Alestra

Al hablar de hackers siempre pensamos en robo de información, ciberataques, espionaje y daños que afectan la privacidad de los usuarios de internet. Ciertamente, la experiencia de la mayoría de las afectados es esta, ya que los hackers tienen el objetivo de obtener beneficios económicos por medio de sus ataques digitales.

Sin ir más lejos, México fue el país de Latinoamérica con más intentos de ciberataques en 2022. En total, el país recibió 187 mil millones de intentos, según datos de Fortinet.

Pero hoy en día, se ha desarrollado la noción de que las acciones de los hackers en la red pueden ser positivas, al grado de llegar a ayudar a las empresas y negocios con sus estrategias de ciberseguridad. Este fenómeno, conocido como hackers éticos o “White Hat” es una estrategia utilizada por expertos en seguridad para reforzar la protección digital de las páginas web y contenidos en el internet.

¿Qué tipos de hacker existen?

A grandes rasgos, podemos detectar que en la red existen varios tipos de hackers, además del hacker ético. Si bien algunos pueden pertenecer a distintas clasificaciones, dependiendo de su manera de interactuar con otros usuarios y organizaciones, te presentamos los cinco tipos de hackers principales:

• White hat hacker: también conocido como hacker ético. Este tipo de hacker trabaja dentro de la ley. En este sentido, su trabajo consiste en aplicar sus conocimientos para detectar vulnerabilidades en los sistemas de seguridad informática y proponer soluciones y ajustes para hacerlos menos vulnerables.

• Black hat hacker: un hacker de sombrero negro es, como su nombre indica, lo contrario a un hacker ético. Actúan atacando al sistema con la intención de destruirlo, robar sus datos o comprometer la información delicada que se incluye en ellos. Muchas de sus acciones son ilegales, ya que aprovechan las vulnerabilidades del sistema para beneficio propio.

• Grey hat: este concepto hace referencia a aquellos hackers que actúan de manera ilegal, pero tienen buenas intenciones. De este modo, son una mezcla entre los hackers éticos y los sombreros negros.

• Script-kiddie: también se denominan hackers blue hat. Son aquellos que no tienen la intención de aprender o de utilizar sus conocimientos para desarrollar nuevas soluciones. Su única motivación es ganar popularidad o cobrar venganza utilizando herramientas de otros hackers, ya que suelen carecer de habilidades para escribir su propio programa de pirateo.

• Hacktivistas: este segmento se caracteriza por utilizar sus conocimientos para infiltrarse en las redes gubernamentales para obtener información clasificada y difundirla con fines políticos.

Estas clasificaciones se generan con fines de comprensión, pero suelen difuminarse en la práctica. Por ejemplo, algunos hackers, como el legendario Kevin Mitnick, comenzaron como black hats, pero transitaron al trabajo de un hacker ético. Otros, como Julian Assange, se iniciaron como grey hats y transitaron hacia el hacktivismo.

¿Qué es un hacker ético?

Un hacker ético es un profesional que utiliza sus conocimientos informáticos con fines bienintencionados. En este sentido, trabaja de la mano con organizaciones o con usuarios para determinar qué amenazas existen en la seguridad de sus sistemas informáticos. Esto les permite identificar los puntos débiles y realizar acciones para solucionarlos. 

Gracias a este tipo de hacker, se pueden realizar diagnósticos sobre las posibles deficiencias que hay en un sistema digital.

Diferencias entre un hacker ético y uno malintencionado

El trabajo de todo hacker tiene algo en común: encontrar las vulnerabilidades en un sistema o red para poder acceder y disponer de la información que contiene. No obstante, la principal diferencia que existe entre un hacker ético y uno malintencionado radica en el uso que este hace de la información. 

Si bien los hackers black hat, blue hat, grey hat y hacktivistas entran a una red o sistema en contra de la voluntad del propietario, un hacker ético accede al sistema con la autorización del propietario con el fin de reforzar su seguridad y desempeño mejorando y preparando a la organización, es decir no para el beneficio propio.

¿Qué hace un hacker ético?

Las principales pruebas que realiza un hacker ético son las pruebas de penetración (del inglés, Pen-testing). Estas pruebas consisten en atacar bases de datos, infraestructura digital y sistemas de seguridad con el objetivo de encontrar fallas o vulnerabilidades explotables. 

Si bien estos mismos adaptan su modelo de trabajo a las particularidades de cada organización, podemos identificar cinco pasos que, por lo general, siguen en una prueba de penetración:

• Enumeración: el hacker ético recopila toda la información que pudiera ser relevante para el atacante, como dominios, IP, puertos, versiones, metadatos, etc.

• Analizar vulnerabilidades: realiza todas las acciones posibles que ayuden a comprometer el funcionamiento del sistema, con el fin de encontrar cómo acceder a este mismo. Algunas de las vulnerabilidades más comunes son componentes obsoletos, la pérdida del control de acceso, fallos en el registro y la supervisión de seguridad, entre otros.

• Uso de vulnerabilidades: una vez detectadas las vulnerabilidades, el hacker ético utiliza la información obtenida en el paso anterior para entrar en el sistema.

• Acceso no autorizado al sistema: aunque no siempre se realiza este paso, si cuenta con la autorización de la empresa, es capaz de realizar acciones como si se tratara de un usuario del sistema más, esto es, obtener información confidencial, acceder a otros sistemas desde el sistema comprometido, etc.

• Informe y caminos a seguir: el hacker ético entrega un reporte detallado de las vulnerabilidades, sus problemas y la mejor manera de hacerles frente.

Otras estrategias, al margen de las pruebas de penetración, incluyen ataques de DoS, el Phishing y decodificación de contraseñas, así como otros tipos de pruebas centradas en obtener ingreso a las aplicaciones o contenidos de la empresa. Y es que, al aplicar ataques que un hacker regularmente haría, se logran detectar los puntos débiles dentro de la organización  y poder desarrollar o actualizar una estrategia de ciberseguridad.

¿Cuáles son los tipos de hackeo ético?

Dependiendo de la perspectiva que se plantee y el objetivo a atacar, el hackeo ético puede adoptar alguno de los siguientes modelos para las pruebas de penetración:

• Black Box: se trata de emular el ataque de un delincuente cibernético externo y sin acceso al sistema. Al hacker ético se le proporciona únicamente la información indispensable para que descubra las vulnerabilidades del sistema desde el exterior.

• Grey box o Caja gris: el objetivo aquí es llegar a partes específicas de una aplicación del sistema, de tal manera que se pueda encontrar fallas mucho más críticas en la seguridad, gracias a que se conoce la arquitectura del sistema.

• White box o Caja blanca: se proporciona toda la información al hacker ético. Este revisa el código fuente en su totalidad y obtiene una perspectiva más completa sobre las vulnerabilidades y sus soluciones a corto, mediano y largo plazo.

Beneficios del hackeo ético para las empresas

Los ejercicios de hacking ético dan a las empresas y negocios un panorama sobre las deficiencias de sus estrategias de seguridad por medio de ataques premeditados similares a los hackers maliciosos. Esto les permite identificar los puntos débiles y realizar acciones para solucionarlos. 

Sin ir más lejos, algunos de los beneficios más relevantes del ethical hacking son los siguientes: 

• Muestran errores de configuración de las aplicaciones instaladas en los sistemas que pudieran comprometer la seguridad de la empresa.

• Identifican sistemas que necesitan ser actualizados para evitar ataques inminentes.

• Brindan un panorama sobre las vulnerabilidades con el fin de dar prioridad a acciones urgentes.

• Evitan que la empresa pierda tiempo y merme su productividad tras recibir un ataque cibernético.

En definitiva, gracias a este tipo de hacker, se pueden realizar diagnósticos sobre las posibles deficiencias que hay en un sistema digital. Actualmente, existen programas de entrenamiento y certificación para preparar a expertos en seguridad como hackers éticos que ayuden a empresas y organizaciones a encontrar sus vulnerabilidades. De hecho, una de las certificaciones más populares fue elaborada por el Consejo Internacional de Consultores de Comercio Electrónico.

Además de certificaciones, existen organizaciones sin fines de lucro que se dedican a buscar bases de datos vulnerables y a alertar a sus dueños. Por ejemplo, GDI Foundation, una ONG holandesa dedicada al hacker ético, dio a conocer varias bases de datos de páginas chinas que resultaron en una controversia sobre la privacidad de los internautas chinos.

Y es que los hackers éticos juegan un papel muy importante, ya que su trabajo forma parte de la cultura de la prevención que todas las empresas deben desarrollar como parte de sus estrategias informáticas. La relevancia de estos hackers ha llegado a tal nivel que, incluso, algunas empresas como Google o Facebook tienen programas en los que se entrega una recompensa económica a cualquier hacker que encuentre y notifique sobre vulnerabilidades o errores de sus páginas web.

La idea de tener un hacker que ataque tu estrategia de ciberseguridad para detectar errores es sin duda una forma de encontrar vulnerabilidades. Sin embargo, el hecho de contar con un aliado como Alestra, te ayudará a elaborar una estrategia apropiada para protegerte de las amenazas y peligros del internet, garantizando la seguridad de tu información sensible y la tranquilidad de tus clientes. 

Como expertos en seguridad digital, podemos ofrecerte soluciones integrales para conocer el nivel de exposición y riesgo de tu infraestructura ante posibles ataques externos. En este sentido, con nuestro Análisis de Vulnerabilidades podemos identificar posibles debilidades y brechas en tu infraestructura tecnológica, mientras que con las Pruebas de Penetración podemos simular ataques cibernéticos y probar la capacidad de respuesta de la estrategia de seguridad de tu negocio.

En Alestra, #SomosExpertos. Visita nuestra página oficial para conocer sobre nuestras soluciones y propuestas en temas de seguridad digital.

Staff Alestra

En Alestra, #SomosExpertos, con más de 25 años de liderazgo en México somos el principal habilitador de la transformación digital para empresas y gobierno, a través de soluciones integrales de alta disponibilidad, en alianza con los fabricantes líderes en el mundo. Por medio de nuestras 8 Líneas de Negocio ofrecemos un servicio altamente especializado y cercano a nuestros clientes en Ciberseguridad, Nube, Integración de Sistemas, Colaboración, Movilidad, Transformación Digital, Redes y Conectividad.