Hackers, hacking ético, investigación de seguridad y ciberseguridad.
La palabra hacker lleva décadas cargada de significados distintos. Para algunas personas describe a alguien con gran curiosidad técnica, capaz de entender un sistema y llevarlo más allá de lo previsto. Para otras es casi sinónimo de ciberdelincuente. Entre ambos extremos están los investigadores de seguridad, pentesters, equipos de red team, participantes en programas de recompensas por vulnerabilidades y, por supuesto, quienes realmente atacan sistemas sin autorización.
Buena parte de la confusión viene de mezclar tres cosas diferentes: habilidad técnica, autorización e intención. Saber encontrar una vulnerabilidad no nos dice por sí solo si una persona está actuando de forma legítima, profesional, irresponsable o delictiva.
En este artículo vamos a separar esos conceptos, revisar las conocidas etiquetas white hat, gray hat y black hat, desmontar algunos mitos y explicar cómo se realiza, a grandes rasgos, una prueba de seguridad autorizada.
No existe una única definición aceptada en todos los contextos. El Internet Security Glossary del IETF conserva el sentido histórico del término: una persona con gran interés por los computadores que disfruta aprendiendo, programando y experimentando con ellos. El mismo documento distingue ese uso de cracker, palabra que históricamente se empleó para describir a quien intenta romper la seguridad de sistemas ajenos y obtener acceso no autorizado.
Sin embargo, el lenguaje evolucionó. En medios de comunicación, documentación institucional y conversaciones cotidianas, hacker también se utiliza para hablar de intrusos. NIST, por ejemplo, recoge en uno de sus glosarios una definición centrada en el usuario no autorizado y, en materiales divulgativos, diferencia entre white hats y black hats.
Por eso es mejor fijarse en el contexto que discutir cuál de las dos definiciones es la única “correcta”. En Universo Digital utilizaremos hacker como término amplio para personas que exploran sistemas en profundidad y especificaremos después si hablamos de investigación autorizada, pruebas profesionales, actividad no autorizada o ciberdelincuencia.
El hacking ético o las pruebas de penetración profesionales parten de una diferencia esencial: la autorización. Un pentester no escoge por su cuenta una empresa y comienza a probar sus sistemas porque crea que puede ayudarla. Trabaja dentro de un alcance acordado, con reglas, horarios, sistemas permitidos y límites claros.
Lo mismo ocurre con un programa de bug bounty o una política de divulgación de vulnerabilidades. El investigador debe conocer qué activos están dentro del programa, qué técnicas están permitidas, qué actividades quedan excluidas y cómo reportar el hallazgo.
CISA promueve precisamente las políticas de divulgación de vulnerabilidades para que las organizaciones indiquen de forma clara cómo puede investigarse y reportarse un fallo de buena fe. En Estados Unidos, el Departamento de Justicia también distingue la investigación de seguridad realizada de buena fe de una intrusión con fines maliciosos. Aun así, las leyes cambian según el país y el contexto, por lo que tener buenas intenciones no sustituye una autorización ni convierte automáticamente una actividad en legal.
La clasificación por “sombreros” es muy conocida y resulta útil para una explicación inicial, pero no debe confundirse con una taxonomía oficial de la ciberseguridad. Sirve sobre todo para hablar de intención y autorización.
Un white hat trabaja para mejorar la seguridad de sistemas dentro de un marco autorizado. Puede ser pentester, investigador, consultor, miembro de un red team o participante de un programa de recompensas. NIST utiliza también este término para describir a especialistas que prueban sistemas con el objetivo de evaluar y mejorar su seguridad.
Lo que define ese trabajo no es llevar una sudadera, utilizar Linux ni dominar una herramienta concreta, sino la combinación de conocimientos técnicos, reglas de actuación, autorización y responsabilidad profesional.
La etiqueta black hat suele utilizarse para quien vulnera sistemas sin autorización y con intención maliciosa o beneficio ilícito: robo de información, fraude, extorsión, distribución de malware, espionaje, sabotaje u otras formas de ciberdelincuencia.
En un texto técnico o jurídico es normalmente más preciso hablar de atacante, intruso, actor de amenazas o ciberdelincuente según el caso. “Black hat” es una etiqueta divulgativa, no una categoría legal.
Gray hat es probablemente la etiqueta más problemática. Suele describir a alguien que descubre o prueba vulnerabilidades sin intención de causar daño, pero también sin autorización previa. A veces informa después al propietario del sistema; otras veces publica el hallazgo.
El problema es que la ausencia de una intención maliciosa no elimina automáticamente los riesgos técnicos, éticos o legales. Una prueba no autorizada puede interrumpir servicios, acceder a datos ajenos o quedar fuera de una política de divulgación. Por eso un investigador responsable debe conocer y respetar el alcance autorizado antes de comenzar.
Script kiddie es un término despectivo utilizado para describir a una persona con pocos conocimientos que emplea herramientas, scripts o exploits desarrollados por otros sin comprender bien cómo funcionan. El IETF recoge el término dentro de su glosario de seguridad, pero no representa una profesión ni una categoría formal.
Conviene recordar algo: todos comenzamos sin experiencia. Utilizar herramientas creadas por otros es completamente normal; prácticamente toda la informática se construye sobre software previo. El problema aparece cuando alguien ejecuta herramientas ofensivas sin comprender su efecto, especialmente contra sistemas que no tiene permiso para probar.
Newbie significa simplemente principiante. No es realmente un “tipo de hacker”. Puede ser una persona que está aprendiendo redes, programación, Linux, análisis de vulnerabilidades o cualquier otra disciplina. Ser principiante es una etapa de aprendizaje, no una clasificación ética.
Un hacktivista utiliza técnicas relacionadas con sistemas informáticos para apoyar una causa política, social o ideológica. La palabra describe principalmente una motivación, no el nivel técnico ni la legalidad de la actividad.
Un acto motivado políticamente puede ir desde la publicación de información o una campaña digital legítima hasta acciones no autorizadas contra sistemas ajenos. Por eso “hacktivista” tampoco debe utilizarse como sinónimo automático de hacker ético o ciberdelincuente.
Estos términos describen mejor trabajos reales de ciberseguridad:
Durante años parte de la comunidad técnica defendió el uso de cracker para quien rompe la seguridad de sistemas ajenos con intención de obtener acceso no autorizado, reservando hacker para el sentido original de persona curiosa y creativa técnicamente.
El RFC 4949 del IETF conserva explícitamente esa distinción. Sin embargo, en el lenguaje actual cracker se utiliza bastante menos y hacker ha adquirido varios sentidos. Por eso, cuando la precisión importa, suele ser mejor utilizar términos como atacante, actor de amenazas, intruso, investigador de seguridad o pentester.
El cine necesita ritmo. Una investigación real puede requerir horas, días o semanas de recopilación de información, revisión de configuraciones, análisis de aplicaciones y validación. Muchas veces el resultado es simplemente que una hipótesis no funciona y hay que comenzar por otra vía.
Gran parte del trabajo de seguridad consiste en leer documentación, comprender protocolos, revisar código, analizar tráfico, estudiar arquitecturas, automatizar tareas, escribir informes y hablar con otros equipos. Teclear rápido es probablemente una de las habilidades menos importantes.
Kali Linux, Burp Suite, Nmap, Metasploit y muchas otras herramientas pueden ser útiles, pero saber abrirlas no sustituye conocimientos de redes, sistemas operativos, programación, autenticación, criptografía aplicada o arquitectura de aplicaciones. Las mismas herramientas pueden utilizarse legítimamente en un laboratorio o de manera abusiva contra sistemas ajenos.
No necesariamente. En una política de divulgación o un bug bounty el alcance suele indicar claramente qué pruebas están autorizadas. Encontrar un fallo no concede permiso automático para acceder a información sensible, pivotar hacia otros sistemas o demostrar el máximo impacto posible.
Pueden compartir conocimientos y algunas herramientas, pero el contexto cambia por completo el trabajo. Un profesional parte de objetivos acordados, límites, protección de datos, coordinación, evidencia reproducible y un informe para corregir problemas. Un atacante real busca cumplir sus propios objetivos sin autorización.
No existe un único procedimiento universal, pero marcos de referencia como OWASP y PTES describen fases que ayudan a ordenar el trabajo. De forma simplificada:
Fíjate en una diferencia importante respecto a muchas listas antiguas que circulan por Internet: una prueba profesional no termina “borrando huellas” para ocultarse. La documentación y el reporte son parte esencial del trabajo.
La mejor base no es comenzar descargando herramientas ofensivas, sino comprender redes, sistemas operativos, programación, web, bases de datos y fundamentos de seguridad. Después puedes practicar en laboratorios propios, máquinas virtuales, plataformas diseñadas para entrenamiento y programas que autoricen explícitamente la investigación.
Aprender a documentar lo que encuentras es tan importante como descubrirlo. Un buen profesional debe ser capaz de explicar qué falla, por qué importa, cómo puede reproducirse de forma controlada y qué debería hacerse para corregirlo.
Para situar esta disciplina dentro del conjunto de la informática puedes volver a Informática: un vistazo global a sus principales áreas.
Guía completa de PHP 8.5: fundamentos, instalación, Composer, PSR, Laravel, Symfony, APIs, seguridad, rendimiento y…
Guía actualizada para instalar y diagnosticar Oracle VirtualBox Guest Additions 7.2.20 en GNU/Linux: headers, módulos,…
Guía de introducción a Kali Linux 2026.2: historia, rolling release, usos legítimos, herramientas, metapaquetes, VMs,…
Guía práctica para elegir herramientas de automatización de pruebas: unitarias, integración, API, contratos, Selenium, Playwright,…
Roadmap completo para aprender redes desde cero y prepararse como sysadmin: Ethernet, IPv4/IPv6, subnetting, VLAN,…
Historia y arquitectura del sistema de reservas de United Airlines diseñado por Evelyn Berezin, diferenciándolo…