Pocas palabras arrastran tanto equipaje como «hacker». Para unos es un delincuente con sudadera y capucha; para otros, un genio que salva sistemas a cambio de nada. La realidad es menos épica y más rica: un hacker es, sobre todo, alguien que dedica muchísimas horas a entender cómo funcionan las cosas por dentro.
Mi tesis de arranque: el mundo se divide entre hackers y ciberdelincuentes, y no son lo mismo. Los primeros quieren entender el sistema; los segundos, aprovecharse de él. Confundirlos es el error que llena las películas y vacía los departamentos de seguridad de gente buena.
Qué es un hacker
Un hacker, en el sentido original del término, es una persona que disfruta entendiendo a fondo cómo funciona un sistema —sobre todo ordenadores y redes— y que usa ese conocimiento para encontrar sus fallos y sus límites. La definición clásica está en el glosario de internet RFC 1392 de la IETF, y trae un matiz que se suele olvidar: cuando la palabra se usa como insulto, el término correcto es cracker, el que accede a sistemas sin autorización.
La clave no es la intención, es el método: curiosidad, paciencia y capacidad de mirar dentro. Y un hacker no se identifica por su físico: da igual si es alto o bajo, extrovertido o callado. Lo único que hace falta es ingenio y muchas horas de estudio; la sudadera es opcional.
El término nació en el MIT en los años 50 y 60, para quien encontraba soluciones ingeniosas con recursos limitados. De ahí salió una cultura de aprendizaje compartido: resolver, documentar y pasar el conocimiento. La deriva hacia «delincuente» llegó después, cuando los medios llamaron hacker a cualquiera que rompiera una contraseña.
La cultura hacker: de un club de trenes a las comunidades actuales
Antes de internet y antes de cualquier delito, ya existía una cultura hacker. En 1959, el Tech Model Railroad Club del MIT —estudiantes que automatizaban maquetas de trenes— empezó a llamar hack a las soluciones técnicas ingeniosas. Ese vocabulario pasó a los primeros laboratorios de computación y de ahí a todo el sector.
En 1984, el periodista Steven Levy ordenó sus principios en el libro Hackers: Heroes of the Computer Revolution: acceso libre a la información, desconfianza hacia la autoridad y mérito por habilidad, no por título. El Jargon File, el diccionario informal que recopila ese vocabulario desde los años setenta, confirma que la cultura hacker es, antes que nada, una cultura de documentación compartida.
De ese tronco salieron el software libre, los congresos DEF CON (desde 1993) y el Chaos Computer Club, y las competiciones capture the flag (CTF), donde equipos de todo el mundo resuelven retos de seguridad por deporte.
Tipos de hackers
La forma más útil de ordenar el mapa es por sombreros, por lo que hacen con lo que descubren:
| Tipo | Qué hace | Intención |
|---|---|---|
| Sombrero blanco (hacker ético) | Encuentra fallos y los reporta o los arregla, a menudo por contrato | Proteger |
| Sombrero negro | Explota vulnerabilidades para su propio beneficio | Lucrarse o dañar |
| Sombrero gris | Encuentra fallos sin permiso y luego avisa… esperando que le contraten | Ambición |
| Hacktivista | Ataca por motivos políticos o sociales | Visibilidad o protesta |
| Script kiddie | Usa herramientas hechas por otros sin entenderlas | Diversión, notoriedad |
La línea entre unos y otros es fina, y la misma persona puede pasar de un lado a otro. Lo que no cambia es el conocimiento: las herramientas son las mismas; lo que cambia es hacia dónde se apuntan.
Además de los tres sombreros clásicos, la comunidad usa otros colores como etiquetas informales, sin estándar detrás: azul para quien prueba el software propio antes de publicarlo, rojo para el que ataca a los sombreros negros y verde para el que está aprendiendo. En el trabajo profesional esos papeles se llaman red team (ataca) y blue team (defiende).
Hacker ético: el que cobra por hacerlo bien
El hacker ético es un profesional. Las empresas le pagan por intentar entrar en sus propios sistemas, con permiso y por escrito, para encontrar agujeros antes que los malos. Es lo que se conoce como pentesting (pruebas de penetración) y es una de las salidas laborales más demandadas de la seguridad informática. El método no se improvisa: el NIST documenta la evaluación técnica de seguridad en su guía SP 800-115.
Su trabajo no se parece a lo que sale en el cine: meses estudiando cómo funcionan las cosas, leyendo sobre errores conocidos y buscando el punto débil. Y el punto débil casi siempre es el mismo: la persona. Basta un usuario con la contraseña apuntada en un pósit pegado a la pantalla (lo hemos visto todos, y lo seguiremos viendo) para tirar por tierra la mejor configuración del mundo.
También programan, y mucho: escriben herramientas, automatizan pruebas y analizan código malicioso. Y antes de empezar fijan el alcance por escrito —qué sistemas se pueden tocar, en qué horario y qué se hace si aparece una vulnerabilidad grave—. Sin ese permiso, la misma prueba deja de ser una auditoría y pasa a ser un delito.
Bug bounty: cobrar por encontrar fallos
Un programa de bug bounty (recompensa por fallos) es un acuerdo por el que una organización publica unas reglas y paga a investigadores externos por cada vulnerabilidad válida que le reporten. Es la diferencia con el pentesting: allí se contrata un alcance cerrado; aquí cualquiera investiga dentro de las normas y cobra solo por lo que encuentra.
El modelo está institucionalizado. Google paga recompensas por fallos desde 2010 con su programa de recompensas, y en Estados Unidos la directiva BOD 20-01 de CISA obliga a las agencias federales a publicar una política de divulgación de vulnerabilidades. El bug bounty no sustituye al pentesting: lo complementa con muchos ojos mirando a la vez.
Hacker y ciberdelincuente no son sinónimos
Aquí está el matiz que se pierde. Un ciberdelincuente es quien comete un delito usando la tecnología para obtener un beneficio: robarte datos, secuestrar tus archivos, vender accesos. Muchos no tienen el nivel de un hacker de verdad; compran el software hecho por otros, como el script kiddie que se cree peligroso por copiar un comando.
Un hacker, en cambio, puede ser una pieza clave de tu equipo. Hacen falta hackers para enfrentarse a hackers: cuando un ransomware como WannaCry cifró equipos de medio mundo en 2017, quien lo frenó no fue un antivirus, fue gente que entendía el sistema por dentro.
Algunos nombres que conviene conocer:
- Julian Assange (Australia, no Suecia): fundador de WikiLeaks, conocido por las filtraciones de documentos clasificados a partir de 2010.
- Anonymous: no es una persona, sino un colectivo descentralizado activo desde mediados de los 2000, autor de acciones de todo tipo, muchas hacktivistas.
- Chema Alonso: ejemplo de hacker «del lado bueno», directivo de Telefónica y referente en ciberseguridad en España: la prueba de que un hacker puede ser la persona que quieres tener en nómina.
- Kevin Mitnick: pasó de ser uno de los fugitivos más buscados del país a trabajar como consultor de seguridad. El recorrido de un mismo sombrero.
Mitos del cine frente a la realidad
El hacker de las películas es cómodo para el guion y muy poco fiel a lo que ocurre en un equipo de seguridad real. Estas son las diferencias que más se repiten:
| Lo que se ve en el cine | Lo que ocurre de verdad |
|---|---|
| Entra en un sistema en diez segundos | El acceso llega tras semanas de reconocimiento y de probar caminos que no llevan a ninguna parte |
| Interfaces en 3D, cuentas atrás y alarmas | Terminales, registros y hojas de cálculo. La herramienta menos vistosa: la paciencia |
| Lo adivina todo tecleando | La vía de entrada más habitual es humana: phishing, contraseñas reutilizadas, configuraciones por defecto |
| Siempre va con sudadera y capucha | Profesionales con contrato, horario y un informe que entregar al cliente |
| Todo hacking es delito | Con permiso por escrito, probar la seguridad de un sistema es un trabajo legal y perfectamente regulado |
Preguntas frecuentes
¿Qué es un hacker?
Una persona con conocimientos profundos de informática que los usa para entender cómo funcionan los sistemas y encontrar sus fallos. No implica delito: la diferencia está en qué hace luego con lo que descubre.
¿Cuántos tipos de hackers hay?
La clasificación más común usa sombreros: blancos (éticos, trabajan protegiendo), negros (delincuentes), grises (sin permiso, pero avisan). A ellos se suman hacktivistas y script kiddies.
¿Hacker y ciberdelincuente es lo mismo?
No. Un ciberdelincuente comete un delito con la tecnología; un hacker puede ser un profesional contratado para proteger sistemas. El desconocimiento de esta diferencia es lo que hace que «hacker» se use como insulto.
¿Qué es un bug bounty y es legal?
Un programa por el que una organización paga a investigadores externos por reportar vulnerabilidades bajo sus reglas. Es legal si se respeta ese marco: investigar solo dentro del alcance publicado y reportar el fallo sin explotarlo.
¿Cómo se detectan los fallos de seguridad?
Con pruebas autorizadas (pentesting), análisis de código, revisión de configuraciones —la guía de pruebas de OWASP es referencia habitual— y formación de los usuarios, casi siempre el eslabón más débil.
¿Qué se necesita para ser hacker ético?
Base sólida en redes, sistemas y programación, curiosidad, constancia y un marco legal claro: trabajar siempre con permiso. Sin él, lo mismo deja de ser auditoría y pasa a ser delito.
Conclusión
El hacker del imaginario popular es una mezcla de romantización y miedo: alguien que teclea rápido y salta sistemas «al vuelo» en diez minutos. El hacker real estudia mucho, programa bastante y pasa horas leyendo sobre fallos conocidos. No hay glamour; hay método.
Y por eso conviene distinguir: el conocimiento es neutro, la intención no. Un país o una empresa necesitan tantos hackers como puedan permitirse, sobre todo para defenderse. Si te interesa la otra cara de esa moneda, aquí tienes qué es un virus informático, cómo funciona el acceso basado en roles y la historia de la informática, donde empezó todo esto.