Definición
El hacking ético es la práctica de atacar sistemas, redes o aplicaciones de forma controlada y autorizada para descubrir vulnerabilidades. Su forma más habitual es el pentesting o prueba de penetración: un ejercicio acotado en el que un profesional intenta comprometer los sistemas de una empresa y documenta cómo lo ha conseguido y cómo evitarlo.
La diferencia con un ciberdelincuente no está en la técnica, sino en tres cosas: autorización, límites acordados y confidencialidad de lo encontrado.
Hacking ético, auditoría y análisis de vulnerabilidades
- Análisis de vulnerabilidades: uso de herramientas automáticas para detectar fallos conocidos. Es rápido y barato, pero genera falsos positivos y no comprueba si los fallos son explotables.
- Pentesting: un profesional intenta explotar de verdad las vulnerabilidades, encadenarlas y llegar lo más lejos posible, como haría un atacante.
- Auditoría de seguridad: revisión más amplia que puede incluir lo anterior, además de configuraciones, políticas, copias de seguridad y cumplimiento normativo.
Tipos de pentest según la información de partida
Caja negra
El auditor no recibe información previa, como un atacante externo real. Es el más realista, pero puede dejar zonas sin revisar.
Caja gris
El auditor tiene acceso parcial, por ejemplo las credenciales de un usuario normal. Simula a un empleado o a un atacante que ya ha robado una cuenta. Suele ser el mejor equilibrio para pymes.
Caja blanca
El auditor conoce la arquitectura, el código y las configuraciones. Es el más exhaustivo.
Tipos según el objetivo
- Externo: lo que se ve desde Internet (web, servidores, VPN, correo).
- Interno: qué podría hacer alguien conectado a la red de la oficina.
- Aplicaciones web y móviles.
- Wi-Fi.
- Ingeniería social: campañas de phishing simuladas o pruebas de acceso físico, siempre con autorización expresa.
Fases de un pentest
- Acuerdo y alcance: qué se prueba, qué no, en qué fechas y con qué límites. Todo por escrito.
- Reconocimiento: recopilación de información pública y técnica sobre el objetivo.
- Análisis: identificación de servicios y posibles vulnerabilidades.
- Explotación: intento controlado de aprovechar los fallos.
- Post-explotación: comprobar hasta dónde se podría llegar, como acceder a datos o moverse a otros sistemas, sin causar daño.
- Informe: hallazgos priorizados por riesgo, pruebas y recomendaciones claras de corrección.
- Verificación: nueva prueba tras las correcciones para confirmar que se han resuelto.
Marco legal en España
Acceder sin autorización a un sistema informático es delito en España (artículo 197 bis del Código Penal), aunque la intención sea buena. Por eso un hacker ético siempre trabaja con una autorización escrita del propietario de los sistemas que delimita el alcance. Si los sistemas son de un tercero, como un hosting o un proveedor en la nube, hay que revisar también sus condiciones. Además, como el auditor puede acceder a datos personales, debe firmarse un acuerdo de confidencialidad y de encargado de tratamiento conforme al RGPD.
Cómo elegir a un profesional
- Experiencia demostrable y referencias.
- Certificaciones reconocidas del sector, como OSCP, CEH o eJPT, entre otras.
- Un contrato con alcance, confidencialidad y responsabilidades claras.
- Un informe de ejemplo comprensible, con una parte ejecutiva para dirección y otra técnica.
- Disponibilidad para ayudar a corregir, no solo para entregar un PDF.
¿Cada cuánto hacer un pentest?
Como referencia, una vez al año y siempre que haya cambios importantes: una web o aplicación nueva, una migración a la nube o una ampliación de la red. Para muchas pymes, empezar por una auditoría de ciberseguridad con análisis de vulnerabilidades es el primer paso razonable antes de un pentest completo.
Preguntas frecuentes
¿Qué hace un hacker ético?
Ataca los sistemas de una empresa con su permiso y dentro de unos límites acordados para encontrar vulnerabilidades, demostrar su impacto y explicar cómo corregirlas.
¿Es legal el hacking ético en España?
Sí, siempre que exista una autorización expresa y por escrito del propietario de los sistemas. Sin ella, acceder a un sistema ajeno es delito según el artículo 197 bis del Código Penal.
¿Qué diferencia hay entre un pentest y un análisis de vulnerabilidades?
El análisis de vulnerabilidades detecta fallos con herramientas automáticas. El pentest va más allá: un profesional intenta explotarlos de verdad para comprobar su impacto real.
Manuel Marco Sánchez
Arquitecto de ciberseguridad con más de 15 años de experiencia en hacking ético, redes, blockchain e IA. Ponente en el Congreso Internacional Blockchain (CIBTC).