El 18 de octubre de 2022, alguien entró en el Punto Neutro Judicial español con las credenciales de una funcionaria de un juzgado de Bilbao y extrajo datos de 438.000 contribuyentes, según Genbeta. La puerta no fue un exploit sofisticado sino un correo de phishing a un empleado del juzgado. El investigado, conocido como Alcasec, tenía entonces 19 años.
El caso sirve para separar mito y práctica en la relación entre hackers y seguridad informática. La película muestra a alguien tecleando a toda velocidad frente a pantallas verdes; la realidad suele ser una contraseña reutilizada, un formulario falso bien hecho o un servidor que nadie actualizó. Del otro lado trabajan profesionales cuyo oficio consiste en prever exactamente eso.
Hackers y seguridad informática: de qué se habla al decir hacker
El Diccionario de la lengua española admite la grafía jáquer y le da dos acepciones: pirata informático y persona con grandes habilidades en computadoras que investiga un sistema para avisar de los fallos y desarrollar mejoras. Las dos conviven, y esa ambigüedad explica buena parte de las discusiones sobre si un hacker es un delincuente o un experto.
En el ámbito profesional se resuelve con el permiso. Quien prueba un sistema con autorización escrita del dueño hace un trabajo legítimo; quien entra sin ella comete un delito, aunque luego avise del fallo. Los matices de vocabulario entre hacker, cracker y sombreros de colores se tratan en la página sobre la diferencia entre hacker y cracker.
Cómo atacan: la cadena de un ataque real
Hay dos modelos clásicos para describir cómo atacan los intrusos. El primero, la Cyber Kill Chain de Lockheed Martin, divide el ataque en siete etapas: reconocimiento, preparación del arma, entrega, explotación, instalación, mando y control, y acciones sobre el objetivo. Es útil para explicar a una gerencia que cortar cualquier eslabón detiene el ataque completo.
El segundo, más detallado y hoy dominante, es MITRE ATT&CK. Su matriz para empresas organiza el comportamiento de los atacantes en quince tácticas, desde el reconocimiento y el desarrollo de recursos hasta la exfiltración y el impacto. En su versión vigente separa además el sigilo de la neutralización de defensas, dos tácticas que antes estaban agrupadas.
Cada táctica agrupa técnicas concretas observadas en ataques reales, con ejemplos de grupos que las usaron y formas de detectarlas. Para un equipo defensivo, ATT&CK funciona como lista de comprobación: si la organización no puede ver, por ejemplo, el uso de credenciales robadas para moverse entre servidores, ahí tiene un punto ciego que priorizar.
Contra empresas pequeñas, el guion suele ser corto: reconocer lo que la empresa expone en internet, entrar por un fallo conocido o una contraseña filtrada, instalar una herramienta de administración remota legítima, buscar cuentas de administrador y robar o cifrar. Verizon situó la explotación de vulnerabilidades como primera entrada, con el 31 % de las brechas, en 2026.
Ingeniería social: el atajo preferido
Engañar a una persona sigue siendo más barato que romper un sistema. Según el informe de Verizon de 2026, el factor humano intervino en el 62 % de las brechas, y en simulaciones el engaño por celular logró un 40 % más de clics que por correo. Las variantes incluyen llamadas, mensajes de texto y anuncios maliciosos en buscadores.
Ecuador tiene su propio ejemplo. En febrero de 2021, el grupo Hotarus Corp afirmó haber atacado al Ministerio de Finanzas y publicó unas 6.600 combinaciones de usuario y clave. También reivindicó un acceso a Banco Pichincha; el banco explicó que la intrusión alcanzó a un proveedor y que los atacantes la usaron para enviar correos de phishing a clientes.
La lección de ambos casos es la misma: el atacante elige el eslabón con menos defensas, y casi nunca es la tecnología central. Un proveedor pequeño, un funcionario con prisa o una cuenta sin segundo factor bastan. La guía sobre cómo reconocer un correo de phishing recoge las señales que más se repiten en los engaños dirigidos a empleados.
Hackers y seguridad informática del lado defensivo: perfiles profesionales
Frente a cada táctica ofensiva hay un oficio defensivo. Los perfiles profesionales más demandados no exigen las mismas habilidades ni la misma personalidad: algunos premian la paciencia frente a miles de alertas, otros la curiosidad por romper cosas y otros la capacidad de explicar riesgos a un directorio. La tabla resume los cuatro más comunes.
| Perfil | Qué hace | Habilidades clave | Certificaciones habituales |
|---|---|---|---|
| Analista SOC | Vigila alertas, distingue incidentes reales y escala | Redes, sistemas, herramientas de correlación y detección | Iniciales de fundamentos; luego especializadas en detección |
| Pentester | Prueba sistemas con permiso para demostrar fallos | Explotación, aplicaciones web, directorio activo, redacción de informes | OSCP |
| Cazador de amenazas | Busca intrusos que las alertas no detectaron | ATT&CK, análisis de registros, hipótesis de ataque | Especializadas en análisis forense y detección |
| CISO | Dirige la estrategia, el presupuesto y el riesgo | Gestión, normativa, comunicación con la dirección | CISSP, CISA |
El analista SOC es la puerta de entrada más frecuente. Trabaja en turnos dentro de un centro de operaciones de seguridad, revisa alertas y decide cuáles merecen una respuesta. Es un trabajo exigente y a veces repetitivo, pero enseña cómo se ven los ataques reales, y esa experiencia vale mucho cuando después se elige especialidad.
El pentester ataca con permiso para demostrar hasta dónde llegaría un delincuente, y su producto final es un informe que otros puedan usar para corregir. Saber escribir importa tanto como saber explotar: un hallazgo brillante mal explicado no se corrige. Las pruebas de intrusión suelen formar parte de una auditoría de seguridad informática.
El cazador de amenazas parte de una hipótesis, como que un grupo ya está dentro con cuentas legítimas, y la busca en los registros. El CISO, en cambio, rara vez toca una consola: traduce el riesgo técnico a decisiones de negocio, defiende presupuestos y responde ante la dirección cuando algo sale mal. Son oficios muy distintos con la misma etiqueta.
En una empresa pequeña ecuatoriana, todos esos papeles suelen recaer en una sola persona, a menudo el responsable de sistemas, o en un proveedor externo. Ahí está la relación práctica entre hackers y seguridad informática para una pyme: no se trata de contratar cuatro especialistas, sino de saber qué parte del trabajo cubre cada quien y qué queda sin cubrir.
Certificaciones que pesan en el mercado
OSCP, de OffSec, es la credencial técnica ofensiva más reconocida para pentesters: se obtiene con un examen práctico supervisado de 24 horas en el que hay que comprometer varias máquinas y un entorno de directorio activo. Desde su reforma existe la variante OSCP+, que caduca a los tres años salvo que se renueve.
En gestión, CISSP de ISC2 exige cinco años de experiencia profesional en sus ocho dominios, lo que la convierte en una certificación de carrera intermedia, no de entrada. CISA, de ISACA, es la referencia para auditoría de sistemas de información. Ninguna sustituye la experiencia, pero muchas licitaciones y ofertas de empleo las piden de forma explícita.
Dónde estudiar en Ecuador y España
En Ecuador, la Universidad Internacional del Ecuador ofrece una Maestría en Ciberseguridad en modalidad en línea, de un año de duración, que otorga el título de magíster y cita en su página la resolución RPC-SO-37-No.680-2019. Para quien empieza desde cero, el curso gratuito Introduction to Cybersecurity de Cisco Networking Academy es un primer paso sin costo.
En España, el certificado de profesionalidad IFCT0109 de Seguridad informática, regulado por el Real Decreto 686/2011, suma 500 horas con prácticas en empresa e incluye un módulo de 90 horas sobre auditoría. INCIBE publica además cursos en línea gratuitos de distintos niveles. La página sobre cursos de seguridad informática gratis reúne opciones vigentes.
Una observación que pocos programas dicen: lo que más abre puertas en una entrevista técnica es un laboratorio propio documentado. Unas máquinas virtuales vulnerables por diseño, un registro escrito de cómo se resolvió cada reto y algunos informes de práctica bien redactados demuestran más que tres diplomas. Y cuestan poco más que una computadora con memoria suficiente.
Las competencias de captura de bandera, conocidas como CTF, son otra vía de aprendizaje con buena reputación entre quienes contratan. Plantean retos de criptografía, análisis web, ingeniería inversa o forense con una puntuación objetiva, y muchas se juegan en equipo y en línea. Un buen puesto en una competencia conocida se menciona en la entrevista y se puede comprobar.
Bug bounty: cómo funciona la recompensa por fallos
Un programa de recompensas por fallos invita a investigadores externos a buscar vulnerabilidades en sistemas concretos, con reglas publicadas, y paga por cada hallazgo válido reportado de forma responsable. Plataformas como HackerOne, Intigriti o YesWeHack centralizan cientos de programas. La regla de oro es leer el alcance: lo que no aparece en la lista está fuera.
Muchas organizaciones que no pagan recompensas aceptan reportes. El RFC 9116, de abril de 2022, define el archivo security.txt, que se publica en la ruta /.well-known/ del dominio e indica a quién escribir; los campos de contacto y caducidad son obligatorios. Si una web lo tiene, ese es el canal correcto para avisar de un fallo encontrado por casualidad.
Límites legales: el artículo 234 del COIP y la autorización escrita
En Ecuador, el artículo 234 del Código Orgánico Integral Penal castiga con tres a cinco años de prisión a quien acceda sin autorización a un sistema informático, telemático o de telecomunicaciones, o se mantenga dentro contra la voluntad de su titular. Que la intención fuera avisar del fallo no cambia el hecho de haber entrado sin permiso.
La Ley Orgánica para el Fortalecimiento de la Ciberseguridad añadió una precisión útil para la profesión: la evaluación de vulnerabilidades, las pruebas de penetración y el hacking ético no constituyen infracción administrativa si cuentan con autorización previa y escrita del titular, persiguen fines de seguridad y los realizan profesionales habilitados. Sin ese papel firmado, el riesgo es enteramente del investigador.
Si usted es víctima de un acceso no autorizado, el camino es la denuncia ante la Fiscalía General del Estado, explicado paso a paso en la guía para denunciar un delito informático en Ecuador. Y si quiere trabajar del lado de la defensa, guarde desde ya cada autorización firmada de cada prueba, también las de clientes pequeños.