- Qué es un «sombrero blanco»
- Hacker ético: el sombrero blanco por excelencia
- El resto de sombreros: no todo es blanco o negro
- Qué hace un hacker ético en su trabajo
- Por qué las empresas contratan sombreros blancos
- El marco legal: la autorización lo cambia todo
- Pentesting o bug bounty: en qué se diferencian
- Preguntas frecuentes
- Conclusión
En el imaginario popular, un «hacker» es alguien con sudadera y capucha que rompe sistemas por diversión o por dinero. La realidad es más matizada: existe una figura que ataca sistemas con permiso, para encontrar fallos antes que los malos. Es el sombrero blanco.
Entender qué es un sombrero blanco —y en qué se diferencia de un ciberdelincuente— es la clave para no confundir dos oficios que usan las mismas técnicas con intenciones opuestas. Si quieres el cuadro completo, aquí tienes qué es realmente un hacker, más allá del color del sombrero. Y tiene truco legal: las herramientas son las mismas; lo que cambia es la autorización.
Qué es un «sombrero blanco»
Un sombrero blanco (white hat) es un profesional de la seguridad informática que busca vulnerabilidades en sistemas, redes o aplicaciones con autorización expresa de su propietario y con el objetivo de que se corrijan.
La metáfora viene del cine del lejano oeste: el bueno llevaba sombrero blanco y el malo, negro. En seguridad se adoptó para distinguir la misma destreza técnica según su ética. El sombrero blanco hackea para defender; el negro, para atacar y beneficiarse.
Un matiz que conviene tener claro: hay quien prefiere hablar de «seguridad ofensiva» y «seguridad defensiva» en lugar de colores de sombrero. Es lo mismo visto desde otro ángulo, pero sirve para recordar que atacar con permiso es, en realidad, una forma de defender.
Hacker ético: el sombrero blanco por excelencia
El término que más se usa hoy es hacker ético. Es, básicamente, lo mismo que un sombrero blanco: alguien que aplica técnicas de intrusión de forma legal y ética, sujeto a un contrato y a un alcance definido.
Un hacker ético no «prueba suerte» en sitios aleatorios. Trabaja dentro de unos límites pactados por escrito: qué sistemas puede tocar, en qué horario, con qué técnicas y qué no debe hacer (por ejemplo, no exfiltrar datos reales ni dejar el servicio caído).
El resto de sombreros: no todo es blanco o negro
Con los años, la metáfora se ha ampliado. Estas son las etiquetas más habituales:
| Sombrero | Qué hace |
|---|---|
| Blanco | Ataca con permiso para mejorar la seguridad (hacker ético, pentester). |
| Negro | Ataca sin permiso y con intención de lucrarse o causar daño. |
| Gris | Encuentra fallos sin autorización, pero los reporta al dueño en vez de explotarlos. |
| Azul | Perfil defensivo: detecta y responde a los ataques (equipo «blue team»). |
| Rojo | Equipo ofensivo de un red team que simula ataques reales por encargo. |
| Verde | Construye y mejora sistemas seguros desde el diseño (DevSecOps). |
Ojo: el gris no es «un poco bueno». Actuar sin autorización sigue siendo ilegal, aunque después se reporte el fallo. La diferencia con el blanco no es de grado, es de permiso.
Qué hace un hacker ético en su trabajo
El día a día de un sombrero blanco incluye varias tareas bastante distintas entre sí:
- Test de penetración (pentesting). Simula un ataque controlado contra un sistema concreto para encontrar y documentar vulnerabilidades antes de su corrección.
- Red team. Va más allá de un sistema suelto: prueba la capacidad de detección y respuesta de toda la organización frente a un ataque realista.
- Bug bounty. Busca fallos en programas de recompensa que las empresas abren de forma pública; si el fallo es válido, se paga una recompensa según su gravedad.
- Divulgación responsable. Cuando encuentra un fallo, lo comunica al propietario con tiempo para corregirlo antes de hacerlo público.
El hilo común es simple: encontrar el fallo antes que el atacante y ayudar a que se cierre.
El entregable importa tanto como el hallazgo. Un buen pentest termina con un informe que describe cada vulnerabilidad, su gravedad (a menudo con una puntuación CVSS), cómo reproducirla y, sobre todo, cómo corregirla. Encontrar el fallo es la mitad; que el equipo lo pueda arreglar es la otra.
Por qué las empresas contratan sombreros blancos
No es un capricho técnico. Las pruebas de seguridad se han vuelto una pieza habitual de la gestión de riesgos y, en muchos sectores, una exigencia:
- Reducir el riesgo real. Encontrar un fallo explotable antes de que lo haga un atacante ahorra incidentes, dinero y reputación.
- Cumplir normativas. Marcos como ISO 27001, PCI DSS o el NIS2 europeo empujan a probar la seguridad de los sistemas de forma periódica.
- Confianza de clientes. Poder demostrar que un tercero independiente ha probado los sistemas es una señal de seriedad.
En otras palabras: contratar un sombrero blanco es pagar por que alguien encuentre tus errores antes de que los encuentre alguien con peores intenciones.
El marco legal: la autorización lo cambia todo
Aquí está la frontera que separa un sombrero blanco de un delito. Acceder a un sistema sin autorización es ilegal, aunque no se cause daño y aunque se haga «para avisar».
Por eso el trabajo profesional se apoya en marcos y metodologías reconocidas y en un contrato de alcance:
- NIST SP 800-115: guía de referencia para pruebas de seguridad técnica.
- CISA: recomienda políticas claras de divulgación de vulnerabilidades.
- OWASP: metodología y listas de referencia para probar aplicaciones web.
Un pentest serio empieza siempre con un documento firmado que autoriza la prueba y delimita el alcance. Sin ese papel, no hay sombrero blanco: hay intrusión.
Pentesting o bug bounty: en qué se diferencian
Son las dos vías más comunes para encontrar fallos con permiso, pero funcionan de forma distinta:
- Pentesting. Un encargo cerrado, con alcance, fechas y un informe final. Da certeza sobre qué se probó y cuándo.
- Bug bounty. Un programa abierto y continuo donde cualquier investigador registrado puede reportar fallos y cobra una recompensa según su gravedad. Mantiene ojos sobre el sistema de forma permanente.
No son excluyentes: muchas empresas combinan pruebas puntuales con un programa de recompensas para cubrir el día a día.
Preguntas frecuentes
¿«Sombrero blanco» y «hacker ético» son lo mismo?
En la práctica sí. Ambos describen a alguien que aplica técnicas de ataque con autorización y fines defensivos. «Hacker ético» es el término más usado hoy; «sombrero blanco» es la etiqueta original.
¿Un sombrero blanco puede hacer lo mismo que un ciberdelincuente?
Puede usar técnicas parecidas, pero siempre dentro de un alcance autorizado. La diferencia no está en la herramienta, sino en el permiso y en la intención.
¿El «sombrero gris» es legal?
No. Acceder a un sistema sin autorización es ilegal aunque luego se reporte el fallo. Que la intención sea buena no cambia el hecho de que no había permiso.
¿Cómo se empieza en seguridad ofensiva?
Con fundamentos sólidos: redes, sistemas operativos y programación. Después, laboratorios y entornos legales (CTF, máquinas vulnerables) y, sobre todo, entender el marco legal. Nunca practicar sobre sistemas de los que no se es responsable.
¿En qué se diferencia un sombrero blanco de un «script kiddie»?
En el conocimiento y en la ética. Un script kiddie usa herramientas hechas por otros sin entenderlas y sin autorización; un sombrero blanco domina el porqué de cada técnica y trabaja dentro de un marco legal.
Conclusión
El sombrero blanco es la prueba de que la misma habilidad técnica puede usarse para atacar o para defender. Lo que marca la diferencia no es el talento, sino el permiso y la intención.
Si te interesa esta figura, la puerta de entrada no es «aprender a hackear», sino entender cómo funcionan los sistemas y, muy importante, hasta dónde se puede llegar legalmente. Para ver el lado oscuro de la misma moneda, aquí tienes qué es un virus informático y cuáles fueron los más peligrosos. Ahí empieza todo lo demás.