Más de 8 años auditando infraestructuras y aplicaciones para empresas en España. Certificado OSCP (Offensive Security Certified Professional) y CEH (Certified Ethical Hacker). Especializado en pentesting web, análisis de vulnerabilidades y cumplimiento de NIS2, ENS e ISO 27001. Colaborador activo en divulgación de ciberseguridad siguiendo las directrices del INCIBE.
Contratar un hacker ético es encargar a un profesional certificado que ataque tus propios sistemas con autorización por escrito para encontrar los fallos antes que los encuentre un ciberdelincuente. Es un servicio profesional, con contrato, alcance y confidencialidad, igual que una auditoría contable. Y es legal: la autorización firmada del titular de los sistemas es justo lo que convierte una acción que, sin permiso, sería delito (artículo 197 bis del Código Penal) en un trabajo de auditoría perfectamente legítimo.
En resumen
Si tienes prisa, esto es lo esencial antes de contratar un hacker para tu empresa:
- Qué es: una simulación de ataque controlada, autorizada y documentada, para medir tu seguridad real.
- Por qué es legal: tú (o tu empresa) eres el titular de los sistemas y autorizas la prueba por escrito. Sin autorización, acceder a un sistema ajeno es delito.
- Para qué sirve: detectar vulnerabilidades explotables, corregirlas y demostrar diligencia ante NIS2, ENS, ISO 27001 o un cliente que te audita.
- Cuánto cuesta en España: desde 500 € por un análisis de vulnerabilidades (hasta 20 hosts) y 800 € por una campaña de ingeniería social, hasta 25.000 € por un red team estándar. Un pentesting web va de 1.500 € a 15.000 € según la complejidad de la aplicación.
- Cómo elegir: certificaciones verificables (OSCP, CEH, CRTP), alcance por escrito, metodología reconocida (OWASP, PTES), seguro de responsabilidad civil y retest presupuestado aparte (habitualmente un 20-30 % del coste del ejercicio original).
- Señal de alarma: quien te pide acceso sin contrato, cobra en criptomonedas o garantiza «seguridad del 100 %» no es un proveedor serio.
El contexto lo justifica: INCIBE gestionó 122.223 incidentes de ciberseguridad en España en 2025, un 26 % más que el año anterior, con 392 ataques de ransomware y más de 25.000 casos de phishing. Hablamos de tu negocio, no de una hipótesis.
Qué es un hacker ético y en qué se diferencia de un ciberdelincuente
Un hacker ético – también llamado ethical hacker, pentester o auditor ofensivo – usa las mismas técnicas que un atacante: reconocimiento, escaneo, explotación de vulnerabilidades, escalada de privilegios, movimiento lateral e ingeniería social. La diferencia no está en las herramientas, sino en cuatro cosas: la autorización, el alcance, el uso de los hallazgos y las consecuencias legales.
| Hacker ético (white hat) | Ciberdelincuente (black hat) | Sombrero gris (grey hat) | |
|---|---|---|---|
| Autorización | Contrato y alcance firmados | Ninguna | Ninguna |
| Objetivo | Encontrar y reportar fallos | Robar, extorsionar, vender datos | Demostrar un fallo sin permiso |
| Uso de los hallazgos | Informe confidencial para el cliente | Venta, chantaje, reventa | Notificación pública o presión |
| Consecuencia | Factura y certificado | Prisión y responsabilidad civil | Zona legal gris; puede acabar en delito |
El sombrero gris merece una advertencia porque es donde caen muchas empresas sin saberlo. Si alguien entra en tu web, te manda un correo diciendo «encontré un fallo, págame 500 € y te lo cuento», no es un hacker ético: es un delincuente. El bug bounty legítimo (programas oficiales como los de grandes tecnológicas) funciona distinto: hay reglas publicadas, alcance definido y no se exige dinero a cambio de silencio.
Un malentendido habitual es pensar que contratar hacker es una sola cosa. No lo es: según lo que quieras proteger tendrás un pentesting web, una auditoría de red, un análisis de vulnerabilidades o un red team. Lo vemos con detalle más abajo.
Marco legal para contratar un hacker en España
Aquí es donde la mayoría de las dudas aparecen, así que vamos al grano.
El artículo 197 bis del Código Penal castiga con prisión de seis meses a dos años a quien, «vulnerando las medidas de seguridad establecidas para impedirlo, y sin estar debidamente autorizado, acceda o facilite a otro el acceso al conjunto o una parte de un sistema de información». Fíjate en el matiz decisivo: «sin estar debidamente autorizado». Esa es toda la frontera.
Si tú, como titular de los sistemas, autorizas por escrito la prueba y defines su alcance, el profesional no incurre en ese delito. Sin ese documento, ambas partes están expuestas.
- Código Penal, art. 197 bis: acceso e interceptación no autorizados (hasta 2 años de prisión).
- Código Penal, art. 197 ter: fabricación o uso de herramientas diseñadas para cometer esos delitos.
- Código Penal, art. 197 quinquies: responsabilidad penal de personas jurídicas, es decir, la empresa también puede responder.
- RGPD (UE) 2016/679: si el auditor va a tratar datos personales, debe firmarse un contrato de encargado del tratamiento (art. 28) y un acuerdo de confidencialidad. La AEPD supervisa este punto.
¿Qué debe contener la autorización por escrito? Un documento que no deje nada a la interpretación:
- Identificación del titular que autoriza y de su legitimidad para hacerlo.
- Alcance técnico: rangos de IP, dominios, aplicaciones, sedes y cuentas incluidas (y lo que queda fuera).
- Ventana temporal: fechas y horarios de prueba, con ventanas de exclusión si tienes picos de tráfico.
- Técnicas permitidas y prohibidas (por ejemplo, «no se permite denegación de servicio»).
- Contacto de emergencia por ambas partes y protocolo de parada.
- Cláusulas de NDA y tratamiento de datos, más el plan de destrucción de la información una vez cerrado el proyecto.
Además, exige al proveedor seguro de responsabilidad civil (cyber liability) con cobertura suficiente. Si un test tira un servicio en producción, querrás que exista un seguro detrás. Puedes ampliar todo esto en la página sobre legalidad del hacking ético en España.
Y un apunte sobre obligaciones: si tu empresa es proveedora del sector público, el Esquema Nacional de Seguridad (Real Decreto 311/2022) te aplica; si caes en el ámbito de NIS2, hay deberes de gestión de riesgos y notificación de incidentes. Un pentesting no te «certifica» por sí solo, pero es la evidencia técnica que los auditores y tus clientes te van a pedir.
Tipos de servicios de hacking ético que puedes contratar
No todo el mundo necesita un red team de 25.000 €, y no todo el mundo se arregla con un análisis de vulnerabilidades de 500 €. Estos son los cinco servicios de ciberseguridad para empresas que se contratan de verdad en el mercado español.
Pentesting web
Se prueba tu web, tu e-commerce, tu portal de cliente o tu API como lo haría un atacante real. Es el servicio más demandado porque la web es la puerta de entrada más golpeada. Se trabaja contra el OWASP Top 10 e incluye pruebas manuales, no solo un escáner automático: una inyección SQL o un IDOR (acceso a datos de otro usuario cambiando un identificador) rara vez lo detecta un robot. Tienes el detalle completo en pentesting web.
Auditoría de seguridad informática
Vas más allá de la web: perímetro, firewall, VPN, servidores, Active Directory, servicios en la nube y política de contraseñas. Su objetivo es mapear la superficie de ataque completa y ver hasta dónde llega un intruso una vez dentro. Es el servicio típico cuando una empresa se prepara para ISO 27001 o una auditoría de cliente. Más información en auditoría de seguridad informática.
Análisis de vulnerabilidades
Es la versión periódica y más ligera del pentesting: análisis autenticados sobre servidores y aplicaciones para detectar versiones desactualizadas, configuraciones débiles y parches pendientes. No explota, prioriza. Es perfecto como control mensual o trimestral entre auditorías profundas. Tienes el detalle en análisis de vulnerabilidades.
Red team
La prueba de máxima exigencia: un equipo simula a un adversario con objetivos concretos (llegar a la base de datos de facturación, al control de dominio o a la caja) y con técnicas de evasión para poner a prueba tanto la tecnología como a tu equipo de IT y tus proveedores. Mide una cosa que ningún escáner mide: cuánto tarda alguien en llegar al dato crítico y si te enteras. Es la cara más avanzada del hacking ético.
Auditoría de ingeniería social
El eslabón más débil sigue siendo la persona. Una campaña de phishing controlada, pretexting telefónico o suplantación de identidad mide qué porcentaje de tu plantilla pincha el anzuelo y cuántos lo reportan. Los resultados suelen ser incómodos y muy útiles. Puedes verlo en detalle en auditoría de ingeniería social.
Cómo elegir proveedor de hacking ético: criterios verificables
No te fíes de la palabra «experto». Estos son los criterios que puedes comprobar tú mismo, sin ser técnico.
Certificaciones que sí importan: OSCP, CEH y CRTP
Las siglas se usan mucho como adorno, así que conviene saber qué significa cada una:
- OSCP (Offensive Security Certified Professional): la más respetada para pentesting práctico. El examen obliga a comprometer máquinas reales y entregar un informe. Si un proveedor la tiene, es una buena señal.
- CEH (Certified Ethical Hacker): certificación amplia de EC-Council, más teórica. Útil como base, pero por sí sola no demuestra capacidad ofensiva práctica.
- CRTP (Certified Red Team Professional): especialización práctica en ataques a entornos Windows y Active Directory. Ideal para auditorías de red interna y red team.
Pide los números de certificación y verifícalos en las webs oficiales de OffSec, EC-Council y Altered Security. Se comprueban en dos minutos.
Experiencia demostrable, referencias y alcance por escrito
- Informes de ejemplo (anonimizados) de proyectos anteriores. Si no te los enseña, mala señal.
- Referencias contactables de dos o tres clientes similares a tu tamaño y sector.
- Metodología por escrito: OWASP (web), PTES (pentesting general), MITRE ATT&CK (red team), con una clasificación de severidad clara (CVSS).
- Equipo identificado con nombres y certificaciones, no un «equipo de expertos» genérico.
- Retest presupuestado aparte, por escrito y con precio. Verificar que las correcciones funcionan cuesta habitualmente un 20-30 % del coste del ejercicio original; sin retest, pagas por una lista de problemas sin confirmar que se han resuelto.
Un proveedor serio te dirá lo que no puede hacer y pondrá por escrito los límites del alcance. Uno que promete todo y barato suele estar vendiendo humo. Si quieres el proceso paso a paso, lo desarrollamos en la guía para contratar un hacker ético.
Cuánto cuesta contratar hacker ético en España: tabla comparativa de precios
Estos rangos corresponden al mercado español en 2026. No son tarifas oficiales – no existe un precio regulado – sino horquillas realistas según alcance, número de días y profundidad de la prueba. Puedes ver el desglose completo en nuestra página de precios y tarifas.
| Servicio | Rango de precio (España) | Duración típica | Qué incluye |
|---|---|---|---|
| Análisis de vulnerabilidades | 500 € – 1.500 € (hasta 20 hosts) 1.500 € – 4.000 € (20-100 hosts) Presupuesto a medida (+100 hosts) | 2-5 días hábiles | Escaneo autenticado y externo, validación manual de hallazgos, informe priorizado por severidad CVSS y sesión de resultados. Sin explotación de fallos. |
| Auditoría de ingeniería social | 800 € – 2.000 € (hasta 50 usuarios) 2.000 € – 4.000 € (hasta 200 usuarios) 4.000 € – 8.000 € (campaña completa) | 1-2 semanas | Campaña de phishing controlada, vishing y pretexting, métricas de clics, entrega de credenciales y reporte por parte de los empleados, con informe agregado y confidencial. |
| Pentesting web (web, portal de cliente o e-commerce) | 1.500 € – 3.000 € (aplicación sencilla) 3.000 € – 6.000 € (varios roles y lógica de negocio) 6.000 € – 15.000 € (API + frontend + microservicios) | 2-3 días (app sencilla) 1-2 semanas (plataforma multi-módulo) | Pruebas manuales sobre OWASP Top 10, explotación controlada, pruebas de concepto (PoC), informe técnico, resumen ejecutivo y sesión de presentación. |
| Pentesting de infraestructura (red externa, interna o combinada) | 2.000 € – 5.000 € (externo) 3.000 € – 8.000 € (interno) 5.000 € – 12.000 € (combinado) | Se fija en la consulta de alcance | Segmentación de red, servicios expuestos, escalada de privilegios y movimiento lateral, con informe por severidad. |
| Auditoría de seguridad completa | 4.000 € – 8.000 € (hasta 50 empleados) 8.000 € – 20.000 € (50-250 empleados) Presupuesto a medida (+250 empleados) | 1-2 semanas (pyme) 3-6 semanas (multi-sistema o multisede) | Pentesting web, infraestructura e ingeniería social combinados, con informe ejecutivo unificado orientado a ISO 27001, ENS o NIS2. |
| Red team (simulación de adversario avanzado) | 10.000 € – 25.000 € (ejercicio estándar) Presupuesto a medida (ejercicio avanzado, +4 semanas) | 2-4 semanas | Cadena de ataque completa con vectores técnicos, físicos y humanos, evasión de EDR, informes por fase y reunión con la dirección. |
¿Qué hace que un presupuesto suba o baje? Básicamente cuatro factores: el número de activos en el alcance, el tipo de prueba (caja negra – sin información previa -, caja gris o caja blanca), si las pruebas son manuales o solo automatizadas, y si se contrata el retest opcional o la sesión de resultados. Desconfía de cualquier cifra redonda y sin detalle: un presupuesto serio desglosa días de trabajo y entregables.
El presupuesto es cerrado, sin costes ocultos, y llega en menos de 24 horas hábiles tras la consulta de alcance. El pago se estructura habitualmente en dos plazos: un anticipo al inicio del ejercicio y el resto a la entrega del informe.
Qué entregables recibes al contratar un hacker ético
Un buen proveedor no te manda un PDF de 80 páginas y desaparece. Esto es lo que deberías exigir por contrato:
- Informe técnico: cada vulnerabilidad con su descripción, la evidencia de explotación y la recomendación concreta de corrección.
- Informe ejecutivo: una o dos páginas en lenguaje de negocio, con el riesgo en términos de impacto, no de jerga.
- Pruebas de concepto (evidencias): capturas, peticiones, fragmentos de código, registros o incluso vídeos cortos que demuestran que el fallo era real y explotable. Sin evidencia, no hay hallazgo.
- Clasificación de severidad: habitualmente por CVSS, de crítica a informativa, para que IT sepa qué arreglar primero.
- Sesión de resultados (debriefing): una reunión con tu equipo técnico para explicar los hallazgos y resolver dudas. Es donde de verdad se aprende.
- Plan de remediación priorizado: qué arreglar ya, qué puede esperar y qué compensa asumir como riesgo residual.
- Retest: una segunda pasada más corta para verificar que las correcciones funcionan. No viene incluido por defecto: se presupuesta aparte, habitualmente un 20-30 % del coste del ejercicio original. Sin él, te quedas con un diagnóstico sin confirmar.
- Declaración de confidencialidad y destrucción de datos al cierre del proyecto.
Ese paquete de evidencias es oro también hacia fuera: te sirve para demostrar diligencia ante un cliente corporativo, para una certificación ISO 27001 o para justificar inversión ante la dirección.
Errores y estafas frecuentes al contratar un hacker
La expresión «busco hacker» es una puerta abierta al fraude. Estos son los patrones que vemos una y otra vez:
- Contratar por foros o Telegram. Anuncios del tipo «hackeo cuentas, WhatsApp y correos, resultados en 24 h» son estafas o, peor, te convierten en cómplice de un delito.
- Aceptar un servicio a terceros. Si alguien te ofrece «espiar a un competidor» o «recuperar una cuenta ajena», estás contratando un delito, no un servicio. Aquí se cae el concepto mismo de hacker ético.
- Trabajar sin contrato ni NDA. Sin autorización por escrito no hay prueba legal, hay exposición penal para ambas partes.
- Precios sospechosamente bajos. Un «pentest completo por 300 €» es, casi siempre, un informe automático de un escáner sin validación manual y con falsos positivos.
- Sin retest. Te entregan la lista de fallos y nunca comprueban si los has arreglado. Pagaste por un diagnóstico, no por una solución verificada.
- Pago en criptomonedas o fuera de factura. Un proveedor serio emite factura y tiene seguro de responsabilidad civil.
- Certificaciones falsas o infladas. Siglas decorativas que no resisten una verificación en la web oficial del emisor.
- Promesas de «seguridad total». Nadie puede garantizar el 100 % de seguridad. Quien lo promete, o no entiende el trabajo o te está vendiendo humo.
- Retención de tus datos. Si el auditor se queda con tus capturas, hashes y logs sin destruirlos al cerrar, tienes un problema de RGPD.
La regla es simple: confidencialidad por escrito, alcance definido, evidencias y retest. Si algo de esto falta, sigue buscando.
Prueba real: casos anónimos de empresas españolas
Estos son casos reales de nuestro trabajo, anonimizados y con detalles alterados para preservar la confidencialidad de los clientes. Los datos de métricas son los que aparecen en los informes entregados.
Caso 1 – Distribuidora de alimentación, 60 empleados y 3 delegaciones. Alcance: pentesting de red perimetral y aplicación web. Hallazgos: 2 vulnerabilidades críticas (una inyección SQL en un módulo interno y un escritorio remoto RDP expuesto a Internet) y 7 altas. Tiempo hasta comprometer el control de dominio usando credenciales reutilizadas: 4 horas. Tres semanas después, en el retest: 100 % de las críticas corregidas y 5 de las 7 altas resueltas.
Caso 2 – Clínica dental con 4 sedes y 45 empleados. Alcance: auditoría de ingeniería social con 240 correos de phishing y llamadas de pretexting. Resultado de la primera campaña: 23 % de clics en el enlace malicioso, 11 % introdujo credenciales en la página falsa y 0 reportes al departamento de IT. Tras la formación de refuerzo, la segunda campaña bajó al 6 % de clics y subió al 41 % los empleados que reportaron el intento.
Caso 3 – Operador logístico, 120 empleados. Alcance: red team de 6 semanas. El equipo logró acceso inicial por una VPN sin doble factor en 48 horas, escaló a administrador de dominio en el día 5 y simuló la exfiltración de un volumen equivalente a su base documental sin ser detectado. Entregable clave: los 5 controles de detección que faltaban, priorizados por coste/impacto.
Caso 4 – E-commerce de moda, 18 empleados. Alcance: pentesting web de la tienda y la API de pedidos. Hallazgos: 1 crítica (un IDOR que permitía consultar 3.400 pedidos de otros clientes cambiando un identificador numérico) y 4 altas. Corrección y retest superado en 10 días naturales.
Fíjate en lo importante: en los cuatro casos el fallo más grave no era tecnológico de laboratorio, sino un descuido cotidiano – RDP abierto, credenciales reutilizadas, VPN sin MFA, un identificador predecible -. Eso es exactamente lo que encuentra un hacker ético y lo que no verás hasta que alguien lo explote.
Preguntas frecuentes sobre contratar hacker
¿Es legal contratar un hacker en España?
Sí, siempre que exista autorización por escrito del titular de los sistemas y la prueba se limite al alcance acordado. Sin ese permiso, el acceso a un sistema de información está castigado por el artículo 197 bis del Código Penal con penas de seis meses a dos años de prisión. Con autorización, contrato, NDA y seguro de responsabilidad civil, estás ante un servicio profesional de auditoría.
¿Cuánto cuesta contratar un hacker ético y de qué depende?
Un análisis de vulnerabilidades parte de 500 € para infraestructuras de hasta 20 hosts (1.500-4.000 € entre 20 y 100 hosts), un pentesting web va de 1.500 € a 15.000 € según la complejidad de la aplicación y un red team estándar se mueve entre 10.000 € y 25.000 €. El precio depende del número de activos, de si la prueba es de caja negra o blanca, de si las pruebas son manuales y de si se contrata el retest o la sesión de resultados.
¿Cuánto tarda un pentesting de principio a fin?
Una aplicación web sencilla se evalúa en 2-3 días; una plataforma con varios módulos, APIs y roles de usuario, en 1-2 semanas. Una auditoría de seguridad de una pyme se completa en 1-2 semanas, y entre 3 y 6 semanas si hay múltiples sistemas o sedes. Un red team estándar dura 2-4 semanas. A eso hay que sumar la fase previa de alcance y firma, y el tiempo que dediques a corregir los hallazgos antes del retest.
¿Qué pasa si el hacker ético no encuentra nada?
Que tu seguridad está mejor de lo esperado, y lo demuestras con un informe. Un resultado sin vulnerabilidades críticas no es un fracaso: es una evidencia de diligencia que puedes presentar a clientes, aseguradoras o auditores. Eso sí, desconfía de quien «no encuentra nada» tras un único escaneo automático; una buena prueba siempre documenta el esfuerzo y la metodología aplicada.
¿En qué se diferencia un hacker ético de un antivirus o un firewall?
Un antivirus y un firewall son defensas: bloquean amenazas conocidas o tráfico sospechoso. Un hacker ético ataca como lo haría el delincuente para comprobar si esas defensas aguantan de verdad. No se sustituyen: se complementan. La pregunta que responde el pentesting es «¿aguanto un ataque dirigido?», no «¿tengo el software al día?».
Fuentes oficiales
- Código Penal español (art. 197 bis y siguientes) – BOE
- El pentesting: auditando la seguridad de tus sistemas – INCIBE
- Políticas de seguridad para la pyme: auditoría de sistemas – INCIBE
- Balance de ciberseguridad 2025 – INCIBE
- Real Decreto 311/2022, Esquema Nacional de Seguridad – BOE
- Directiva NIS2 (UE) 2022/2555 – Comisión Europea
- Reglamento General de Protección de Datos y encargados del tratamiento – AEPD
- Certificación OSCP – OffSec
- Certificación CEH – EC-Council
- Certificación CRTP – Altered Security
Da el siguiente paso: contrata hacker ético con respaldo legal
Cada día que pasa sin probar tu seguridad es un día en el que un atacante puede hacerlo por ti. La diferencia es que él no te va a mandar un informe: te va a mandar una factura, o una extorsión.
Si quieres saber qué vería un hacker en tu empresa, empieza por un diagnóstico. Es el modo más rápido de valorar tu exposición real sin comprometer un presupuesto grande.
Ponlo en perspectiva: el coste medio de una brecha de datos en España supera los 3 millones de euros, mientras que un análisis de vulnerabilidades arranca en 500 €. La diferencia entre ambas cifras no es un gasto, es gestión de riesgo.
Presupuesto cerrado en menos de 24 horas hábiles. Pago en dos plazos.