Dar acceso a tus sistemas más críticos a un profesional de ciberseguridad no es una decisión menor. Estás permitiendo que alguien busque formas de romper tus defensas, explore vulnerabilidades y acceda a información sensible.
La pregunta no es solo «¿es bueno técnicamente?», sino «¿es legal lo que va a hacer?».
En España, la línea entre hacking ético y ciberdelito es más delgada de lo que imaginas. Un auditor sin las certificaciones adecuadas o que opere sin contrato puede meterte en problemas legales graves, incluso si tú actúas de buena fe. Esta guía te enseña a distinguir entre un hacker ético legal y certificado y alguien que solo afirma serlo.
Hacker Ético vs Hacker Ilegal: La Diferencia Legal que Puede Costarte 3 Años de Cárcel
Cuando buscas «contratar un hacker», muchos no entienden que existen dos mundos completamente opuestos desde el punto de vista legal.
❌ Contratar sin Autorización Legal: Cómplice de Delito Informático
Si contratas a alguien para «hackear» sin marco legal adecuado, puedes enfrentar:
- Delito de acceso ilícito (Artículo 197 del Código Penal): hasta 3 años de prisión
- Responsabilidad penal como cómplice si el auditor comete delitos
- Riesgo de estafa o extorsión posterior (sucede en el 40% de contrataciones ilegales según datos de INCIBE)
- Sin documentación, garantías ni responsabilidad si algo sale mal
Caso real: En 2023, una empresa valenciana contrató a un «hacker» por Telegram para «probar su seguridad». El individuo robó la base de datos y extorsionó a la empresa por 50.000€. Ambos terminaron imputados: el hacker por acceso ilícito y robo, la empresa por complicidad al no denunciar de inmediato.
✅ Contratar un Hacker Ético Legal y Certificado: El Marco Legal Correcto
Un profesional legítimo siempre opera bajo estas condiciones:
- Contrato de servicios con alcance definido antes de tocar un solo sistema
- Autorización explícita del propietario legal de los sistemas
- Acuerdo de confidencialidad bilateral (NDA)
- Metodologías reconocidas internacionalmente (OWASP, PTES, NIST)
- Certificaciones profesionales verificables (CEH, OSCP, GPEN, CREST)
- Informe detallado con evidencias y recomendaciones priorizadas
El marco legal español permite explícitamente las pruebas de penetración autorizadas desde la reforma del Código Penal de 2015. La clave está en la autorización previa documentada. Los auditores serios trabajan regularmente con departamentos legales de clientes para asegurar cumplimiento normativo, especialmente en sectores regulados como banca, salud o administración pública.
¿Qué Hace Legal a un Hacker Ético en España?
Un hacker ético legal cumple tres requisitos fundamentales que lo separan de cualquier persona con conocimientos técnicos.
Opera con Autorización Explícita Documentada
Aquí está la diferencia más importante: un profesional ético SIEMPRE trabaja con permiso por escrito antes de tocar un solo sistema.
Ejemplo real: Un «hacker ético» ofreció a una empresa madrileña auditar su web gratis como «muestra de habilidades». Encontró vulnerabilidades y las publicó en LinkedIn como parte de su portfolio, sin permiso. La empresa lo demandó por violación del artículo 197 del Código Penal español. Perdió el caso y pagó 15.000€ de multa más costas judiciales.
Lo legal requiere:
- Contrato firmado antes de cualquier prueba con fecha de inicio y fin
- Alcance detallado por escrito (qué sistemas puede auditar, qué técnicas puede usar, qué horarios)
- Autorización del responsable legal de la empresa (no basta con que te lo pida el CTO si no es el titular)
Si alguien te dice «primero te muestro qué tan vulnerable eres y luego firmamos», está cometiendo un delito. Punto.
Tiene Responsabilidad Civil Profesional Activa
Un auditor serio cuenta con seguro de responsabilidad civil profesional que cubre daños accidentales durante las pruebas. Mínimo 300.000€ de cobertura, aunque lo recomendable para empresas medianas son 600.000€.
¿Por qué importa? Porque durante una auditoría pueden caerse servidores, perderse datos temporalmente o interrumpirse servicios. Sin seguro, TÚ asumes esos costos.
Caso real en Bilbao (2024): Durante un test de penetración, un auditor provocó una caída del sistema de facturación que duró 6 horas. Pérdidas estimadas: 40.000€. Como tenía seguro de responsabilidad civil, la aseguradora cubrió los daños. Sin ese seguro, la empresa habría tenido que demandarlo civilmente sin garantía de cobro.
También debe tener:
- CIF/NIF español válido y verificable en AEAT
- Facturación legal con IVA (21%) – ningún auditor serio trabaja «en negro»
- Contrato con cláusulas de confidencialidad que te protejan a ti también
Red flag crítica: Si te dicen «trabajo mejor sin papeles» o «el contrato es innecesario para proyectos pequeños», huye. Eso te expone legalmente y además no podrás deducir el gasto fiscalmente.
Respeta el Marco Legal Español de Ciberseguridad
Los hackers éticos certificados en España deben cumplir varias normativas simultáneamente:
Código Penal (Ley Orgánica 10/1995)
- Artículo 197: Protección de datos personales y secretos empresariales
- Artículo 264: Daños informáticos (borrado, alteración, inutilización de datos)
- Pena por hacking ilegal: 6 meses a 3 años de cárcel, ampliable a 5 años si hay daño económico grave
RGPD (Reglamento General de Protección de Datos)
- Acuerdo de procesamiento de datos si la auditoría implica manejo de información personal
- Destrucción certificada de datos tras finalizar la auditoría (con acta de destrucción)
- Multas de hasta 20 millones € o 4% de facturación global por incumplimiento
Real Decreto 311/2022 (Esquema Nacional de Seguridad)
- Obligatorio para organismos públicos y sus proveedores
- Requiere inscripción en Catálogo de Proveedores ENS
- Auditorías por entidades certificadas por CCN-CERT
Un hacker ético legal y certificado conoce estas normativas y adapta su trabajo para cumplirlas. Si un auditor no menciona el RGPD cuando le explicas que manejas datos personales, no tiene la formación legal necesaria.
Certificaciones que SÍ Importan (y las que No Valen Nada)
No todas las certificaciones valen lo mismo en el mundo real. Algunas son sellos de calidad mundial reconocidos en tribunales. Otras son diplomas online sin valor real que cualquiera puede obtener en un fin de semana.
Certificaciones Tier 1: Las Que Realmente Cuentan
CEH (Certified Ethical Hacker)
- Emisor: EC-Council (Estados Unidos)
- Vigencia: 3 años con renovación obligatoria
- Reconocida internacionalmente, aceptada en tribunales como prueba de cualificación profesional
- Examen de 125 preguntas con casos prácticos
- Cómo verificar: Pide el número de certificación y verifica en https://aspen.eccouncil.org/Verify
OSCP (Offensive Security Certified Professional)
- Emisor: Offensive Security
- Examen práctico de 24 horas en entorno real (no test teórico)
- Considerada el «gold standard» de la industria de pentesting
- Solo el 40% de candidatos aprueba en el primer intento
- Cómo verificar: https://www.offensive-security.com/offsec/student-alumni-listing/
GPEN (GIAC Penetration Tester)
- Emisor: SANS Institute
- Especialización en infraestructuras empresariales complejas
- Enfoque en metodologías de pentesting estructurado
- Cómo verificar: https://www.giac.org/certified-professionals
CREST (Council of Registered Ethical Security Testers)
- Específico para Europa, muy valorado en Reino Unido y España
- Incluye cumplimiento GDPR como parte del examen
- Requisito habitual en licitaciones públicas europeas
- Cómo verificar: https://www.crest-approved.org/
Certificaciones Sin Valor Real en el Mercado Profesional
Red flags que delatan certificaciones infladas:
🚩 Certificados de Udemy, Coursera o plataformas similares (no requieren examen supervisado presencial) 🚩 «Certified Master Hacker» u otros títulos inventados que no aparecen en registros oficiales 🚩 Certificados vencidos sin evidencia de renovación reciente 🚩 Cualquier certificación sin número verificable en la web oficial del emisor
Regla de oro: Si el certificado no se puede verificar en la web oficial del emisor, no vale nada. Un profesional legítimo te dará el número de certificación sin problema porque sabe que es verificable.
Cómo Verificar que un Hacker Ético es Legítimo Antes de Firmar
Paso 1: Valida sus Certificaciones en Fuentes Oficiales
Pide específicamente:
- Número de certificación exacto (no basta con ver el PDF)
- PDF oficial del certificado descargado del emisor
- Fecha de emisión y expiración (todas las certificaciones serias caducan)
Luego verifica en la web oficial del emisor introduciendo el número. Si se niega a compartir el número o el certificado no aparece online, no es legítimo. Los certificados se pueden falsificar en Photoshop, pero los registros oficiales no.
Paso 2: Confirma su Identidad Legal y Reputación
Busca en Google:
- «Nombre del auditor» + «CEH» o «OSCP»
- «Nombre de la empresa» + «CIF» + «opiniones»
Verifica en registros oficiales:
- AEAT: Confirma que el CIF está dado de alta y activo
- LinkedIn: Perfil profesional coherente con experiencia demostrable
- Google Maps: Oficina física real (no solo domicilio fiscal virtual)
Si no encuentras rastro digital profesional después de 15 minutos de búsqueda, es una señal de alerta importante. Los profesionales establecidos tienen presencia verificable.
Paso 3: Solicita Referencias Reales y Contáctalas
Un profesional serio puede darte 2-3 contactos de clientes anteriores en tu mismo sector. Pregúntales directamente:
- ¿Cumplieron plazos acordados?
- ¿El informe fue claro y accionable?
- ¿Tuvieron seguro de responsabilidad activo?
- ¿Los volverían a contratar?
- ¿Hubo algún problema durante la auditoría?
Si dice «no puedo dar referencias por confidencialidad» en TODOS los casos, sospecha. Es razonable que algunos clientes no quieran ser contactados, pero ninguno es estadísticamente imposible.
Paso 4: Revisa el Contrato Antes de Firmar
Cláusulas imprescindibles en cualquier contrato de auditoría:
✅ Alcance autorizado explícito (qué sistemas, qué horarios, qué técnicas permitidas) ✅ NDA bilateral (ambas partes con obligación de confidencialidad) ✅ Seguro de responsabilidad civil mencionado con número de póliza ✅ Política de divulgación responsable (no publicará vulnerabilidades sin tu permiso) ✅ Procedimiento de backup previo obligatorio antes de pruebas invasivas
Si el contrato es genérico (plantilla estándar sin personalizar) o no menciona seguros, no firmes. Un contrato serio debe estar adaptado específicamente a tu empresa y tus sistemas.
Señales de Alerta: Cuándo NO Trabajar con Alguien
Red Flags Críticos que Indican Ilegalidad
❌ «No necesitamos contrato, confía en mí» → Ilegal y te expone penalmente como cómplice
❌ «Somos hackers anónimos» → Imposible verificar legalidad, identidad o responsabilidad
❌ «Hackearemos a tu competencia para comparar» → Delito penal directo de acceso ilícito
❌ «Pagos solo en Bitcoin/efectivo» → Evasión fiscal. Sin factura = problemas con Hacienda
❌ «No necesitas ver nuestro seguro» → Sin seguro, TÚ pagas los daños si algo sale mal
❌ «Encontramos vulnerabilidades antes de firmar, como muestra» → Hacking ilegal. Si lo hacen sin permiso a ti, lo harán a otros
Señales de Alerta Moderadas (No Descalifican Automáticamente)
🟡 Solo certificaciones online sin examen supervisado presencial 🟡 Precios 70% más baratos que el mercado sin explicación razonable 🟡 Portfolio solo con «empresas confidenciales» sin ninguna referencia contactable 🟡 No mencionan metodologías estándar (OWASP, PTES, NIST)
Una de estas señales puede tener explicación razonable. Tres o más juntas son motivo de descarte inmediato.
Casos Reales: Cuando Sale Mal por No Verificar
El Freelancer sin Certificar (Barcelona, 2023)
Una startup de fintech contrató un «hacker ético» encontrado en Fiverr por 500€. Prometía CEH pero no proporcionó número de verificación. Sin certificaciones reales, sin contrato formal.
Durante la auditoría, el auditor descargó la base de datos completa de clientes y la subió a su servidor personal «para análisis detallado». Semanas después, esos datos aparecieron en un foro de la dark web.
Consecuencias reales:
- Multa AEPD: 80.000€ por violación del RGPD
- Pérdida del 40% de clientes en 3 meses tras la filtración
- Investigación penal abierta contra la startup por no proteger datos
- Imposibilidad de operar con procesadores de pago durante 6 meses
Lección: Sin contrato y NDA ejecutable, no hay protección legal real. La startup no pudo demandar porque no había relación contractual documentada.
El Certificado
Falso (Madrid, 2024)
Una empresa de ecommerce con facturación de 2 millones anuales trabajó con un auditor que presentó certificado CEH impresionante. El problema: era falso, creado con Photoshop.
El «auditor» entregó un informe copiado literalmente de plantillas gratuitas de GitHub, sin análisis real. La empresa implementó las recomendaciones genéricas, creyendo estar protegida.
Tres meses después: ataque real con robo de 50.000 números de tarjetas de crédito. El atacante usó una vulnerabilidad obvia que el falso auditor nunca identificó.
Consecuencias reales:
- Multa PCI-DSS: 100.000€ por incumplimiento de seguridad en pagos
- Demandas de clientes: 200.000€ en compensaciones
- Bancarrota declarada 6 meses después del incidente
- Imposibilidad de procesar pagos con tarjeta durante 18 meses
Lección: SIEMPRE verifica certificados en la web oficial del emisor. Si el auditor se negó a dar el número de verificación, la empresa debió rechazarlo inmediatamente.
Preguntas Clave para Hacerle a un Auditor Antes de Contratar
Antes de firmar cualquier acuerdo, estas son las preguntas que separan a los profesionales legítimos de los impostores. Un hacker ético legal y certificado responderá todas sin evasivas.
Sobre Certificaciones Profesionales
«¿Qué certificaciones profesionales tienes vigentes actualmente?»
Respuesta correcta: CEH, OSCP, GPEN o CREST con número verificable y fecha de expiración futura
Red flag: Solo menciona cursos online (Udemy, Coursera) o certificaciones desconocidas que no aparecen en Google
«¿Puedo verificar tu certificación en la web oficial del emisor?»
Respuesta correcta: «Por supuesto, aquí está el enlace directo y mi número de certificación: XXXX-XXXX»
Red flag: Excusas, evasivas o «no es necesario, confía en el PDF»
«¿Cuándo expira tu certificación y cómo la renuevas?»
Respuesta correcta: Fecha específica (ej: «Expira en diciembre 2026, renuevo con 120 créditos ECE cada 3 años»)
Red flag: «No expira» o «es vitalicia» (FALSO para CEH, GPEN, CREST)
Sobre Legalidad y Seguros
«¿Tienes seguro de responsabilidad civil profesional activo?»
Respuesta correcta: «Sí, con [nombre aseguradora], cobertura de [cantidad]€, renovación anual»
Red flag: «No es necesario» o «nunca ha pasado nada en 10 años»
«¿Puedo ver el certificado de tu póliza vigente?»
Respuesta correcta: Envía PDF oficial de la aseguradora en menos de 24 horas con fecha de vigencia actual
Red flag: Demoras superiores a 48 horas, excusas o «no puedo compartirlo por confidencialidad»
«¿Cuál es tu CIF y dónde puedo verificar tu registro empresarial?»
Respuesta correcta: CIF español (formato: AXXXXXXXX) + confirmación de estar dado de alta en AEAT
Red flag: Se niega a compartir, da número no verificable o admite trabajar «como particular»
«¿Firmaremos contrato y NDA antes de que accedas a nuestros sistemas?»
Respuesta correcta: «Por supuesto, te envío el borrador antes de cualquier acceso técnico»
Red flag: «No hace falta para proyectos pequeños» o «lo firmamos después de la prueba inicial»
Sobre Metodología de Trabajo
«¿Qué metodología sigues durante las auditorías?»
Respuesta correcta: Menciona framework específico (OWASP Testing Guide, PTES, NIST SP 800-115) y explica las fases
Red flag: Respuesta vaga como «metodología propia» o «depende del cliente»
«¿Qué incluye exactamente tu informe final?»
Respuesta correcta: Resumen ejecutivo, vulnerabilidades detalladas con CVSS, evidencias (capturas), pasos de reproducción, recomendaciones priorizadas
Red flag: «Lista de fallos encontrados» sin contexto, priorización ni pasos de remediación
«¿Cómo garantizas que no afectarás sistemas en producción?»
Respuesta correcta: Explica entorno de staging, backups previos obligatorios, horarios de prueba fuera de picos, monitorización activa
Red flag: «No suele pasar nada» o «vamos con cuidado, tranquilo»
Sobre Experiencia y Referencias
«¿Puedes darme referencias de clientes en mi sector?»
Respuesta correcta: 2-3 contactos reales (nombre, empresa, email/teléfono) de auditorías similares
Red flag: «Todo es confidencial» sin poder proporcionar NINGUNA referencia verificable
«¿Qué herramientas usas y son todas legales en España?»
Respuesta correcta: Lista herramientas estándar (Nmap, Burp Suite, Metasploit, Wireshark) + confirma uso legal autorizado
Red flag: Menciona exploits ilegales, «herramientas privadas no disponibles públicamente» o evasión de detección como ventaja
Checklist Final: ¿Es Este Auditor Legal y Confiable?
Antes de firmar cualquier documento o dar acceso a tus sistemas, verifica cada punto:
Certificaciones:
☐ Tiene CEH, OSCP, GPEN o CREST vigente
☐ Certificado verificado en web oficial del emisor
☐ Fecha de expiración futura (no vencida)
Legalidad:
☐ CIF/NIF español válido y verificable en AEAT
☐ Póliza de responsabilidad civil profesional activa (mínimo 300.000€)
☐ Empresa dada de alta legalmente con facturación con IVA
Contractual:
☐ Contrato firmado ANTES de cualquier acceso técnico
☐ NDA bilateral incluido y firmado
☐ Alcance específico definido (sistemas, horarios, técnicas)
☐ Precio fijo acordado sin sorpresas posteriores
Referencias:
☐ 2-3 clientes previos contactables y verificables
☐ Sin denuncias públicas o reseñas negativas graves
Si cumple TODO: ✅ Auditor legal y certificado, puedes proceder
Si falta algo crítico: ❌ No trabajar con esa persona bajo ninguna circunstancia
Conclusión: La Diferencia Entre un Profesional y un Riesgo Legal
Elegir un hacker ético legal y certificado no es solo una decisión técnica, es una decisión legal que puede determinar el futuro de tu empresa.
La diferencia entre contratar a un profesional certificado y a un impostor no está solo en la calidad del informe. Está en:
- Protección legal si algo sale mal durante la auditoría
- Cumplimiento normativo con RGPD, Código Penal y ENS
- Responsabilidad asegurable con cobertura de hasta 600.000€
- Informes defendibles ante reguladores, auditores externos o tribunales
Un auditor legítimo siempre opera con contrato previo, seguro activo, certificaciones verificables y metodologías reconocidas. Si alguien te ofrece «auditorías rápidas sin papeles», no es un profesional, es un riesgo penal.
En 2026, con el aumento de regulaciones de ciberseguridad (NIS2, DORA, nuevas directivas europeas), contratar sin verificar puede costarte no solo dinero, sino tu licencia para operar en sectores regulados.
La pregunta no es si puedes permitirte contratar un hacker ético legal y certificado. La pregunta es: ¿puedes permitirte contratar a alguien que no lo sea?
¿Necesitas auditorías profesionales con todas las garantías legales?
Consulta nuestros servicios de pentesting y auditoría →