Un hacker de sombrero blanco (hacker ético) es un experto en seguridad que usa sus habilidades con permiso para encontrar y corregir vulnerabilidades antes de que los delincuentes puedan explotarlas.
Qué hacen los hackers de sombrero blanco
Los white hats aplican las mismas técnicas que los hackers de sombrero negro, pero con autorización y dentro de unas reglas acordadas. Su trabajo típico incluye:
- pruebas de penetración de redes, aplicaciones web y entornos en la nube;
- ejercicios de red team que simulan a adversarios reales de principio a fin;
- investigación de vulnerabilidades en software y hardware, seguida de una notificación responsable;
- participación en programas de bug bounty en plataformas como HackerOne y Bugcrowd;
- auditorías de seguridad, revisiones de código y formación.
Entre las certificaciones habituales están OSCP, de OffSec, y CEH, del EC-Council.
Por qué son importantes
Los hackers éticos encuentran los fallos antes que los atacantes. Muchas vulnerabilidades importantes, desde Heartbleed (2014) hasta Spectre y Meltdown (2018), fueron descubiertas por investigadores y corregidas mediante divulgación coordinada: el investigador informa al fabricante en privado y publica los detalles solo cuando hay un parche, normalmente en un plazo de unos 90 días.
La diferencia clave con otros hackers es el permiso. Sin un alcance por escrito o una política de bug bounty, incluso las pruebas bienintencionadas pueden ser ilegales. En 2022 el Departamento de Justicia de EE. UU. anunció que no perseguiría la investigación de seguridad de buena fe bajo la Computer Fraud and Abuse Act, y muchas empresas publican una política de divulgación de vulnerabilidades con cláusulas de «puerto seguro».
Buenas prácticas del hacking ético
- Obtener autorización por escrito y un alcance claro antes de probar.
- No acceder a más datos de los necesarios ni conservar información sensible.
- Comunicar los hallazgos con rapidez por los canales oficiales.
- Dar a los fabricantes un plazo razonable para corregir antes de publicar.
