientes parten la bolsa de premios en dos. La categoría AI-prohibited paga USD 1.800, 900 y 500 a los tres primeros puestos; la categoría AI-permitted paga 400, 300 y 100. Es el mismo tablero de retos, puntuado en dos carreras separadas.
La división existe porque las dos categorías responden preguntas distintas. La categoría AI-prohibited mide lo que una persona sabe sin asistencia. La categoría AI-permitted mide algo más cercano al trabajo que hoy hace la mayoría de ingenieros de seguridad. Juntarlas en una sola tabla habría vuelto ilegibles a las dos.
Las ediciones recientes puntúan los mismos retos dos veces: una para quienes juegan sin asistencia y otra para quienes usan IA.
Qué no mide el puntaje de un CTF
El tablero premia llegar a la flag. Un trabajo de seguridad premia llegar a la flag, y luego reproducirla, documentarla, calificar su severidad y explicársela al desarrollador que tiene que arreglarla. Nada de eso se puntúa.
Esa brecha es medible. Un análisis psicométrico de 2026 sobre cinco ediciones de un CTF nacional, con 94 retos, 58 equipos y 1.393 intentos de envío, halló estimaciones de confiabilidad entre 0,72 y 0,82, pero también que la ética, la comunicación y la gestión de riesgo no aparecieron en absoluto en la cobertura de competencias, y que los puntos asignados por los autores se correlacionaban solo débilmente con la dificultad observada. La conclusión de los autores es tajante: "reliability alone does not establish validity".
Eso lo aplicamos internamente. Los candidatos a nuestros cargos de pentesting sí enfrentan una entrevista práctica con retos de varias categorías, entre ellas revisión de código seguro y pruebas de aplicaciones web y móviles. Pero los retos son una parte de la evaluación, no la evaluación. Un buen resultado nos dice que alguien encuentra el error. No nos dice que pueda entregárselo a un cliente en una forma sobre la que el cliente pueda actuar.
Por qué importan las competencias CTF
Un CTF es la forma legal más barata de practicar seguridad ofensiva contra un sistema que tienes permiso de romper. Eso pesa más de lo que suena: las habilidades de ethical hacking son difíciles de construir sin un objetivo, y la mayoría de la gente no tiene uno.
Las instituciones tratan el formato como desarrollo de fuerza laboral, no como recreación. El NIST, a través de su iniciativa NICE, lista eventos CTF entre las competencias que sigue y anota que se "have become an increasingly popular way for students to learn more about cybersecurity and develop and refine their hacking skills". La ENISA organiza el European Cybersecurity Challenge con el mismo razonamiento, ganado por Suecia en Bochum en 2026, y coorganiza el International Cybersecurity Challenge, donde el Team Europe ya lleva cinco títulos consecutivos.
Nuestro pentester Óscar Uribe, que compitió en la ICC, es directo sobre cómo se arma un equipo para ese nivel:
"La idea de que haya varias personas en el equipo es que sean buenas en cosas distintas […] Idealmente, cada persona debería ser especialista".
Los eventos de élite lo confirman. La victoria de Carnegie Mellon en el DEF CON CTF 2025, la cuarta consecutiva y la novena histórica, salió de un campo de más de 2.300 equipos reducido a 12 finalistas, y el relato del propio equipo le atribuye tanto a la coordinación como a la técnica: "DEF CON CTF involves a lot of teamwork and communication".
Hay también un ángulo de contratación, y corta para los dos lados. Las firmas de seguridad sí buscan talento en los eventos grandes, y una clasificación visible le da a quien cambia de carrera algo concreto que mostrar cuando todavía no tiene historia profesional. Pero la señal es angosta. Un resultado en CTF le dice a un reclutador cómo se desempeña alguien en un problema acotado con respuesta conocida, en un fin de semana, casi siempre en solitario.
El límite honesto: la evidencia vincula la participación con el compromiso y la confianza percibida de forma más confiable que con competencia demostrada en el trabajo. Trata un buen resultado como una señal que vale la pena investigar, no como una credencial.
Dónde encontrar competencias CTF
CTFtime es el índice. Lista los eventos próximos con su formato, fechas y enlaces de registro, y le asigna a cada uno un peso que alimenta su clasificación de equipos. Según la propia fórmula de rating de CTFtime, ese peso depende de las tareas, la trayectoria de los organizadores, los equipos que se presentaron y el voto público, así que es un indicador de qué tan fuerte fue el campo y no una etiqueta de dificultad que eligió el organizador. Ordenar por ahí es la vía más rápida para que alguien nuevo encuentre un evento que pueda terminar de verdad, y la clasificación vigente de equipos es mejor referencia que cualquier top diez estático.
Para practicar entre eventos, CyLab Security Academy (antes picoCTF, de Carnegie Mellon), TryHackMe y Hack The Box ofrecen retos que puedes trabajar a tu ritmo. Toma esas plataformas como el gimnasio y un CTF en vivo como el partido: las plataformas te dejan reintentar para siempre, que es justo lo que un evento contrarreloj te quita. Trabajar una categoría ahí antes de entrar a un evento que la incluya es la manera más barata de no gastar una competencia entera atascado en una técnica que nunca usaste.
Las grandes conferencias organizan eventos insignia: DEF CON y BSides atraen competidores de todo el mundo. En Latinoamérica, mira Ekoparty en Argentina, JCUN y DragonJARCON en Colombia, PWNEDCR en Costa Rica, 8.8 en varios países, y el Fluid Attacks CTF, abierto a pentesters, red teamers, estudiantes y cualquiera que quiera la práctica.
Conclusiones
Un CTF es una competencia en la que resuelves retos de seguridad para capturar flags ocultas, en uno de dos formatos: un tablero Jeopardy que mide rango o un juego de defensa en vivo que mide cómo rinde un equipo mientras lo atacan. Un tablero de CTF tampoco son acertijos inventados. Sus categorías, entre ellas criptografía, ingeniería inversa, explotación de binarios y forense, corresponden a debilidades que aparecen en aplicaciones reales, incluidas las fallas de inyección SQL y ejecución de comandos que reportamos a clientes cada semana.
Lo que un CTF mide bien es el alcance técnico bajo presión de tiempo. Lo que no mide es todo lo que pasa después de la flag: reproducción, documentación, severidad y la conversación con quien tiene que arreglarlo. Instituciones como el NIST y la ENISA respaldan el formato como desarrollo de fuerza laboral, y la investigación lo respalda como práctica. Ninguna lo respalda como prueba de competencia.
Así que compite, organiza un CTF si puedes y estudia cómo funciona el puntaje antes de confiar en una tabla de posiciones. Solo no confundas el marcador con el trabajo.
Preguntas frecuentes
¿Qué es un CTF en ciberseguridad?
Un CTF es una competencia donde los participantes resuelven retos de seguridad para encontrar cadenas de texto ocultas llamadas flags. Los organizadores esconden esas flags en programas, sitios web o sistemas vulnerables a propósito. Cada tarea vale puntos según su dificultad, y gana el jugador o equipo con más puntos cuando se acaba el tiempo.
¿Cuál es la diferencia entre un CTF tipo Jeopardy y uno tipo Attack-Defense?
Un tablero Jeopardy le da a todos el mismo conjunto de retos independientes; el formato defensivo le da a cada equipo servicios vulnerables idénticos para parchear y explotar al mismo tiempo. Jeopardy premia la amplitud entre categorías y les sirve a los principiantes. El segundo formato premia la coordinación y el criterio defensivo, porque un servicio que rompes mientras parcheas te cuesta puntos.
¿Las competencias CTF preparan bien para un trabajo en ciberseguridad?
Son una preparación útil, no una credencial. El formato construye técnica práctica en un entorno legal, y los reclutadores sí miran los eventos grandes. Pero un análisis de 2026 sobre 94 retos en cinco ediciones de un evento nacional halló que la ética, la comunicación y la gestión de riesgo no aparecían en absoluto entre las competencias medidas. Esas son las partes del trabajo que vienen después de la flag.
¿Cómo puede un evento clasificar de forma justa a organizaciones de distinto tamaño?
Comparando cada grupo contra lo que se esperaría que puntuara un grupo de su tamaño, y no contra los otros grupos de forma directa. Fluid Attacks usa Top 3 over Expected con Bayesian shrinkage: el promedio de los tres mejores jugadores de un grupo, dividido entre el promedio esperado de los tres mejores para ese tamaño de grupo según una simulación de Monte Carlo de 1.000 repeticiones, con los grupos pequeños empujados hacia la media.
¿Fluid Attacks organiza su propio CTF?
Sí. El CTF de Fluid Attacks lleva varias ediciones, la más reciente en septiembre de 2026, con una bolsa de USD 4.000 repartida en 20 retos. Las ediciones recientes dividen los premios entre una categoría AI-prohibited y una AI-permitted. Pero nuestro equipo también compite en CTFs: en 2025 quedó primero en Latinoamérica y noveno en el mundo en el HTB Business CTF, entre 795 equipos corporativos.
Pon tus habilidades contra una superficie de ataque real
Nuestros pentesters y escáneres prueban tus aplicaciones como un jugador de CTF prueba un reto, salvo que las flags son vulnerabilidades reales en código de producción y no hay nadie garantizando que estén ahí. Prueba gratuita · Contáctanos.
Empieza ya con el PTaaS de Fluid Attacks
