Cómo trabaja un pentester: test de intrusión, Corea del Norte y elecciones ganadas en Facebook
La palabra hacker todavía dibuja en mucha gente a un adolescente con capucha rompiendo contraseñas en un sótano. La realidad es bastante más interesante y muchísimo más profesional. Este artículo recoge lo que se dijo en una conversación de pódcast con un pentester:
- en qué consiste el oficio cuando se le quita el atrezo,
- qué separa exactamente un test de un delito,
- cómo se prueban un banco, una empresa y un entorno cloud,
- por qué Corea del Norte roba criptomonedas y qué pinta ahí Cambridge Analytica,
- y sobre todo: cómo se cae sin enterarse.
La grabación está en eslovaco. Lo que sigue no es una transcripción, sino un resumen en español de la conversación: si no entiendes el idioma, aquí tienes el contenido del episodio sin necesidad de darle al play.
Qué hace de verdad quien entra en sistemas con permiso
Un pentester hace, en lo esencial, lo mismo que haría un atacante: llegar a donde no debería llegar nunca quien usa el sistema a diario. La diferencia cabe en una línea y lo decide todo: trabaja por encargo escrito de quien es titular del sistema, con unas reglas pactadas antes de empezar.
Una semana cualquiera mezcla una aplicación web recién publicada, la red interna de un banco y el entorno cloud de una empresa grande. El objetivo no cambia nunca: encontrar los fallos antes que alguien con peores intenciones.
Si quieres ver cómo se concreta eso en un proyecto, ahí está nuestra página de test de intrusión. Y si el punto de partida es más básico, qué es el pentesting lo cuenta desde cero.
La frontera entre un test y un delito
El episodio vuelve una y otra vez sobre lo mismo: lo que separa a un pentester de un atacante no es la técnica, es la autorización. Las herramientas son idénticas. El permiso no.
En España, acceder sin autorización a un sistema de información ajeno está castigado por el art. 197 bis del Código Penal, y borrar, dañar o hacer inaccesibles datos ajenos, por el art. 264. No hay eximente de buena intención: el tipo penal mira el acceso, no el propósito. Con un encargo firmado, en cambio, el mismo gesto es una prestación de servicios. La empresa está diciendo, en el fondo:
«Prefiero que hoy me enseñe el agujero alguien a quien he contratado
a que dentro de tres meses me lo cobre alguien a quien no conozco.»
Un test de intrusión es exactamente eso: un traspaso de límites bajo control, con un informe detrás y recomendaciones concretas sobre qué corregir y en qué orden. Un detalle que ahorra disgustos: cuando los sistemas los aloja o los opera un tercero, hace falta además la autorización de ese tercero. La firma de tu cliente no cubre la infraestructura de su proveedor.
Ese recorrido —quién firma, qué se autoriza y qué queda fuera— está desarrollado en cómo se hackea de forma legal.
Cómo se prueban la banca, una empresa y un entorno cloud
Un test de intrusión es al sistema de información lo que el crash test al coche. En la práctica, alrededor de la mitad de los proyectos son aplicaciones web: banca electrónica, portales de cliente, soluciones SaaS, herramientas internas.
Caja negra o caja gris
La caja negra reproduce la posición de un atacante externo:
- no sabe casi nada del sistema,
- no tiene credenciales ni documentación interna,
- solo ve lo que está publicado en internet.
En un proyecto real suele rendir más la caja gris: el cliente facilita un entorno de pruebas y cuentas con roles distintos. Así no se prueba solo la autenticación —el inicio de sesión—, sino la autorización, que es donde aparecen los hallazgos caros:
- ¿ve alguien datos que no debería ver nunca?
- ¿puede una cuenta sin privilegios ejecutar acciones reservadas a quien administra el sistema?
- ¿se salta la comprobación de permisos llamando directamente a la API o cambiando un identificador en la URL?
Qué se mira exactamente
En banca, fintech y grandes cuentas los frentes habituales son estos:
- Aplicaciones web y API — inyección SQL, XSS, sesiones débiles, control de acceso roto y, sobre todo, fallos de lógica de negocio, que ninguna herramienta encuentra sola. Es el terreno del pentesting de aplicaciones web.
- Infraestructura interna — dominios Windows, VPN, servidores, puestos de trabajo. La pregunta es siempre la misma: desde un solo ordenador comprometido, ¿se llega a los sistemas que de verdad importan? Ahí entra la auditoría de infraestructura.
- Entornos cloud (AWS, Azure, GCP) — roles de IAM, reglas de filtrado, servicios expuestos, almacenamiento y segmentación de red. Es lo que cubre la auditoría de entornos cloud.
- Wi-Fi y redes — contraseñas débiles, segmentación pobre, firmware antiguo, puntos de acceso no autorizados.
Un matiz que conviene tener claro antes de firmar nada: esto no es un análisis de vulnerabilidades. Una herramienta enumera lo conocido; un test de intrusión encadena hallazgos, los explota y demuestra el impacto. Cuestan cosas distintas porque hacen cosas distintas.
Cuando los mismos hallazgos vuelven cada año
Una verdad incómoda de la conversación: hay empresas que contratan un test todos los años y todos los años se encuentran los mismos hallazgos.
¿Por qué? Porque para una parte del mercado el test es sobre todo una casilla que marcar en un informe de auditoría. Sin intención real de corregir, el ejercicio se convierte en una formalidad y, de paso, en un gasto recurrente que no compra nada.
Por eso el retest posterior a la corrección va incluido en nuestro precio: convierte la corrección en algo comprobable, y lo comprobable es mucho más difícil de aplazar. Las cifras y lo que entra en cada línea están en cuánto cuesta un pentest en España.
Y si lo que te empuja es el cumplimiento, conviene saber qué obliga de verdad. El art. 32.1.d) del RGPD pide «un proceso de verificación, evaluación y valoración regulares de la eficacia» de las medidas técnicas y organizativas: un informe fechado sirve de evidencia, una buena intención no. Si trabajas para la Administración, la exigencia es más concreta y vive en el Esquema Nacional de Seguridad, tratado en qué exige realmente el ENS sobre pentesting. A 12 de septiembre de 2026, en cambio, la Directiva NIS2 no está transpuesta en España, de modo que la obligación no te llega por esa vía; lo que sí está en vigor lo desglosamos en NIS2 en España: qué obliga hoy y qué no.
Corea del Norte, grupos APT y criptomonedas
En el ciberespacio hace tiempo que no hay solo individuos sueltos. Hay grupos APT (Advanced Persistent Threat): equipos financiados o dirigidos directamente por Estados, con nómina, turnos y objetivos anuales.
Los nombres que más se repiten son Corea del Norte, Rusia, China y, según la campaña, Irán u otros actores. Quien quiera seguir ese mapa en español lo tiene publicado: el CCN-CERT edita cada año un informe de ciberamenazas y tendencias, y el INCIBE-CERT publica avisos de seguridad casi a diario sobre productos de uso corriente.
Como lo resume el invitado, Corea del Norte es «un país pobre con hackers muy ricos». Esos grupos se han especializado en robar criptomonedas: plataformas de intercambio, proyectos DeFi, servicios mal protegidos. La cripto les encaja porque se mueve deprisa, conserva un anonimato razonable y sirve para esquivar sanciones. Varios de los mayores robos de los últimos años se les atribuyen.
Que no es una discusión abstracta lo demuestra el propio derecho de la Unión. El régimen de sanciones frente a los ciberataques —Reglamento (UE) 2019/796— incorporó en 2020 a personas y entidades vinculadas a operaciones norcoreanas, entre ellas una entidad señalada por su papel en WannaCry. Un grupo de hackers en una lista de sanciones europea dice bastante sobre dónde ha quedado la frontera entre delincuencia y política exterior.
Para ver cómo se comporta un ataque complejo dentro de un marco controlado, ahí está el Red Team: un ejercicio a escala real, con objetivos y sin avisar al equipo de defensa. Cómo fue uno de verdad, contado desde dentro, está en Red Team en la práctica.
Cambridge Analytica y la versión española de esa historia
Atacar no va solo de servidores y contraseñas. Más rentable todavía resulta explotar la psicología de la gente.
El caso Cambridge Analytica enseñó para qué servían unos datos de Facebook:
- perfilar a votantes por emociones, miedos y frustraciones,
- lanzar campañas milimetradas que aprietan justo donde duele,
- empujar la opinión pública hacia un candidato o un partido.
Técnicamente no se comprometió ni un servidor. Lo que se manipuló fueron miles de millones de muros de noticias.
En España esa historia tiene una secuela con nombre y número, y casi nadie la cuenta. La Ley Orgánica 3/2018 (LOPDGDD) introdujo, por su disposición final tercera, un art. 58 bis en la LOREG cuyo apartado 1 permitía a los partidos políticos recopilar datos sobre opiniones políticas obtenidos en páginas web y otras fuentes de acceso público «en el marco de sus actividades electorales». El Defensor del Pueblo lo recurrió y el Tribunal Constitucional lo anuló en la STC 76/2019, de 22 de mayo, por vulnerar el derecho fundamental a la protección de datos.
Dicho de otro modo: el debate que en el Reino Unido y en Estados Unidos ocupó a comisiones parlamentarias, aquí se resolvió en el Constitucional y se resolvió a favor de la persona. Conviene recordarlo cada vez que alguien presenta el perfilado a partir de datos públicos como una técnica neutra. Porque lo que la ley le impide a un partido, un atacante lo hace igual y sin pedir permiso: recopila lo que está publicado y lo convierte en un pretexto creíble. La mecánica completa está en OSINT e IA: cómo los atacantes usan información pública.
Cómo se cae sin enterarse
Puedes usar Mac, Windows o Linux, tener antivirus, cortafuegos y VPN, y caer igual. Basta un momento de estrés, una llamada a deshora o un SMS que abres demasiado deprisa.
El SMS del dominio que caducaba
El episodio cuenta una historia que debería inquietar incluso a quien lleva años en esto. A un pentester le llega un SMS avisando de que se le caduca un dominio:
- el nombre del dominio es correcto,
- la fecha de caducidad es correcta,
- el nombre del registrador es correcto.
¿De dónde salía todo eso? De una fuga de datos antigua del propio proveedor. Los atacantes no inventaron nada: tenían datos reales y los envolvieron en un SMS creíble. Con prisa y a mitad de otra cosa, estuvo a punto de pagar. Fue en la pantalla del pago donde algo no encajó, y paró.
Eso es el phishing de hoy: preciso, personalizado y bien cronometrado. Nada que ver con el correo mal traducido de hace diez años, que es la imagen con la que mucha gente sigue trabajando. Cómo ha cambiado la redacción desde que hay IA de por medio lo tienes en qué es el phishing con IA y cómo detectarlo.
Ingeniería social: el objetivo son las personas, no el cortafuegos
Un atacante no siempre necesita un fallo en el código. Muchas veces le basta con un fallo en la conducta: miedo, rutina, confianza, autoridad o prisa. La mecánica, con sus fases, está en qué es la ingeniería social.
Los guiones que más se ven en España son estos:
- La estafa del CEO. Una transferencia urgente y confidencial que pide alguien a quien no se le dice que no. Cuando la voz va clonada el guion no cambia, solo pierde su última debilidad: ya no hay que escribir. Lo desarrollamos en estafa del CEO con deepfake de voz.
- El falso empleado del banco. Llamada desde un número parecido al de tu oficina, con tu nombre y a veces con tus últimos movimientos, para que valides una operación «y así poder bloquearla».
- El SMS de la empresa de reparto. Un paquete retenido y unos céntimos de aduana que pagar. INCIBE y la Oficina de Seguridad del Internauta llevan años avisando de campañas que suplantan a Correos, a la Agencia Tributaria o a la DGT.
- El correo del organismo oficial. Una multa, una devolución, un requerimiento. El adjunto o el enlace es lo único que importa; el resto es decorado.
- El consejo de inversión. Un anuncio en redes con una cara conocida detrás y una rentabilidad que no existe.
La ingeniería social sigue siendo de las técnicas con mejor tasa de éxito, y por eso forma parte de cualquier test de ingeniería social serio y de todo ejercicio de Red Team que se precie.
Si decides probarlo con tu propia plantilla, hazlo con el expediente en regla: información previa, informe del comité de empresa cuando lo haya y resultados agregados, nunca una lista de nombres. El recorrido completo, con los artículos que lo sostienen, está en simulación de phishing y derechos de los trabajadores.
Seis reflejos que sí funcionan
- No decidas con prisa. Si alguien te impone un plazo de diez minutos, ese plazo ya es la señal.
- No pulses los enlaces de SMS y correos de «bancos» u «organismos». Escribe la dirección a mano o entra por la aplicación oficial.
- Verifica por un segundo canal. Si «el banco» llama, cuelga y marca tú el número de la web oficial o del reverso de la tarjeta. Y usa otro aparato, porque volver a marcar sin colgar del todo no demuestra nada.
- Activa el doble factor. La autenticación multifactor sigue siendo la medida más barata en relación con lo que evita.
- Mantén los sistemas al día. Una actualización no es una ventana molesta: cierra agujeros conocidos que alguien está buscando ahora mismo.
- Trabaja la concienciación del equipo. Las personas son el eslabón más expuesto, y la concienciación en ciberseguridad con simulaciones de phishing reduce el riesgo de forma medible.
Y si ya has picado
Cuelga, no borres nada y avisa. Si hay dinero de por medio, llama al banco de inmediato y pide que inicie la recuperación de fondos: las primeras horas lo deciden casi todo. Conserva las pruebas —registro de llamadas, mensajes, correos, la orden de pago—, denuncia ante la Policía Nacional o la Guardia Civil y, si han quedado expuestos datos personales, valora la notificación a la AEPD dentro del plazo de 72 horas del art. 33 del RGPD. La línea 017 de INCIBE orienta gratuitamente, también a empresas, y el INCIBE-CERT es el canal de referencia para incidentes en el tejido empresarial.
Lo que nos llevamos
- El pentester es un aliado, no un adversario. Hace lo que haría un atacante, pero antes, bajo control y con un informe delante.
- Un test solo sirve si después pasa algo. Si no, es un PDF en una carpeta compartida.
- La mayor debilidad no es técnica, es humana. Los procesos, la cultura y la concienciación pesan tanto como el cortafuegos.
- Los Estados descubrieron hace mucho que el dato es poder. De los robos de cripto norcoreanos a Cambridge Analytica y al art. 58 bis anulado, el ciberespacio es terreno de disputa.
- También se la cuelan a quien sabe. La diferencia está en lo que aprende después y en qué procedimiento cambia.
Y una frase que merecería estar colgada en cada sala de servidores:
La seguridad no es un estado, es un proceso.
No existe el «ya está, ya somos seguros». Existe el «hoy estamos un poco menos expuestos que ayer».
Este artículo es divulgativo y no constituye asesoramiento jurídico. Haxoris es un proveedor europeo de seguridad ofensiva, una empresa establecida en la Unión Europea con oficinas en Bratislava y Praga: ejecutamos las pruebas técnicas y entregamos el informe, no expedimos certificaciones ni dictámenes de conformidad. Los datos y los informes permanecen en la Unión Europea y el RGPD se aplica directamente, sin transferencia internacional del capítulo V. Última verificación de las referencias normativas citadas: 12 de septiembre de 2026.
Preguntas frecuentes
01¿En qué idioma está el episodio?
La grabación está íntegramente en eslovaco. Este artículo no es una transcripción, sino un resumen en español de la conversación: el oficio de quien hace pentesting, cómo se prueban la banca y los entornos cloud, qué son los grupos APT y por qué el phishing de hoy engaña también a los profesionales. Si no entiendes el idioma, el texto te deja el contenido del episodio sin necesidad de escucharlo.
02¿Qué diferencia a un pentester de un atacante?
La autorización, no la técnica. Las herramientas y los procedimientos son los mismos; lo que cambia es que existe un encargo previo y por escrito de quien es titular del sistema, con alcance, fechas y reglas pactadas de antemano. Sin ese encargo, acceder sin autorización a un sistema de información ajeno está castigado por el art. 197 bis del Código Penal y borrar o dañar datos ajenos por el art. 264. Si los sistemas los aloja o los opera un tercero, hace falta además la autorización de ese tercero.
03¿Caja negra o caja gris?
La caja negra reproduce la posición de un atacante externo que no sabe nada del sistema y solo ve lo publicado en internet. La caja gris parte de un entorno de pruebas y de cuentas con roles distintos, y por eso rinde más en la mayoría de proyectos: permite probar no solo la autenticación sino la autorización, que es donde aparecen los hallazgos caros. Ver datos de otra persona, ejecutar acciones reservadas a quien administra el sistema o saltarse la comprobación de permisos llamando directamente a la API rara vez se descubre desde fuera.
04¿Cada cuánto conviene hacer un test de intrusión?
Al menos una vez al año y, además, cada vez que cambie algo relevante: una versión mayor, una migración a cloud, una integración nueva o un cambio en el modelo de permisos. El art. 32.1.d) del RGPD pide un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas de seguridad, y un informe fechado es la evidencia de ese proceso. En el ámbito del Esquema Nacional de Seguridad la exigencia es más concreta y depende de la categoría del sistema. A 12 de septiembre de 2026 la Directiva NIS2 no está transpuesta en España, así que la obligación no llega por esa vía.
05¿Cómo reconozco un SMS o una llamada fraudulentos?
Por el comportamiento, no por las faltas de ortografía: los datos pueden ser correctos porque proceden de una fuga anterior. Las señales fiables son la prisa impuesta, la petición de confidencialidad, la negativa a cambiar de canal y una petición de pago o de cambio de cuenta que no sigue el procedimiento habitual. El control que aguanta es devolver la llamada a un número que ya conocías —el de la web oficial, el del reverso de la tarjeta, el del directorio interno— y nunca al que aparece en pantalla. La línea 017 de INCIBE orienta gratuitamente, también a empresas.
