Hackers: Clasificación técnica de actores ciberdelincuentes
El término «hacker» abarca realidades técnicas diversas. Los organismos oficiales como el CCN-CERT y ENISA clasifican a los actores según motivación, recursos y técnicas empleadas, evitando estereotipos mediáticos simplificados.
Definición técnica y evolución del término
El término «hacker» se originó en el MIT durante la década de 1960 para describir a programadores con habilidades excepcionales para resolver problemas complejos mediante código. Su connotación negativa emergió en los años 80 con la popularización de ataques informáticos documentados en medios de comunicación.
Según el CCN-CERT, en el ámbito profesional se distingue entre «hackers éticos» (profesionales certificados que realizan pruebas de penetración autorizadas) y «actores de amenaza» (individuos o grupos que realizan actividades maliciosas sin autorización).
El estándar ISO/IEC 27000:2018 evita el término «hacker» en su vocabulario técnico, prefiriendo «actor de amenaza» o «adversario cibernético» para mayor precisión. Esta distinción es relevante: no todos los actores que explotan vulnerabilidades tienen fines maliciosos; investigadores de seguridad independientes (bug bounty hunters) colaboran con fabricantes para parchear fallos antes de su explotación pública.
Tipología según motivación y recursos
El CCN-CERT clasifica a los actores de amenaza en cuatro categorías según su motivación y capacidad operativa. Los actores individuales (script kiddies) emplean herramientas automatizadas sin comprensión técnica profunda, motivados por reconocimiento social o vandalismo.
Los grupos criminales organizados operan con estructuras jerárquicas y fines lucrativos, especializándose en ransomware, fraude bancario o venta de datos en mercados clandestinos. Su operativa incluye servicios como Ransomware-as-a-Service (RaaS), documentados en el informe anual de amenazas del CCN-CERT 2025.
Los actores patrocinados por Estados (APT: Advanced Persistent Threats) cuentan con recursos ilimitados y objetivos geopolíticos: espionaje industrial, sabotaje de infraestructuras críticas o influencia en procesos electorales. Informes de ENISA han documentado campañas APT europeas como «Snake» (origen ruso) y «Mustang Panda» (origen chino).
Finalmente, los hacktivistas combinan motivación ideológica con técnicas de ataque, aunque su impacto suele limitarse a defacement de webs o ataques DDoS de corta duración, según el análisis del CCN-CERT sobre incidentes en España durante 2024.
Métodos y técnicas: el marco MITRE ATT&CK
La comunidad técnica utiliza el marco MITRE ATT&CK para catalogar tácticas, técnicas y procedimientos (TTPs) observados en incidentes reales. Este modelo estructura el ciclo de vida de un ataque en fases: reconocimiento, intrusión inicial, escalada de privilegios, movimiento lateral y exfiltración de datos.
Según el informe «Threat Landscape 2025» de ENISA, las técnicas más prevalentes en 2024-2025 fueron: phishing con deepfakes de voz (T1598.002), explotación de vulnerabilidades no parcheadas en sistemas de autenticación (T1190) y uso de credenciales robadas mediante keyloggers (T1056.001).
El CCN-CERT publica periódicamente avisos técnicos (TA26-XXXA) que detallan IoCs asociados a campañas activas, incluyendo hashes de malware, dominios de comando y control, y patrones de comportamiento detectables mediante EDR (Endpoint Detection and Response). Estos avisos permiten a los equipos de seguridad implementar reglas de detección proactivas.
Hackers éticos y marco legal español
Los profesionales de seguridad certificados operan bajo marcos legales estrictos. En España, la Ley Orgánica 9/1999 de Telecomunicaciones y el artículo 197 bis del Código Penal establecen que el acceso no autorizado a sistemas informáticos constituye delito, independientemente de la intención.
INCIBE coordina el programa «INCIBE-CERT Bug Bounty», que permite a investigadores independientes reportar vulnerabilidades en sistemas críticos españoles bajo acuerdos de responsabilidad limitada (Safe Harbor). Este programa sigue el estándar ISO/IEC 30111:2019 para gestión de vulnerabilidades.
Las certificaciones profesales reconocidas incluyen OSCP (Offensive Security Certified Professional), CEH (Certified Ethical Hacker) y GIAC GPEN. Estas acreditaciones exigen cumplir códigos deontológicos que prohíben pruebas no autorizadas, incluso con fines educativos. El CCN-CERT colabora con el Instituto de Ciberseguridad de España para validar programas formativos alineados con el Marco Europeo de Ciberseguridad (Cybersecurity Act).
Respuesta institucional ante actores de amenaza
La respuesta ante actores ciberdelincuentes se coordina a nivel nacional e internacional. En España, el CCN-CERT actúa como punto de contacto nacional (CSIRT) para incidentes que afectan a infraestructuras críticas, según el Real Decreto 1112/2018.
A nivel europeo, la Agencia Europea de Ciberseguridad (ENISA) coordina el CERT-EU y el mecanismo de respuesta a crisis cibernéticas (CRCC), activado durante incidentes transfronterizos como el ataque a oleoductos en 2024. La Directiva NIS2 refuerza esta cooperación obligando a los Estados miembros a compartir IoCs en tiempo real.
La colaboración público-privada se materializa en iniciativas como el Foro de Confianza en Internet (ICTF), donde fabricantes, operadores y autoridades comparten información sobre amenazas emergentes. El CCN-CERT publica trimestralmente el «Informe de Ciberamenazas», que incluye estadísticas anonimizadas de incidentes reportados por organizaciones españolas.
Preguntas frecuentes sobre hackers
¿Todos los hackers son delincuentes?
No. El término abarca desde investigadores de seguridad certificados (hackers éticos) hasta actores maliciosos. El CCN-CERT distingue según autorización: sin consentimiento explícito, cualquier acceso constituye actividad ilícita según el Código Penal español.
¿Qué es una APT?
Advanced Persistent Threat: grupo patrocinado por Estados con recursos ilimitados y objetivos geopolíticos. Operan con sigilo prolongado (meses o años) en redes objetivo. ENISA documenta campañas APT europeas como «Snake» y «Mustang Panda».
¿Puedo probar la seguridad de mi propia empresa?
Solo con autorización escrita previa del propietario de los sistemas. El artículo 197 bis del Código Penal tipifica como delito el acceso no autorizado, incluso con buenas intenciones. INCIBE recomienda contratar profesionales certificados para auditorías externas.
¿Cómo colabora España en la lucha contra ciberdelincuentes?
A través del CCN-CERT como CSIRT nacional, colaboración con Europol en operaciones como «Dark HunTor» (2024) y participación en el mecanismo CRCC de la UE. El Real Decreto 1112/2018 establece el marco de respuesta a incidentes en infraestructuras críticas.
