Qué es el hacking ético y cómo empezar en pentesting de forma legal

Qué es el hacking ético y qué es un pentest

El hacking ético es la práctica de evaluar la seguridad de sistemas, aplicaciones o redes usando las mismas técnicas que un atacante, pero con autorización de su responsable. Una prueba de penetración (pentest) es el encargo concreto: un periodo acotado en el que se busca, y se demuestra, qué debilidades se pueden aprovechar.

Lo que separa un pentest de un delito no es la técnica, es el permiso. Sin autorización firmada y un alcance definido, las mismas acciones pueden ser ilegales.

Autorización, alcance y reglas de enganche

Antes de lanzar ninguna prueba se acuerdan por escrito tres cosas:

• Autorización: quién da permiso y con qué responsabilidades.
• Alcance: qué sistemas, direcciones y horarios se pueden tocar, y cuáles quedan fuera.
• Reglas de enganche: qué técnicas están permitidas (por ejemplo, si se admiten pruebas que puedan interrumpir un servicio) y a quién avisar si algo sale mal.

Si durante la prueba aparece un sistema que no figura en el alcance, la respuesta correcta es parar y consultarlo, no seguir.

Modalidades: caja negra, gris y blanca

• Caja negra: el pentester no recibe información previa, como un atacante externo.
• Caja gris: recibe información parcial, por ejemplo credenciales de un usuario normal. Es la modalidad más común.
• Caja blanca: tiene acceso a código, arquitectura y documentación. Permite una revisión más profunda.

Las fases de una prueba de penetración

Existen varias metodologías. Una referencia muy usada es PTES, que ordena el trabajo así:

1. Preparación: acordar alcance, permisos y reglas de enganche.
2. Recopilación de información: reconocimiento pasivo y activo, incluyendo fuentes abiertas (OSINT), DNS y subdominios.
3. Modelado de amenazas: decidir qué activos importan más y por dónde sería más probable un ataque.
4. Análisis de vulnerabilidades: identificar debilidades con herramientas y revisión manual.
5. Explotación controlada: demostrar que una debilidad se puede aprovechar, con el menor impacto posible.
6. Post-explotación: valorar hasta dónde llegaría un atacante y qué datos quedarían expuestos.
7. Informe: describir los hallazgos, su riesgo y cómo corregirlos.

Pentest y escaneo de vulnerabilidades no son lo mismo

Un escaneo de vulnerabilidades es una revisión automática que lista posibles problemas. Un pentest va más allá: una persona valida cuáles son reales, los encadena y demuestra su impacto. Para priorizar se suele usar CVSS, un sistema de puntuación de la gravedad de cada vulnerabilidad, y para las aplicaciones web el OWASP Top 10, la lista de los riesgos más habituales.

El informe: lo que realmente se entrega

Encontrar una vulnerabilidad es la mitad del trabajo. El valor para el cliente está en un informe claro: resumen para la dirección, detalle técnico reproducible, nivel de riesgo y recomendaciones de corrección. Un buen pentester sabe explicar el problema a quien no es técnico.

Cómo empezar de forma legal

1. Aprende los fundamentos: redes, Linux y cómo funciona la web (HTTP, cookies, sesiones).
2. Practica solo en entornos que te lo permitan: laboratorios propios, máquinas creadas para aprender o plataformas de entrenamiento.
3. No pruebes nada en sistemas de terceros sin permiso, ni siquiera "solo para mirar".
4. Aprende a documentar: lo que no se registra bien no se puede reportar.
5. Estudia metodología (PTES, OWASP) además de herramientas: las herramientas cambian, el método permanece.

La ruta Hacking Ético y Pentesting de HackToGo empieza por la autorización y el alcance, y practica sobre escenarios simulados con evidencia sintética, sin tocar ningún sistema real.

Preguntas frecuentes