¿Qué es Global Hack Map?
Global Hack Map recoge brechas de datos publicadas, reivindicaciones en sitios de filtración de ransomware, vulnerabilidades explotadas, paquetes maliciosos y caídas de conectividad a partir de 14 fuentes (el catálogo Known Exploited Vulnerabilities de CISA, NVD, CVE.org, CIRCL, FIRST EPSS, la GitHub Advisory Database, OSV, RansomLook, SEC EDGAR, IODA y otras) y las coloca en un globo de Mapbox. Cada incidente lleva un estado: Confirmed, Reported, Claimed, Precautionary o Disputed.
Una página "Am I affected?" comprueba manifiestos y lockfiles pegados contra OSV, un índice en `/cve` lista las CVE críticas de las últimas 72 horas y `/fix/<CVE>` sirve runbooks en texto plano que rellenan un prompt para Claude Code, Codex o Cursor. Un servidor MCP de solo lectura y `llms.txt` exponen los mismos datos a los agentes. Valyu aporta la extracción de noticias, las respuestas y los informes de DeepResearch; sin clave de Valyu el mapa sigue funcionando con los feeds públicos.
¿Merece la pena Global Hack Map?
Global Hack Map es la más cuidadosa de las apps de demostración de Valyu, y también la más nueva: el repositorio se creó el 2 de noviembre de 2026 y tenía 9 estrellas y 12 commits cuando lo revisamos. Agrega feeds en los que los equipos de seguridad ya confían, entre ellos CISA KEV, NVD, la GitHub Advisory Database y OSV, y su aportación principal es la presentación y el triaje, no datos nuevos.
El diseño se toma en serio la incertidumbre. Cada incidente se etiqueta como Confirmed, Reported, Claimed (afirmado en un sitio de filtraciones, sin verificar), Precautionary o Disputed, y el README dice sin rodeos que la ausencia de resultados nunca prueba que estés a salvo. Los incidentes se sitúan en la ciudad que nombran las noticias, en la sede de la organización o en el país, y nunca con más precisión de la que permiten las fuentes. Eso indica dónde está la víctima, no quién la atacó: un pin no es una atribución.
La ingeniería es más madura de lo que su edad sugiere. En producción las peticiones se limitan mediante Upstash Redis, y las API protegidas devuelven 503 si no se puede consultar el limitador en lugar de funcionar sin protección; la comprobación de stack del servidor MCP permite 10 llamadas por minuto y 60 por hora por IP. Los barridos programados se autentican con `CRON_SECRET`. Hay 11 archivos de tests. Sin clave de API de NVD, el feed de CVE nuevas queda limitado a 5 peticiones cada 30 segundos y recurre a CVE.org y CIRCL.
La pega: un resumen vale lo que su fuente más lenta. La instantánea se revalida a los 10 minutos y los feeds públicos a los 15, pero el README advierte de que los retrasos de origen y los datos de respaldo pueden dejar la vista más antigua o incompleta. Los rangos de versiones afectadas y las marcas de "explotada" deben contrastarse con la entrada de CISA o el aviso del fabricante antes de parchear o informar, y los enlaces de arreglo en un clic solo rellenan un prompt para un agente de programación; los cambios del agente siguen necesitando revisión.
Nuestra opinión: se gana una pestaña junto al catálogo de CISA para ver de un vistazo qué se está explotando esta semana, con el aviso original a un clic y tratado como la autoridad.
Dónde se gana su sitio
El responsable de TI de una empresa de 50 personas sin equipo de seguridad
Saber cada lunes si algo de lo que usamos se está explotando activamente
Elige los productos que usas en la página Am I affected? y lee las tarjetas Patch now; después confirma cada punto con el aviso de CISA o del fabricante enlazado antes de planificar el trabajo. Consultar la instancia pública no cuesta nada.
Un ingeniero de plataforma que mantiene varios servicios en Node y Python
Comprobar un lockfile contra vulnerabilidades conocidas y paquetes maliciosos
Pega package-lock.json o requirements.txt en la comprobación de stack, o llama a la herramienta check_stack del servidor MCP desde un agente de programación, con un tope de 10 llamadas por minuto. Los resultados salen de la base de datos de OSV.
Un analista de seguridad que escribe un informe semanal para la dirección
Separar las brechas confirmadas de los rumores antes de que lleguen al consejo
Filtra por estado para que los elementos Claimed y Disputed queden marcados como tales, y cita solo los registros y avisos originales que enlaza el mapa. Un informe de Valyu DeepResearch es un borrador de partida, cargado a la clave del despliegue.
Antes de decidirte
- Puesta en marcha
- Node 20+ y pnpm: `pnpm install`, copia `.env.example` a `.env.local` y `pnpm dev`. El mapa funciona con los feeds públicos solo con un token de Mapbox; la primera compilación de producción ejecuta una vez la canalización de datos, en torno a un minuto.
- Integraciones
- Servidor MCP de solo lectura en /api/mcp, llms.txt, runbooks en /fix/<CVE> y enlaces directos a Claude Code, Codex, Cursor, Claude y ChatGPT. valyu-js ^2.11.1 para noticias, respuestas y DeepResearch.
- Datos y privacidad
- Los manifiestos pegados se comprueban contra OSV; el selector de productos no necesita subir nada. Autoalojado por defecto; un modo opcional de cuenta Valyu factura los créditos propios de los visitantes con sesión iniciada. Código MIT; fuentes tipográficas bajo la SIL Open Font License.
- Coste a escala
- Alojamiento en Vercel con tareas cron cada seis horas y un informe diario a las 05:30 UTC, más Upstash Redis, un token de Mapbox y créditos de Valyu para las capas de noticias e informes. No hay plan alojado.
- Límites
- La instantánea se revalida a los 10 minutos y los feeds a los 15; no es tiempo real. NVD permite 5 peticiones cada 30 segundos sin clave; CIRCL, 20 por minuto de forma anónima y 40 con clave.
Lo bueno
- Etiqueta de estado de cinco niveles que separa brechas confirmadas de reivindicaciones en sitios de filtración
- Se nutre de 14 fuentes públicas, entre ellas CISA KEV, NVD, OSV y EPSS
- En producción, los límites de peticiones fallan de forma cerrada
- Servidor MCP de solo lectura y runbooks en texto plano para agentes
Lo malo
- Creado el 2 de noviembre de 2026; sin historial ni versiones publicadas
- La vista agregada puede ir con retraso o perder datos de origen
- Los enlaces de arreglo pasan un prompt a un agente; su resultado sigue necesitando revisión
- El despliegue en producción necesita Upstash Redis y un programador de tareas
Ideal para
Ingenieros de seguridad y responsables de TI que quieren una lectura visual rápida de las vulnerabilidades explotadas y las brechas de la semana, con las fuentes a un clic.
Alternativas a Global Hack Map
Global Hack Map: preguntas frecuentes
- ¿Merece la pena Global Hack Map?
- Inusualmente honesto sobre lo que sabe, y con apenas un día de vida; un buen panel para la mañana, no una fuente que citar. Le damos un 3.6 sobre 5.
- ¿Cuánto cuesta Global Hack Map?
- Gratuito bajo la licencia MIT. Autoalojarlo requiere un token de Mapbox; la capa de noticias y los informes de investigación consumen tus créditos de Valyu, y en producción hace falta Upstash Redis.
- ¿Qué inconvenientes tiene Global Hack Map?
- Creado el 2 de noviembre de 2026; sin historial ni versiones publicadas; la vista agregada puede ir con retraso o perder datos de origen; los enlaces de arreglo pasan un prompt a un agente; su resultado sigue necesitando revisión; el despliegue en producción necesita Upstash Redis y un programador de tareas.
- ¿Para quién es Global Hack Map?
- Ingenieros de seguridad y responsables de TI que quieren una lectura visual rápida de las vulnerabilidades explotadas y las brechas de la semana, con las fuentes a un clic.
- ¿Cuánto cuesta Global Hack Map para un equipo o en producción?
- Alojamiento en Vercel con tareas cron cada seis horas y un informe diario a las 05:30 UTC, más Upstash Redis, un token de Mapbox y créditos de Valyu para las capas de noticias e informes. No hay plan alojado.
- ¿Es Global Hack Map seguro para los datos de la empresa?
- Los manifiestos pegados se comprueban contra OSV; el selector de productos no necesita subir nada. Autoalojado por defecto; un modo opcional de cuenta Valyu factura los créditos propios de los visitantes con sesión iniciada. Código MIT; fuentes tipográficas bajo la SIL Open Font License.
- ¿Cuáles son las mejores alternativas a Global Hack Map?
- Las alternativas más cercanas que hemos analizado son cvENGINE y Global Threat Map.
Respuestas comprobadas el 3 nov 2026.