Hacking ético para empresas: qué es, qué tipos hay y qué pedir por escrito

Un servicio de hacking ético es un pentesting: un equipo ataca tus sistemas con tu permiso por escrito, dentro de un alcance y unas fechas pactadas, para encontrar por dónde entraría alguien antes de que entre de verdad.

Si has llegado con esa palabra, vas por buen camino: es la que usa casi todo el mundo fuera del sector. Dentro se dice pentesting o test de intrusión, y así lo vas a leer en los presupuestos. Este artículo hace de traductor. Explica qué estás contratando, qué conviene firmar antes, qué tipos de servicio hay con su precio de partida y cómo reconocer un trabajo serio.

Hacking ético y pentesting: la misma cosa con dos nombres

Hacking ético y pentesting describen el mismo trabajo. «Hacking ético» pone el acento en quién lo hace y con qué permiso; «pentesting», abreviatura del inglés penetration testing, pone el acento en la técnica. En una propuesta vas a ver también test de intrusión o prueba de penetración, y hablan de lo mismo.

Lo que no es lo mismo es un análisis de vulnerabilidades. Ese trabajo lanza herramientas contra tus sistemas y devuelve una lista de fallos conocidos. El hacking ético va un paso más allá: intenta aprovechar esos fallos de verdad, los combina y demuestra hasta dónde llegaría alguien que lo hiciera. Más abajo está cómo distinguir uno de otro en un presupuesto.

Tampoco es un hacker al que se le paga por probar suerte. Es un encargo profesional, con un documento que dice qué se puede atacar, cuándo y con qué límites. Qué pasa en cada fase, desde la firma hasta el informe, está contado en qué es una auditoría de pentesting.

Qué lo hace ético: autorización y alcance por escrito

Lo que separa un hacking ético de un ataque es un papel firmado por quien tiene derecho a autorizarlo. La técnica puede ser idéntica. La diferencia es que el titular de los sistemas ha dicho por escrito qué se puede atacar, en qué fechas y hasta dónde.

En España no es una formalidad. El artículo 197 bis del Código Penal, introducido por la Ley Orgánica 1/2015, castiga con prisión de seis meses a dos años a quien, vulnerando las medidas de seguridad y sin estar debidamente autorizado, acceda a un sistema de información o se mantenga en él contra la voluntad de quien tiene derecho a excluirlo. Esa referencia es española: si los sistemas están en otro país, como Colombia, hay que mirar también su legislación.

Antes de la primera prueba, esto tiene que estar por escrito:

• ›Autorización del titular. Firmada por alguien con capacidad para darla y con los sistemas que cubre. Si una aplicación está alojada en un proveedor de nube o la mantiene un tercero, puede hacer falta también su permiso.
• ›Alcance. La lista de lo que entra, sean dominios, direcciones IP, aplicaciones o sedes, y de lo que queda fuera. Lo que no está en la lista no se toca.
• ›Fechas y horas. La ventana en la que se puede atacar, para que tu equipo sepa que el tráfico raro de esos días es el auditor.
• ›Contactos de emergencia. Un nombre y un teléfono a cada lado, por si algo se cae o aparece un fallo grave a mitad de la prueba.
• ›Confidencialidad. Un acuerdo de confidencialidad que cubra lo que entregas y también lo que el auditor obtiene: capturas con datos reales, contraseñas y caminos de ataque que funcionan.

Un proveedor serio te pregunta todo esto antes de darte un precio. Si te llega un presupuesto cerrado sin una sola pregunta sobre qué hay que probar, ya sabes algo de lo que vas a recibir.

Qué tipos de servicio de hacking ético hay y cuánto cuestan

Los tipos de hacking ético se distinguen por lo que se ataca: una aplicación, lo que tienes publicado en Internet, la red de dentro de la oficina o las API que conectan tus sistemas. Elegir el tipo es elegir qué te preocupa perder. Estos son los cuatro que más se piden.

Cada servicio tiene su ficha: aplicaciones web, superficie externa, infraestructura interna y API. Las cifras son precios de partida en euros, publicados en esas fichas a octubre de 2026. El precio final depende de cuántos activos, usuarios y roles haya que probar, y de dónde sale está en cuánto cuesta un pentesting.

Hay más tipos, como aplicaciones móviles, Active Directory, redes WiFi o Microsoft 365. Cuál encargar primero según tu empresa está resumido en servicios de pentesting: qué tipos hay.

Si ya sabes cuál de las cuatro filas es la tuya, pídenos presupuesto con lo que haya que probar: la dirección de la aplicación, los dominios o el número de equipos. Solemos responder en unas 24 horas, según el alcance.

Los estándares que debe nombrar un proveedor serio

Trabajar «bajo estándares internacionales» quiere decir que el proveedor te dice por su nombre contra qué metodología pública va a probar, y que esa metodología encaja con lo que se audita. No es un sello que lleve la empresa. Son documentos abiertos que cualquiera puede leer, y por eso sirven para comprobar el trabajo después.

Lo razonable es que la propuesta nombre la que toca: la WSTG para una web, la MASTG para una app, el Top 10 de API para una API, y PTES u OSSTMM para ordenar el encargo. «Metodología propia» sin documento detrás no se puede comprobar.

Las certificaciones son otra cosa: las tienen las personas, no la empresa. Las más pedidas se ganan con un examen práctico atacando un laboratorio. OSCP+, de OffSec, se obtiene en un examen de 24 horas que incluye un dominio de Active Directory. CRTP, de Altered Security, se centra en Active Directory, y eJPT, de INE, es de nivel inicial. La pregunta útil, por tanto, es si quien va a tocar tus sistemas tiene la certificación.

Nosotros trabajamos con esas metodologías y nuestro equipo tiene esas tres certificaciones. Pídenos, como a cualquier otro proveedor, que lo pongamos por escrito en la propuesta.

Hacking ético o escaneo automático: cómo distinguirlos

Un escaneo automático lanza una herramienta y te entrega su lista. Un hacking ético usa esa lista como punto de partida y comprueba a mano qué fallos son reales y adónde llevan. Los dos tienen su sitio. El problema es pagar el primero con el nombre del segundo.

La forma más rápida de saberlo es pedir un informe de ejemplo, aunque venga anonimizado. Si ningún hallazgo trae los pasos para reproducirlo, tu equipo tampoco podrá comprobar los suyos. Las demás señales, y cómo poner tres propuestas lado a lado, están en cómo contratar un pentesting.

Qué recibes al terminar

Al terminar recibes un informe técnico con cada hallazgo, su evidencia y cómo corregirlo, y un resumen ejecutivo para quien decide el gasto. Con el primero tu equipo sabe qué arreglar y en qué orden. Con el segundo, la dirección entiende qué riesgo corre si no se arregla.

En nuestro caso hay dos cosas más. Presentamos los resultados a dirección en una reunión, no solo por correo. Y el retest va incluido: cuando hayas corregido, lo pides dentro de los seis meses siguientes a la entrega y comprobamos que cada fallo está cerrado. Qué debería traer un buen informe, sea del proveedor que sea, está en qué debe incluir un informe de pentesting.

Lo que no recibes es un certificado de que tu empresa es segura. El informe dice lo que se encontró en esas fechas y sobre ese alcance, y vale mientras el sistema siga siendo el que se probó.

Cómo pedir un presupuesto de hacking ético

Para pedir presupuesto no hace falta saber el nombre técnico de nada. Basta con contar qué te preocupa y qué habría que probar: la dirección de tu aplicación, tus dominios o cuántos equipos tiene la red. Con eso cerramos el alcance contigo y te enviamos una propuesta que puedas comparar con las demás.

Da igual que tu empresa esté en Sevilla, Córdoba, Madrid o Bogotá. La mayor parte del trabajo se hace en remoto, y solo nos desplazamos cuando la prueba lo exige, como en una red interna o una red WiFi, algo que se acuerda antes de empezar.

Llevamos más de 300 auditorías hechas con este método, siempre manual. Todo lo que cubre el servicio está en pentesting para empresas, y para empezar, escríbenos desde el formulario de contacto.