El hacking abarca realidades muy diferentes según quién lo ejerza, en qué marco y con qué autorización. Entre la prueba de intrusión encargada por una empresa y la explotación maliciosa de una vulnerabilidad, las técnicas son similares, pero el marco jurídico y la intención divergen radicalmente. Medir estas diferencias permite entender por qué la ciberseguridad se apoya cada vez más en hackers autorizados para proteger sus sistemas.
Seguridad por diseño: lo que el Cyber Resilience Act cambia para el hacking ético
Los competidores abordan el hacking ético como una práctica de prueba puntual. El marco regulatorio europeo ha desplazado el enfoque. El Cyber Resilience Act (CRA) de la Unión Europea impone a los fabricantes de productos conectados una lógica de seguridad “por defecto” y “por diseño”, con la obligación de tratar las vulnerabilidades a lo largo del ciclo de vida del producto.
Esta exigencia transforma el papel del hacker ético. Ya no se trata solo de simular un ataque en un perímetro definido y luego entregar un informe. Los investigadores de seguridad intervienen ahora en las fases iniciales, desde la fase de desarrollo, para verificar que los componentes de software (incluidas las dependencias de código abierto) cumplen con las obligaciones del CRA.
El ecosistema europeo de divulgación coordinada de vulnerabilidades se ha estructurado en paralelo. Los recursos disponibles en hucky.org documentan esta evolución donde los CSIRT nacionales y la ENISA sirven como puntos de coordinación, con una base europea de vulnerabilidades operativa desde 2025. Informar sobre una falla en Europa ahora sigue un circuito formalizado, lo que asegura jurídicamente el trabajo de los hackers éticos.
Hacking ético contra piratería maliciosa: comparación de prácticas
Las herramientas son a menudo las mismas. Lo que distingue una prueba de intrusión autorizada de un ataque criminal se basa en cuatro criterios documentados en la mayoría de los marcos de ciberseguridad.
| Criterio | Hacking ético (white hat) | Piratería maliciosa (black hat) |
|---|---|---|
| Autorización | Contrato escrito con el propietario del sistema | Ninguna autorización |
| Périmetro | Alcance, objetivos y ventana temporal definidos | Sin límites, explotación oportunista |
| Impacto en los servicios | Diseñado para minimizar las perturbaciones | Perturbación buscada o ignorada |
| Resultado | Informe de remediación con recomendaciones | Robo de datos, despliegue de ransomware, reventa |
La autorización escrita del propietario del sistema es el único elemento que separa legalmente las dos prácticas. Un pentester que excede el perímetro definido en su contrato se convierte en ilegal, incluso si su intención sigue siendo defensiva.
Los hackers llamados “grey hat” se sitúan entre ambos. Identifican vulnerabilidades sin autorización previa y luego informan a la empresa afectada. Esta práctica sigue siendo jurídicamente arriesgada en la mayoría de las jurisdicciones europeas, a pesar de la estructuración de los dispositivos de divulgación coordinada.
Vulnerabilidades de sistemas y factor humano: dónde se concentran los ataques
Una idea común es pensar que los ataques informáticos explotan principalmente vulnerabilidades técnicas en los sistemas. Los datos del terreno muestran un panorama más matizado.
Los problemas de seguridad informática a menudo provienen de la falta de concienciación de los usuarios, no solo de vulnerabilidades de software. El phishing, la ingeniería social y la reutilización de contraseñas comprometidas siguen siendo vectores de ataque que no requieren ninguna explotación técnica sofisticada.
El hacking ético abarca estas dos dimensiones. Una prueba de intrusión completa generalmente incluye:
- Intentos de explotación de vulnerabilidades técnicas en los sistemas, redes y aplicaciones web de la empresa
- Campañas de phishing simuladas para evaluar la capacidad de respuesta de los colaboradores ante correos electrónicos fraudulentos
- Pruebas de acceso físico (intentos de intrusión en las instalaciones, conexión de USB infectadas) para medir los controles no digitales
Sin embargo, la mayoría de las empresas que encargan una auditoría de seguridad se limitan al aspecto técnico. La auditoría de la cadena de suministro de software sigue siendo poco practicada a pesar de la ampliación del perímetro regulatorio a componentes de terceros y dependencias de código abierto impuesta por el CRA.
Profesiones de la ciberseguridad: competencias técnicas y niveles de remuneración
El sector de la ciberseguridad sufre de un marcado desequilibrio entre la oferta y la demanda. En Francia, más de 100,000 puestos en ciberseguridad permanecen sin cubrir. Este déficit alimenta una presión salarial al alza en toda la industria.
Los perfiles buscados abarcan un amplio espectro:
- Pentester (tester de intrusión): dominio de técnicas de explotación, herramientas de auditoría de red y lenguajes de scripting. Remuneración al inicio de la carrera alrededor de 42,000 euros brutos anuales
- Analista SOC (Centro de Operaciones de Seguridad): monitoreo en tiempo real de eventos de seguridad, análisis de alertas y respuesta a incidentes
- RSSI (Responsable de la Seguridad de la Información): dirección de la estrategia de seguridad de una empresa, perfil senior cuya remuneración puede alcanzar los 130,000 euros brutos anuales
La base técnica común a estas profesiones se basa en la comprensión de sistemas operativos (Linux en particular), protocolos de red y al menos un lenguaje de programación. La especialización ocurre después de esta base, no antes.
Conformidad del producto y divulgación de vulnerabilidades: el nuevo perímetro del hacker ético
El hacking ético ya no se limita a la prueba de intrusión clásica. La obligación de documentar y dominar la cadena de suministro de software, incluidos los componentes de código abierto integrados, acerca esta disciplina a la auditoría de la cadena de suministro de software.
Un investigador de seguridad que descubre una vulnerabilidad en un componente de terceros utilizado por miles de productos conectados desencadena un proceso de coordinación que involucra al fabricante, al CSIRT nacional competente y potencialmente a la ENISA. Este circuito formalizado reduce el riesgo de divulgación salvaje, pero impone a los hackers éticos conocer los procedimientos regulatorios además de las técnicas de explotación.
El hacking ético se ha convertido en un tema de conformidad del producto, no solo en una práctica de prueba puntual. Las empresas que integran a investigadores de seguridad desde el diseño de sus productos conectados cumplen simultáneamente con los requisitos del CRA y reducen su superficie de ataque. Aquellas que continúan tratando la seguridad como una verificación final se exponen a incumplimientos regulatorios y a vulnerabilidades explotables en producción.
