Aviso sobre el contenido de este artículo: Este artículo tiene carácter exclusivamente educativo e informativo. Su finalidad es la concienciación sobre ciberseguridad y el conocimiento de técnicas de defensa y peritaje digital. No proporciona instrucciones para realizar actividades ilegales ni promueve el acceso no autorizado a sistemas informáticos. Cualquier uso inapropiado de la información aquí publicada es responsabilidad exclusiva del usuario y puede constituir un delito bajo el Código Penal español (arts. 197 bis y siguientes). Si necesitas peritaje informático o asesoramiento legal ante un incidente de seguridad, contacta con CiberPerito360.
El hacking ético —también conocido como penetration testing o pentesting— es la práctica de intentar vulnerar la seguridad de un sistema informático con el objetivo de encontrar y corregir sus vulnerabilidades antes de que lo hagan los ciberdelincuentes. En España, la diferencia entre un hacker ético y un criminal informático no está en las técnicas que utiliza, sino en el consentimiento y el propósito. El perito informático conoce perfectamente esta distinción y actúa siempre dentro del marco legal.
¿Qué es el Hacking Ético?
El hacking ético consiste en simular los ataques que realizaría un ciberdelincuente real contra los sistemas de una organización, con el pleno consentimiento y encargo de esa organización, y con el objetivo exclusivo de mejorar su seguridad. Los resultados se documentan en un informe confidencial y se usan para corregir las vulnerabilidades encontradas.
El Marco Legal: ¿Cuándo es Legal Hackear un Sistema?
En España, el acceso no autorizado a sistemas informáticos está tipificado en el artículo 197 bis CP. La clave de la legalidad es el consentimiento informado y documentado del propietario del sistema. Sin él, incluso con buenas intenciones, el acceso a un sistema ajeno es ilegal. Los elementos que debe tener un encargo de pentesting legal son:
- Contrato escrito firmado por el propietario del sistema
- Alcance claramente definido (qué sistemas pueden atacarse)
- Ventanas temporales autorizadas
- Procedimiento de comunicación de incidentes durante el test
- Cláusula de confidencialidad
El Perito Informático como Hacker Ético en Investigaciones
En algunos contextos judiciales, el perito puede ser encargado de demostrar que un sistema era vulnerable o que un determinado ataque era técnicamente posible, lo que puede ser relevante para determinar la responsabilidad de las partes. Este trabajo siempre se realiza en entornos controlados y con las autorizaciones pertinentes.
Preguntas Frecuentes sobre Hacking Ético y Legal
¿Puede un particular hacerse «pentest» de sus propios sistemas en casa?
Sí, siempre que sean sistemas de su propiedad exclusiva. Si el sistema está en una red compartida (como en un hosting), el pentest podría afectar a terceros sin consentimiento, lo que lo haría ilegal. Consulta siempre con tu proveedor antes de realizar pruebas de seguridad.
¿Qué certificaciones tiene un hacker ético profesional?
Las más reconocidas internacionalmente son: CEH (Certified Ethical Hacker), OSCP (Offensive Security Certified Professional), GPEN (GIAC Penetration Tester) y CREST. En España, el esquema de certificación del CCN (Centro Criptológico Nacional) también reconoce profesionales de ciberseguridad.
¿Puede un empleado de la empresa hacer pentesting sin autorización explícita?
No. Incluso siendo empleado, el acceso a sistemas o la realización de pruebas sin autorización expresa puede ser ilegal y puede acarrear consecuencias disciplinarias y penales. Siempre debe existir una autorización documentada.
¿Qué pasa si durante un pentest encuentro vulnerabilidades graves?
Deben reportarse al cliente inmediatamente según el protocolo acordado, sin explotar las vulnerabilidades más allá de lo necesario para demostrarlas. Si el pentester descubre indicios de delitos activos (como evidencia de que el sistema ya ha sido comprometido por terceros), debe comunicarlo al cliente que decidirá si denunciar.
¿Pueden los bug bounty programs (programas de recompensa) crear responsabilidad legal?
Generalmente no, si se respetan estrictamente las reglas del programa. Sin embargo, si el investigador va más allá del alcance definido, puede incurrir en responsabilidad penal incluso existiendo un bug bounty. Es fundamental leer y respetar las reglas de participación.
¿Necesitas una auditoría de seguridad o quieres saber si tu empresa sería vulnerable a un ciberataque? Consulta con nuestro equipo para un análisis profesional y legal.
Amelia Pérez
Analista de ciberseguridad y consultora en protección de datos personales (RGPD). Licenciada en Ingeniería Informática con máster en Ciberseguridad. Especialista en análisis de amenazas digitales, gestión de incidentes de seguridad y protección de la privacidad online. Colabora con Ciberperito360 en la elaboración de informes técnicos y la divulgación sobre seguridad digital.