El 18 de octubre de 2022, entre las 17:00 y las 22:37, alguien entró en el Punto Neutro Judicial español con las credenciales de un funcionario de un juzgado de Bilbao. Según Genbeta, en esas cinco horas salieron 438.000 registros de contribuyentes. No hizo falta un ataque sofisticado: bastó un correo de phishing bien dirigido a la persona correcta.
Quién es el mejor hacker de España: una pregunta sin respuesta única
El caso anterior es el que más se asocia en internet con la búsqueda de el mejor hacker de España, y conviene decirlo sin rodeos: esa etiqueta no existe. No hay un ranking oficial, y los nombres que más se repiten en la prensa corresponden a personas detenidas e investigadas, no a quienes más saben de seguridad.
La confusión viene del lenguaje periodístico, que llama hacker a cualquier intruso. En la comunidad técnica, la persona que entra sin permiso en un sistema es un cracker, y la diferencia la explica con detalle la página sobre la diferencia entre hacker y cracker. Desde esa perspectiva, preguntar por el mejor delincuente informático es preguntar por otra cosa.
Hay además un sesgo de visibilidad. Un atacante aparece en los titulares precisamente porque lo atraparon, y casi siempre lo atraparon por un error. La investigadora que encuentra un fallo grave en un sistema bancario y lo comunica en privado no sale en ninguna noticia. Su trabajo solo se ve, meses después, como una línea en un boletín de actualizaciones.
Cómo mide la comunidad de seguridad la habilidad
Si la pregunta es quién tiene más habilidad, la comunidad de seguridad usa criterios verificables. El primero es el registro de vulnerabilidades: cada fallo publicado en el catálogo CVE lleva un identificador y suele reconocer a quien lo descubrió. Una persona con decenas de CVE en productos muy usados deja un historial público que cualquiera puede revisar.
El segundo criterio son las competiciones de captura de bandera, o CTF. Los equipos resuelven retos de criptografía, ingeniería inversa, seguridad web o análisis de malware contra el reloj. Los resultados quedan registrados en tablas públicas y no dependen de la opinión de nadie. Es lo más parecido a una liga deportiva que tiene este oficio.
El tercero son las conferencias técnicas con revisión de propuestas, como DEF CON o Black Hat, donde presentar una investigación exige que un comité la acepte. Y el cuarto son los programas de recompensas por fallos, cuyas listas de reconocimiento muestran quién reportó vulnerabilidades válidas a empresas concretas. Ninguno de estos criterios premia haber robado datos.
Casos reales en España: el menor de 16 años y los datos de salud de Madrid
Uno de los casos reales más citados ocurrió en abril de 2020, en plena crisis sanitaria. La Policía Nacional detuvo en Madrid a un menor de 16 años acusado de atacar a numerosas entidades públicas y privadas. Según The Olive Press, obtuvo historiales del servicio de salud madrileño y difundió en sus redes información de un político con coronavirus.
Según Genbeta, el menor había publicado la imagen de una aplicación sanitaria dedicada a la prescripción de pruebas y recetas con datos personales visibles. Lo detuvieron durante un registro autorizado por un juez, en el momento en que atacaba la base de datos de una empresa de mensajería. Firmaba sus intrusiones con su alias, y eso permitió relacionarlas.
La lección para quien defiende está en ese último detalle. La identificación no llegó por una proeza forense, sino porque el atacante buscaba reconocimiento y dejaba su firma. Para las instituciones sanitarias, el caso mostró otra cosa más incómoda: aplicaciones con datos clínicos accesibles desde internet en un momento de máxima presión sobre los equipos técnicos.
Alcasec, el caso real que más se asocia con el mejor hacker de España
José Luis Huertas, conocido como Alcasec, fue detenido a principios de 2023 por la Policía Nacional, con 19 años. Según Genbeta, entró en el Punto Neutro Judicial, la plataforma que conecta juzgados con otras administraciones, mediante un correo de phishing a un funcionario, y desde ahí consultó datos de cuentas bancarias de la Agencia Tributaria.
La misma fuente le atribuye accesos a la DGT, al Ayuntamiento de Granada y a una base de datos de la Policía Nacional con información de unos 50.000 agentes. Las cifras de contribuyentes afectados varían según el medio: Genbeta habla de 438.000 registros en un acceso concreto y Xataka Móvil, de más de 575.000 contribuyentes.
El 21 de mayo de 2024, según Xataka Móvil, volvió a ser detenido y quedó en prisión provisional. En mayo de 2025, según Genbeta, fue detenido otra vez en una operación de la jueza de la Audiencia Nacional María Tardón, junto al ex secretario de Estado de Seguridad Francisco Martínez. Se investigan blanqueo, organización criminal y revelación de secretos.
El 28 de mayo de 2026, El Imparcial informó de que Huertas aceptó, por conformidad con la Fiscalía ante la Audiencia Nacional, una pena de dos años y siete meses por el ataque al Punto Neutro Judicial. La causa más amplia sobre la red de ciberataques seguía a la espera de juicio, con presunción de inocencia.
Lo que enseñan estos casos reales a quien defiende
Ninguno de los dos casos empezó con una vulnerabilidad desconocida. El de Alcasec empezó con un correo dirigido a una persona con acceso privilegiado, y el patrón se repite en casi todos los incidentes graves de la administración. Por eso las guías de cómo reconocer un correo de phishing son una medida de seguridad nacional, aunque parezcan un tema doméstico.
La segunda lección es el control de accesos. Una sola credencial de un juzgado de Bilbao permitió consultar datos de todo el país durante cinco horas. Un sistema que avisa cuando un usuario hace miles de consultas fuera de su patrón habitual, o que exige un segundo factor físico para entrar, habría reducido el daño de forma drástica.
La tercera tiene que ver con el talento. Varios jóvenes detenidos en España por intrusiones empezaron muy pronto y sin ningún cauce legal para practicar. Las competiciones y programas de formación existen precisamente para ofrecer ese cauce. Un adolescente que dedica sus tardes a un CTF no está atacando la base de datos de una empresa de mensajería.
Hackers famosos del lado ético en España
Entre los hackers famosos de España con trayectoria profesional, el nombre más conocido es Chema Alonso. Doctor por la Universidad Rey Juan Carlos, fundó en 1999 Informática 64, que Telefónica compró en 2013 y convirtió en ElevenPaths. Ocupó cargos directivos en Telefónica hasta anunciar su salida en marzo de 2025 y presentó investigaciones en DEF CON y Black Hat.
Una de esas investigaciones, sobre inyección SQL a ciegas basada en tiempo con consultas pesadas, se presentó en DEF CON 16. Durante el ataque de WannaCry en 2017, ElevenPaths publicó una herramienta para recuperar archivos cifrados. Es un ejemplo útil de cómo se construye reputación en este oficio: con trabajos que otros pueden leer, probar y citar.
El relevo se forma en buena parte a través de INCIBE. El instituto lidera la participación española en el European Cybersecurity Challenge, la competición que organiza la agencia europea ENISA para jóvenes de 18 a 25 años. En 2025 formó por primera vez dos equipos paralelos, uno femenino y otro masculino, con los mejores resultados en pruebas técnicas tipo CTF.
Hackers famosos y casos reales en América Latina
En América Latina, los nombres más conocidos son colectivos. Guacamaya surgió en 2022 y filtró documentos de una minera guatemalteca y de fuerzas armadas de varios países, incluidos unos seis terabytes de correos de la Secretaría de la Defensa Nacional de México. Se presenta como hacktivista, pero el acceso sin permiso a esos sistemas es el mismo delito.
En Ecuador, el grupo Hotarus Corp afirmó en febrero de 2021 haber atacado al Ministerio de Finanzas con un ransomware sobre un sitio que alojaba un curso en línea, y publicó unas 6.600 combinaciones de usuario y contraseña cifrada. Según BleepingComputer, también reclamó acceso a Banco Pichincha, que precisó que la intrusión afectó a un proveedor de marketing.
El caso ecuatoriano más instructivo, en cambio, no tuvo atacante conocido. En septiembre de 2019, investigadores de vpnMentor encontraron un servidor sin protección atribuido a la empresa Novaestrat, con unos 18 GB de datos de la mayoría de la población. Primicias habló de 17 millones de personas y otros medios, de cerca de 20 millones de registros.
Ese hallazgo lo hizo gente que buscaba fallos y avisó, exactamente lo que hacen los hackers en el sentido original de la palabra. La exposición se cerró el 11 de septiembre de 2019 y la Fiscalía abrió una investigación. Si alguien busca un modelo de hacker famoso, ese tipo de trabajo silencioso es mucho más representativo que un detenido.
Cómo empezar por el camino legal
Para quien llega a esta página con curiosidad por aprender, el camino legal es gratuito en buena parte. INCIBE ofrece formación sin coste dentro de Academia Hacker, con talleres y retos adaptados al nivel de cada persona. La página de cursos de seguridad informática gratis reúne otras opciones para España y Ecuador.
La parte profesional, con perfiles como analista, pentester o responsable de seguridad, está explicada en hackers y seguridad informática: perfiles profesionales. Y para quien fue víctima de una intrusión, en España actúan unidades como la Brigada Central de Seguridad Informática de la Policía Nacional, que investiga este tipo de intrusiones.
Un detalle final sobre el término más buscado. Si alguna vez se publica un ranking de el mejor hacker de España, conviene mirar qué mide: si cuenta detenciones, mide errores; si cuenta CVE, retos resueltos o charlas aceptadas, mide trabajo. El segundo tipo de lista es menos llamativo y bastante más difícil de conseguir.