Hacking Ético: Qué es, sus 5 fases reales y por qué no es solo «pasar un escáner»

La industria de la ciberseguridad tiene un problema grave de expectativas. Hoy en día, muchas consultoras venden servicios de «hacking ético» que, en la práctica, consisten en darle al botón de Play en un escáner de vulnerabilidades comercial y entregar un PDF de 300 páginas generado automáticamente y lleno de falsos positivos.

Eso no es hacking ético. Es un simple análisis automatizado y aporta un valor muy limitado a los equipos de IT. Las herramientas son solo el medio; el verdadero valor reside en la metodología humana, en entender el contexto del negocio y en saber cómo se encadenan pequeños fallos de configuración para comprometer un sistema crítico.

El hacking ético real es una disciplina estricta. Consiste en pensar y actuar como un atacante malicioso, pero operando bajo un marco legal con un objetivo constructivo: encontrar las brechas antes que los cibercriminales y explicar, con rigor técnico, cómo cerrarlas.

Fase 0: Pre-engagement (El marco legal y operativo)

Un hacking ético no empieza lanzando scripts de reconocimiento en internet; empieza en una mesa de reuniones firmando documentos. La diferencia exacta entre un cibercriminal y un profesional de la seguridad ofensiva radica en esta fase.

Si te saltas la Fase 0, no estás auditando sistemas, estás cometiendo un delito. En esta etapa se definen tres elementos innegociables:

1. Consentimiento y NDA: El auditor obtiene permiso explícito y por escrito de la dirección de la empresa. Se firma un Acuerdo de Confidencialidad (NDA / Non Disclosure Agreement) blindado, ya que el auditor tendrá acceso a las vergüenzas técnicas de la organización.
2. Alcance (Scope): Se definen exactamente qué direcciones IP, subdominios, aplicaciones, rangos de red o infraestructuras físicas se pueden auditar y cuáles están estrictamente prohibidas (por ejemplo, sistemas de terceros alojados en el mismo servidor o bases de datos de recursos humanos).
3. Normas/reglas de intervención (Rules of Engagement – RoE): Establecen los límites operativos. ¿Se permite enviar correos de phishing a los empleados? ¿A qué hora se pueden lanzar pruebas agresivas de estrés sin afectar a los clientes reales? ¿Qué pasa si el auditor encuentra pornografía infantil o datos de tarjetas de crédito en claro en un servidor?

Una vez el Scope y las RoE están firmadas, el auditor tiene luz verde para operar.

Herramientas clave de la Fase 0 en Hacking Ético (Pre-engagement):

Aunque es una fase legal y documental, se utilizan plataformas de gestión segura para definir el alcance y almacenar los NDA. Destacan PlexTrac y Dradis, plataformas colaborativas específicas de ciberseguridad para centralizar la información del cliente, las RoE y el seguimiento de la auditoría. También son vitales las utilidades de cifrado PGP para el intercambio seguro de credenciales iniciales.

Fase 1: Reconocimiento (Footprinting y OSINT): La fase invisible

El mayor error de un auditor novato es lanzarse a atacar la primera IP que ve. Los profesionales dedican la mayor parte de su tiempo a esta fase. El objetivo aquí no es tocar la infraestructura del cliente de forma agresiva, sino mapear su superficie de exposición pública. La información es poder.

Esta etapa se divide en dos enfoques:

• Reconocimiento pasivo: El auditor no interactúa directamente con los servidores de la empresa. Se utiliza la Inteligencia de Fuentes Abiertas (OSINT) para buscar credenciales filtradas en bases de datos públicas, repositorios de código en GitHub con contraseñas hardcodeadas, correos electrónicos de empleados en LinkedIn (para futuros ataques de phishing o fuerza bruta) y registros de dominios.
• Reconocimiento activo: Comienza una interacción ligera. Se consultan servidores DNS para extraer subdominios ocultos (por ejemplo, dev.empresa.com o vpn.empresa.com), que suelen estar menos protegidos que la web principal.

¿Por qué es crítica esta fase? Porque los atacantes reales no entran por el servidor más fortificado. Entran por ese panel de administración de WordPress abandonado hace tres años en un subdominio que el departamento de IT olvidó dar de baja. Sin un buen reconocimiento, estás atacando a ciegas.

Herramientas clave de la Fase 1 en Hacking Ético (Reconocimiento):

El arsenal se centra en la recolección masiva de datos sin alertar a los sistemas de defensa. Destacan Maltego (crea mapas visuales de relaciones entre dominios, IPs y personas), theHarvester (extrae correos corporativos y subdominios de fuentes públicas) y Shodan (motor de búsqueda enfocado en encontrar dispositivos, servidores y puertos expuestos pasivamente en internet).

Fase 2. Escaneo y Enumeración: Escuchar y tocar las puertas

Una vez que el auditor tiene el mapa de la superficie de ataque, pasa a interactuar con la red. Sin embargo, un buen profesional no entra «pateando la puerta» desde el primer segundo. Dependiendo del entorno y de las Reglas de Enfrentamiento (RoE), esta fase se divide en dos enfoques muy distintos: el escaneo pasivo y el activo.

Escaneo Pasivo: Escuchar antes de hablar

Este enfoque se basa en la interceptación y análisis de tráfico de red (sniffing) sin enviar un solo paquete a los equipos objetivo. El atacante conecta su máquina a la red y se dedica a capturar los datos que ya están circulando (paquetes ARP, tráfico de broadcast, protocolos sin cifrar).

¿Por qué es crítico? Primero, porque es indetectable por la mayoría de los sistemas de prevención de intrusiones (IDS/IPS); el atacante es un «fantasma» que solo observa. Segundo, porque en entornos críticos como redes industriales (OT/SCADA) o equipamiento médico, un escaneo agresivo puede saturar y bloquear los controladores lógicos (PLCs) y detener una cadena de montaje.

Herramientas clave de la Fase 2 (escaneo pasivo):

Aquí, herramientas como Wireshark, Zeek o PRTG permiten descubrir IPs activas, sistemas operativos y servicios vulnerables solo analizando lo que los equipos «gritan» de forma natural en la red.

Escaneo Activo: Tocando los pomos de las puertas

Aquí es donde el auditor pasa a la acción directa y envía sondas de red (paquetes TCP, UDP, ICMP) a la infraestructura objetivo para ver cómo responde. El propósito es descubrir qué puertas están abiertas (puertos) y quién está detrás de ellas (servicios y versiones).

En esta fase se busca responder a preguntas concretas:

• ¿Hay un servicio de base de datos expuesto internamente?
• ¿Qué versión exacta de servidor web (ej. Apache 2.4.49) está en uso?
• ¿Existen directorios ocultos en la aplicación web?

Esta fase requiere precisión. Un escaneo ruidoso y mal configurado levantará todas las alarmas del Blue Team (equipo de defensa) o de un simple WAF.

Ejemplo práctico: Escaneo activo y detallado con Nmap:

Si el auditor encuentra un servidor en la IP 192.168.1.100 y necesita identificar rápidamente qué servicios están expuestos y sus versiones sin hacer demasiado ruido innecesario, ajustaría su escaneo de la siguiente forma:

nmap -p- -sV -sC -T4 --min-rate=1000 192.168.1.100

nmap -p- -sV -sC -T4 --min-rate=1000 192.168.1.100

Paso a paso del comando:

1. nmap: Llama a la herramienta de escaneo por excelencia.
2. -p-: Indica que se escaneen los 65.535 puertos completos, evitando dejar puntos ciegos.
3. -sV: Fuerza la detección de la versión exacta del servicio que corre en cada puerto abierto.
4. -sC: Ejecuta los scripts de enumeración básicos por defecto (buscan vulnerabilidades obvias o configuraciones por defecto).
5. -T4: Ajusta la plantilla de velocidad a «agresiva» para agilizar el proceso, asumiendo que la red es estable.
6. --min-rate=1000: Obliga a enviar un mínimo de 1000 paquetes por segundo.
7. 192.168.1.100: La dirección IP del objetivo.

Con estos datos en mano, el auditor cruza las versiones descubiertas con bases de datos de vulnerabilidades conocidas (CVEs) para preparar su arsenal antes de atacar.

Herramientas clave de la Fase 2 (Escaneo y Enumeración):

Aquí las herramientas interactúan con la red para mapear su topología. El rey indiscutible es Nmap (estándar absoluto para descubrir puertos abiertos y versiones de servicios). Para el escaneo pasivo se utiliza Wireshark (captura y analiza el tráfico residual de la red). En el ámbito de aplicaciones, la función de spidering de Burp Suite es vital para trazar el mapa de directorios web.

Fase 3. Explotación: El momento de la verdad

Esta es la fase del hacking ético que las películas romantizan, pero en la realidad es un proceso de cálculo matemático y precisión técnica. Basándose en los datos obtenidos en la enumeración, el hacker ético lanza un ataque dirigido para comprometer el sistema.

El objetivo es obtener un shell (una línea de comandos) en la máquina víctima o lograr acceso a información confidencial. Las vías de entrada más comunes incluyen:

• Inyecciones (SQLi, XSS): Manipular las entradas de una aplicación web para que la base de datos entregue información que no debería, o para ejecutar código en el navegador de otros usuarios.
• Explotación de vulnerabilidades conocidas: Usar un exploit (generalmente un fragmento de código) diseñado específicamente para aprovechar un fallo en la versión del software detectado en la fase anterior (por ejemplo, un fallo de deserialización en un servidor Tomcat).
• Ataques de autenticación: Uso de fuerza bruta inteligente, credential stuffing (reutilización de credenciales filtradas) o explotación de configuraciones por defecto (ej. credenciales admin/admin en paneles de gestión).

Si el sistema está bien parcheado, el acceso directo suele fallar. Es aquí donde la creatividad del atacante brilla y lo que distingue a un verdadero hacker de alguien que está copy-pasteando de un LLM, encadenando múltiples vulnerabilidades de severidad «baja» o «media» (por ejemplo, una revelación de información que filtra un token, combinado con una mala validación de sesión) para lograr una brecha crítica.

Herramientas clave de la Fase 3 (Explotación)

El objetivo es aprovechar las vulnerabilidades para conseguir una sesión en el equipo.

Se emplea, a día de hoy, Metasploit Framework (plataforma integral para buscar, modificar y lanzar exploits públicos), SQLmap (automatiza inyecciones SQL para extraer bases de datos) y NetExec (antes CrackMapExec, imprescindible para automatizar ataques de autenticación y ejecutar comandos en entornos de red).

Fase 4. Post-Explotación: Demostrando el impacto real

Conseguir entrar en un servidor no es el final de la auditoría; es apenas el principio. Si el auditor logra acceso a una máquina de un recepcionista, ¿qué valor tiene eso para la empresa? La fase de post-explotación sirve para responder a la pregunta que realmente le importa al negocio: «¿Qué es lo peor que podría pasar si un atacante entra hasta aquí?»

Las acciones en esta fase se centran en:

• Escalada de privilegios: El atacante suele entrar con permisos limitados (usuario estándar o cuenta de servicio web). El objetivo es explotar configuraciones defectuosas del sistema operativo interno para convertirse en Administrador o Root.
• Movimiento lateral: Usar la máquina comprometida para saltar a otros servidores de la red interna (pivotar, movimiento lateral), que normalmente no están expuestos a internet y suelen tener medidas de seguridad más relajadas.
• Persistencia: En ejercicios avanzados (como Red Teaming), se instalan puertas traseras o se modifican tareas programadas para garantizar que, si el sistema se reinicia, el atacante no pierda el acceso.
• Extracción (Exfiltración) simulada: Demostrar que es posible sacar bases de datos sensibles de clientes o propiedad intelectual hacia servidores controlados por el auditor, sin que los sistemas de prevención de pérdida de datos (DLP) lo impidan.

Herramientas clave de la Fase 4 (Post-Explotación)

Una vez dentro, estas herramientas permiten escalar privilegios y moverse por la red.

Destacan BloodHound (mapea visualmente rutas de ataque y fallos de permisos en Active Directory), Mimikatz (extrae contraseñas y tickets Kerberos directamente de la memoria de Windows) y frameworks de Command and Control (C2) como Cobalt Strike o Sliver para mantener el acceso persistente.

Fase 5. Reporte y Remediación: El verdadero entregable

Una consola negra con permisos de administrador impresiona en una reunión técnica, pero no sirve de nada si la empresa no sabe cómo arreglar el problema. El informe final es el producto por el que paga el cliente y es lo que separa a un profesional de un simple entusiasta.

Un reporte de calidad se divide en dos grandes bloques:

1. Resumen Ejecutivo: Redactado para la junta directiva o el C-Level (CTO, CEO). Explica el riesgo en términos de negocio (impacto financiero, reputacional, riesgo de cumplimiento de normativas como GDPR o NIS2) sin jerga técnica innecesaria.
2. Informe Técnico: Redactado para los administradores de sistemas y desarrolladores. Debe incluir:
   • La descripción exacta de la vulnerabilidad.
   • La prueba de concepto (PoC) reproducible: los pasos exactos que siguió el auditor para explotarla.
   • El nivel de riesgo contextualizado (un CVSS 9.0 en un servidor de pruebas aislado no es tan grave como un CVSS 7.0 en un servidor de pagos en producción).
   • Guía de remediación: Qué parche aplicar, qué línea de código modificar o qué política de firewall implementar para mitigar la brecha de forma definitiva.

Herramientas clave de la Fase 5 (Reporte y Remediación)

Para abandonar el rudimentario Word y automatizar la creación de entregables técnicos, algunos auditores utilizan plataformas especializadas como Sysreptor o Pwndoc. Estas herramientas de código abierto permiten almacenar una base de datos de hallazgos recurrentes, calcular automáticamente las métricas de riesgo CVSS y generar informes unificados y profesionales para el cliente.

Errores comunes al contratar (o ejecutar) Hacking Ético

• Ignorar las vulnerabilidades de riesgo «Bajo»: Como hemos visto en la fase de explotación, los atacantes reales no suelen entrar por una puerta abierta de par en par. Entran aprovechando tres fallos menores mal configurados. Subestimarlos es letal.
• Cajas negras puras sin sentido: Pedir un pentest de «caja negra» (cero información previa) sin proporcionar cuentas de prueba en una aplicación web compleja suele resultar en que el auditor gaste sus horas intentando saltar un simple login, dejando toda la lógica interna de la aplicación sin auditar.
• Dejar fuera al equipo de desarrollo: Si la auditoría detecta fallos en software propio, los desarrolladores deben entender por qué su código era vulnerable (ej. falta de parametrización en consultas SQL), no solo recibir una orden genérica de «arreglar el fallo».

Conclusión

El hacking ético es una radiografía exhaustiva de la seguridad real de una infraestructura. A diferencia del software automatizado que solo ve lo que le han programado para ver, un atacante humano entiende el contexto, abusa de la lógica de negocio y encuentra caminos que ninguna herramienta es capaz de predecir.

La ciberseguridad no es un estado definitivo, es un proceso continuo. Y someter tus propios sistemas a este nivel de estrés metodológico es la única forma de saber si tus defensas aguantarán cuando el ataque sea real.