Ayer me quedé hasta las tantas, con la tercera taza de café ya fría sobre la mesa, dándole vueltas a una idea que me ronda la cabeza cada vez que leo una noticia sobre ciberataques. La verdad es que tenemos una visión de los hackers muy distorsionada por Hollywood: ese tipo con capucha en una habitación a oscuras, tecleando a una velocidad sobrehumana mientras letras verdes caen por la pantalla. Pero la realidad en las empresas españolas, desde una startup en el barrio de Gràcia hasta una multinacional del IBEX 35, es bastante más pragmática y, si me apuráis, mucho más interesante.
Estamos viviendo un momento curioso. Mientras medio país está pendiente de si la DANA de este agosto nos fastidia las vacaciones o de si el calor nos va a dar un respiro, hay un ejército silencioso de profesionales que se dedica, literalmente, a intentar hundir los sistemas de seguridad de las empresas que les pagan. Suena contradictorio, ¿verdad? Es como si contrataras a un ladrón de guante blanco para que intente entrar en tu casa, te robe las joyas y luego te deje una nota en la mesita de noche explicándote que la cerradura de la cocina es de juguete. Eso es, a grandes rasgos, el hacking ético.
Y es que, al final del día, la seguridad absoluta no existe. Es una quimera. Lo que sí existe es la gestión del riesgo. Las empresas se han dado cuenta de que sale mucho más barato pagar a un experto para que encuentre un agujero de seguridad hoy, que enfrentarse a una multa de la Agencia Española de Protección de Datos (AEPD) o a un rescate por ransomware mañana. Vaya, que prevenir sigue siendo mejor que curar, sobre todo cuando la cura te puede costar millones de euros y la reputación de toda una vida.
¿Hacker o delincuente? Una cuestión de permiso
A menudo usamos la palabra «hacker» con una carga negativa que no le corresponde. En el mundillo técnico, un hacker es simplemente alguien que tiene una curiosidad insaciable por entender cómo funcionan las cosas y, sobre todo, cómo hacer que funcionen de una manera para la que no fueron diseñadas. El matiz ético viene dado por la autorización. Si entras en un servidor sin permiso, eres un ciberdelincuente (o un «black hat»). Si lo haces con un contrato firmado, un alcance definido y el objetivo de ayudar, eres un hacker ético (un «white hat»).
Ojo con esto, porque la línea es delgada pero legalmente es un abismo. En España, el Código Penal es bastante claro al respecto. El acceso no autorizado a sistemas informáticos es un delito, punto. Por eso, los profesionales del hacking ético se blindan con contratos que parecen testamentos. No se trata solo de saber usar herramientas complejas, sino de tener una integridad a prueba de bombas. La confianza es la moneda de cambio en este sector.
La metodología del caos controlado
No creáis que esto de hackear una empresa es llegar y besar el santo. Hay un proceso, una liturgia casi, que se sigue a rajatabla. Si mal no recuerdo, la mayoría de los manuales de certificación como el CEH (Certified Ethical Hacker) dividen el proceso en varias fases que, aunque suenen muy técnicas, tienen mucha lógica común.
- Reconocimiento (Reconnaissance): Es la fase de espionaje puro y duro. Aquí el hacker no toca nada, solo observa. Busca información en fuentes abiertas (lo que llamamos OSINT). Mira los perfiles de LinkedIn de los empleados, busca correos electrónicos filtrados en la Dark Web o analiza las tecnologías que usa la web de la empresa. Es como estudiar los horarios de los guardias de seguridad antes de un atraco.
- Escaneo y enumeración: Aquí ya empezamos a «tocar» la puerta. Se usan herramientas para ver qué puertos están abiertos, qué servicios están corriendo y si hay alguna versión de software desactualizada que tenga vulnerabilidades conocidas. Es el equivalente a ir probando todas las ventanas de un edificio para ver cuál se ha quedado mal cerrada.
- Ganar acceso: Este es el momento del «¡Eureka!». Se explota la vulnerabilidad encontrada. Puede ser un fallo en el código, una contraseña débil o, lo más común, un error humano.
- Mantener el acceso: Una vez dentro, el hacker ético intenta ver cuánto tiempo podría quedarse sin ser detectado. Esto es vital porque los ciberdelincuentes reales suelen pasar meses dentro de una red antes de actuar.
- Análisis y reporte: Esta es la parte que menos sale en las películas pero la más importante. El hacker escribe un informe detallado explicando qué ha hecho, cómo lo ha hecho y, lo más importante, cómo arreglarlo.
La verdad es que el valor real no está en entrar, sino en el informe posterior. Un buen pentester (que es como llamamos a los que hacen tests de penetración) no es el que rompe más cosas, sino el que mejor explica cómo evitar que se rompan de nuevo.
El factor humano: el eslabón más débil (y el más difícil de parchear)
Podemos gastarnos millones en el mejor firewall del mercado, tener los servidores en un búnker bajo tierra y usar cifrado de grado militar. Todo eso no sirve de nada si un empleado pincha en un enlace que dice «Mira las fotos de la cena de empresa» en un correo que parece venir de Recursos Humanos. La ingeniería social es, con diferencia, la técnica más efectiva y la que más quebraderos de cabeza da a los departamentos de IT en España.
Me contaba hace poco un amigo que trabaja en ciberseguridad en Madrid una anécdota curiosa. Hicieron una prueba de hacking ético en una oficina física. ¿Sabéis cómo entraron? No fue con un virus informático. Simplemente, uno de los auditores se vistió con un mono de una conocida empresa de mensajería, cogió una caja vacía y entró por la puerta principal con una sonrisa y un «buenos días». Nadie le pidió identificación. Le dejaron pasar hasta la zona de servidores porque «venía a entregar un paquete urgente». Una vez allí, solo tuvo que conectar un pequeño dispositivo USB (un Rubber Ducky) y ya estaba dentro de la red interna.
Esto nos enseña que el hacking ético no solo va de bits y bytes, sino de psicología. A veces, el mejor «exploit» es la amabilidad o la prisa de la gente. Por eso, las auditorías modernas incluyen cada vez más pruebas de phishing simulado y ataques de ingeniería social física.
Herramientas del oficio: un vistazo al maletín digital
Para los que tengáis curiosidad técnica, el hacking ético no es magia, es técnica y herramientas bien aplicadas. La mayoría de estos profesionales usan distribuciones de Linux especializadas, siendo Kali Linux o Parrot OS las reinas del baile. Son sistemas operativos que vienen «tuneados» con cientos de herramientas preinstaladas.
Si echamos un ojo a lo que suelen usar, nos encontramos con nombres que a los informáticos les resultarán familiares, pero que para el resto suenan a chino:
- Nmap: Es el estándar para descubrir qué hay en una red. Te dice qué dispositivos están conectados y qué servicios ofrecen. Es como el radar de un barco.
- Burp Suite: La herramienta estrella para hackear aplicaciones web. Se pone en medio de tu navegador y el servidor, permitiéndote ver y modificar todo lo que se envía. Es increíble lo que puedes descubrir si cambias un «id=10» por un «id=11» en la barra de direcciones si la web no está bien programada.
- Metasploit: Un framework que contiene miles de exploits ya listos para usar. Es un poco el «arma pesada» del kit.
- Wireshark: Para «escuchar» lo que viaja por el aire o por los cables. Si la información no va cifrada (ojo con las redes Wi-Fi abiertas de las cafeterías), Wireshark lo ve todo.
Para que nos entendamos, estas herramientas son como el bisturí de un cirujano. En manos de un experto, salvan vidas (o empresas). En manos de alguien con malas intenciones, pueden causar un desastre. Por eso, aprender a usarlas conlleva una responsabilidad ética enorme.
Un pequeño ejemplo de código (con fines educativos, claro)
Imaginad una página web típica de una tienda online española. Tienen un buscador. Si el programador ha tenido un mal día y no ha limpiado bien lo que el usuario escribe, podríamos estar ante una Inyección SQL. No os asustéis por el nombre, es básicamente «engañar» a la base de datos.
Si el código interno de la web hace algo como esto:
query = "SELECT * FROM productos WHERE nombre = '" + input_usuario + "'";Y yo, como hacker ético, en el buscador escribo: ' OR '1'='1, la consulta final que recibe la base de datos se convierte en:
SELECT * FROM productos WHERE nombre = '' OR '1'='1';Como ‘1’ siempre es igual a ‘1’, la base de datos se confunde y nos devuelve todos los productos, o peor aún, si lo hacemos en el formulario de login, podría dejarnos entrar sin contraseña. Es un error de primero de carrera, pero os sorprendería la de veces que nos lo seguimos encontrando en sistemas que manejan datos sensibles. La labor del hacker ético es encontrar estos «descuidos» antes de que alguien los use para vaciar la base de datos de clientes.
El mercado del hacking ético en España: ¿Hay futuro aquí?
La respuesta corta es: sí, y mucho. La respuesta larga es que estamos ante una de las profesiones con más demanda y menos paro del país. Las empresas españolas se han puesto las pilas, en parte por miedo y en parte por normativa. El Esquema Nacional de Seguridad (ENS) y el Reglamento General de Protección de Datos (RGPD) han obligado a que la seguridad deje de ser «cosa de los de informática» para ser una prioridad de la directiva.
Empresas como Telefónica, con su unidad de ciberseguridad (Telefónica Tech), o consultoras potentes están constantemente buscando talento. Y no solo ellas. El sector bancario español, que es puntero a nivel tecnológico, invierte cantidades ingentes en equipos de «Red Team» (los que atacan) y «Blue Team» (los que defienden).
Pero no todo es trabajar para una gran corporación. Existe un modelo de negocio que me parece fascinante: los Bug Bounties. Plataformas como HackerOne o Bugcrowd permiten que empresas de todo el mundo (incluyendo algunas españolas) pongan sus sistemas a prueba de forma pública. Si encuentras un fallo y lo reportas correctamente, te pagan una recompensa. Hay gente que vive muy bien de esto, trabajando desde su casa en un pueblo de la sierra o en un piso frente al mar, cazando errores de seguridad por todo el planeta.
¿Cómo se forma uno para ser el «bueno» de la película?
Aquí no hay un camino único. Conozco a hackers éticos que son ingenieros informáticos con tres másteres y a otros que son autodidactas que aprendieron a base de romper sus propios ordenadores de adolescentes. Sin embargo, si alguien quiere profesionalizarse hoy en día en España, hay ciertas paradas obligatorias.
Las certificaciones son el lenguaje que entienden los departamentos de Recursos Humanos. El OSCP (Offensive Security Certified Professional) es probablemente el examen más temido y respetado. No es un examen tipo test; te dan 24 horas para hackear varias máquinas en un entorno controlado y otras 24 para escribir el informe. Es una maratón de nervios y cafeína, pero si lo sacas, demuestras que sabes de qué hablas.
Además, en España tenemos la suerte de contar con una comunidad muy activa. Eventos como la RootedCON en Madrid son el punto de encuentro donde se comparte conocimiento sin tapujos. Es impresionante ver cómo la gente, de forma desinteresada, explica sus hallazgos para que todos podamos aprender. Ese espíritu de comunidad es lo que realmente hace avanzar la ciberseguridad.
La ética en el hacking: más allá del nombre
A veces me preguntan: «¿Pero de verdad te puedes fiar de alguien que sabe cómo robarte?». Es una pregunta legítima. La clave reside en el código deontológico. Un hacker ético tiene límites que un delincuente no tiene. Por ejemplo, si durante una auditoría encuentra datos personales de empleados, no los mira, no los copia y, por supuesto, no los difunde. Se limita a demostrar que podría haber llegado hasta ellos.
La transparencia es fundamental. Cada paso que da el auditor debe quedar registrado. Si algo se rompe durante la prueba (porque sí, a veces las cosas se rompen cuando las pones al límite), el cliente debe saberlo al instante. No se trata de jugar a ser dioses, sino de ser profesionales rigurosos.
La verdad es que, a menudo, el trabajo del hacker ético es un poco ingrato. Si haces bien tu trabajo y evitas que pase algo, nadie se entera. Solo se habla de ciberseguridad cuando algo falla, cuando vemos en las noticias que tal hospital o cual ayuntamiento ha sido bloqueado por un virus. Es la paradoja del preventivista: tu éxito es que no pase nada.
El futuro: IA y la carrera armamentística digital
No puedo terminar este artículo sin mencionar al elefante en la habitación: la Inteligencia Artificial. Si nosotros usamos la IA para escribir código más rápido o para analizar datos, los malos la usan para crear malware que cambia su forma para no ser detectado o para redactar correos de phishing tan perfectos que ni el ojo más entrenado dudaría de ellos.
Esto nos lleva a una nueva era del hacking ético. Ahora ya no solo buscamos fallos en el código humano, sino también vulnerabilidades en los propios modelos de IA. Es lo que se llama «Adversarial Machine Learning». Estamos enseñando a las máquinas a defenderse de otras máquinas. Suena a ciencia ficción, pero está pasando ahora mismo en laboratorios de ciberseguridad de Barcelona, Madrid y Valencia.
La IA también está ayudando a los hackers éticos a automatizar las tareas más aburridas, permitiéndoles centrarse en lo que realmente requiere ingenio humano: la creatividad del ataque. Porque, al final, hackear es un proceso creativo. Es ver el mundo de una forma distinta, encontrar el camino que nadie más ha visto.
Reflexiones finales desde el teclado
Al final del día, el hacking ético es una pieza fundamental de nuestra sociedad digital. En un mundo donde nuestras vidas, nuestro dinero y nuestra salud dependen de sistemas informáticos, necesitamos a estos «guardianes» que se atreven a mirar en los rincones oscuros de la tecnología.
Si eres una empresa, no veas el hacking ético como un gasto, sino como un seguro de vida. Y si eres un joven curioso que está empezando a trastear con la consola de comandos, recuerda que el verdadero poder no está en destruir, sino en comprender y proteger. El camino es largo, requiere estudiar mucho y dormir poco, pero la satisfacción de encontrar ese fallo crítico que salva a una organización de un desastre es difícil de explicar.
Vaya, que después de todo este rollo que os he soltado, espero que la próxima vez que oigáis la palabra «hacker» no penséis en un delincuente, sino en ese profesional que, probablemente, esté ahora mismo tomándose su quinto café mientras intenta que el mundo digital sea un lugar un poquito más seguro para todos nosotros. Yo, por mi parte, voy a por la cuarta taza, que el código no se audita solo.
Deja una respuesta