Hacking ético es probar la seguridad de un sistema con el permiso de quien lo gestiona, dentro de un alcance acordado. Eso, y no la herramienta ni la buena intención, es lo que lo separa de un delito. La parte buena para ti: puedes empezar a practicar esta misma semana, gratis y sin tocar un solo sistema ajeno. Estos seis mitos te dejan el mapa claro, y al final tienes tres preguntas para decidir en dos minutos si algo se puede probar o no.
Una nota antes de seguir: esto es divulgación basada en el texto del Código Penal, no asesoramiento jurídico. Si tienes un caso real entre manos, consulta con un abogado.
Mito 1: «Si solo miro y no toco nada, no pasa nada»
Falso. El artículo 197 bis.1 del Código Penal castiga acceder a un sistema de información, o mantenerse dentro, vulnerando sus medidas de seguridad y sin estar debidamente autorizado. El texto no pide que causes un daño ni que te lleves datos: basta con entrar sin permiso. «Solo curioseaba» no cambia eso.
Lo que sí cambia el panorama es la autorización. El mismo artículo habla de quien actúa «sin estar debidamente autorizado», y esa es la pieza que convierte una prueba de seguridad en un trabajo. Un profesional de ciberseguridad empieza cada encargo con un permiso claro y un alcance: qué sistemas, qué pruebas, entre qué fechas. Conviene que conste por escrito, y esa costumbre te la llevas puesta desde el primer día.
El apartado 2 del mismo artículo añade algo parecido para las comunicaciones: interceptar transmisiones no públicas de datos informáticos, con artificios o instrumentos técnicos y sin autorización, también está tipificado. Por eso quien practica con redes lo hace en la suya.
Mito 2: «Si lo hago por una buena causa o aviso después, es ético»
Tampoco. En esta profesión manda el orden: primero el permiso, después la prueba, y la intención no lo altera. Avisar a una empresa de que «te has colado para ayudarla» no deshace el acceso sin autorización. Si encuentras un fallo por casualidad, lo que hace un buen profesional es parar, no seguir explorando y comunicarlo por un canal adecuado.
Ese canal existe. INCIBE, el instituto de ciberseguridad de España, es desde el 15 de enero de 2020 CNA, la autoridad que asigna identificadores CVE, y su CNA gestiona vulnerabilidades que el fabricante aún no conoce. Según su página, confirma la recepción y empieza a comunicarse con quien notifica en un plazo no superior a 3 días laborables, y el calendario de publicación se acuerda con la persona que lo reportó y con la organización afectada. Esa es la cultura de la «divulgación coordinada»: avisar, esperar y publicar cuando hay solución. Si algún día te pasa, consulta su página sobre asignación y publicación de CVE y, si dudas de tu situación, habla con un abogado.
¿Te atrae la seguridad informática?
Descarga el dossier del ciclo de ASIR online y mira cómo se estudian sistemas, redes y ciberseguridad.
Mito 3: «Las herramientas de hacking son ilegales»
No por sí mismas. El artículo 197 ter castiga a quien, sin estar autorizado, produce, adquiere para su uso, importa o facilita a terceros un programa «concebido o adaptado principalmente» para cometer los delitos de acceso o interceptación, y lo hace con la intención de facilitar esos delitos. Fíjate en las tres condiciones juntas: sin autorización, con esa intención y con un programa pensado principalmente para eso.
Lo mismo vale para las contraseñas y códigos de acceso: la letra b) del artículo incluye facilitar contraseñas o datos que permitan entrar en un sistema ajeno. El artículo 264 ter repite el esquema para los delitos de daños informáticos. Traducido a tu día a día como estudiante: practicar con herramientas de análisis y seguridad sobre tus propias máquinas y laboratorios es el uso normal de la profesión; facilitar a otros accesos que no son tuyos, no.
Mito 4: «Tirar abajo una web "para ver qué pasa" no es para tanto»
Sí lo es. El artículo 264 bis castiga a quien, sin estar autorizado y de manera grave, obstaculiza o interrumpe el funcionamiento de un sistema informático ajeno, y el 264.1 el borrado, daño o alteración grave de datos, programas o documentos electrónicos ajenos. Ahí no se habla de «mirar»: se habla de efectos.
Resumen útil de lo que dice el BOE (texto consolidado con última actualización publicada el 9 de abril de 2026):
Conducta (resumida) | Artículo del Código Penal | Elemento clave |
|---|---|---|
Acceder a un sistema vulnerando sus medidas de seguridad, o mantenerse en él | 197 bis.1 | «Sin estar debidamente autorizado» |
Interceptar transmisiones no públicas de datos | 197 bis.2 | Artificios o instrumentos técnicos, sin autorización |
Producir o facilitar programas o claves para esos delitos | 197 ter | Intención de facilitar el delito; programa «concebido o adaptado principalmente» para ello |
Borrar, dañar o alterar datos o programas ajenos | 264.1 | Sin autorización, de manera grave y con resultado grave |
Obstaculizar o interrumpir un sistema ajeno | 264 bis.1 | Sin autorización y de manera grave |
El patrón es siempre el mismo: lo ajeno y lo no autorizado. La buena noticia es que lo propio y lo autorizado te da un campo de juego enorme.
¿Quieres saber cómo sería estudiarlo tú?
Cuéntanos tu situación y el equipo de Prometeo FP te explica cómo es el ciclo ASIR online.
Mito 5: «Para practicar necesito una web o una empresa real»
Al contrario: hay laboratorios hechos a propósito para equivocarte sin consecuencias. Están pensados para que ataques sistemas que existen solo para eso, o máquinas tuyas, y ahí no hay terceros afectados ni nadie a quien pedir permiso: es como se forma el sector. Cinco puntos de partida, todos comprobados hoy:
Laboratorio | Qué es | Cómo se usa de forma segura |
|---|---|---|
Aplicación web insegura a propósito, proyecto «Flagship» de OWASP, para formación y CTF; el progreso se sigue en un marcador | Se ejecuta en tu propio equipo | |
«Damn Vulnerable Web Application», una web PHP vulnerable a propósito | Su README avisa de que no debe subirse a un servidor accesible desde internet y recomienda una máquina virtual en modo de red NAT | |
Formación gratuita en seguridad web con laboratorios interactivos y seguimiento del progreso | Laboratorios de la propia academia: no tocas ningún sistema ajeno | |
Juegos («wargames») para aprender seguridad; el orden que sugieren empieza por Bandit, de bases de Unix/Linux | Léete sus reglas y no publiques las soluciones ni las credenciales | |
Máquinas virtuales «vulnerables por diseño» para descargar y practicar; tiene una sección para montar tu laboratorio | Se ejecutan en un entorno virtual tuyo y aislado |
También existen plataformas de entrenamiento como TryHackMe o Hack The Box, con sus propias condiciones: léelas antes de empezar, igual que las reglas de cualquier laboratorio. Una regla común a todos: practica solo dentro del laboratorio que has elegido y no apuntes tus pruebas a nada que no esté en él.
Y si quieres tu propio laboratorio, necesitas menos de lo que parece: un ordenador, una máquina virtual y una red aislada de la de casa. Montarlo es, de hecho, parte del aprendizaje.
Mito 6: «Hay que ser un genio y saber programar desde ya»
Lo que hace falta es curiosidad y método, y ambas se entrenan. La ficha de FP ASIR online de Prometeo FP (consultada el 27-10-2026) dice que en la FP oficial de ASIR aprenderás a «instalar, configurar y asegurar los sistemas que mantienen conectadas a las empresas», «sin necesidad de conocimientos técnicos previos». Es una base muy sólida para entender luego cómo se prueba un sistema.
Esa base se puede ver en el BOE. El Real Decreto 1629/2009, que establece el título de ASIR, incluye en su artículo 10 el módulo 0378, Seguridad y alta disponibilidad, y sus resultados de aprendizaje hablan de cosas que acabas dominando: reconocer las vulnerabilidades de un sistema, clasificar amenazas, analizar «amenazas, ataques y software malicioso, en entornos de ejecución controlados» e identificar las fases del análisis forense tras un ataque. Es decir, el propio currículo trabaja el análisis de ataques y de malware, y lo hace en entornos controlados. El Real Decreto 500/2024 mantiene el módulo con ese código y nombre.
Sobre lo que enseña Prometeo FP, la ficha lo resume en tres frases: gestionarás servidores y sistemas operativos (Windows y Linux), diseñarás arquitecturas de red seguras, e implementarás ciberseguridad y servicios: cortafuegos, copias de seguridad y servicios como el correo o las bases de datos. La ficha ofrece además un plan con máster de especialización, con itinerarios de Ciberseguridad, Data & Analytics o Full Stack Developer. Si quieres entender mejor cómo encaja la seguridad en el ciclo, tienes este artículo sobre ASIR y ciberseguridad y la guía de hacking ético para empezar, que cuenta qué es y qué tipos hay.
Antes de probar nada: tres preguntas de dos minutos
Cópialas en una nota y pásales cualquier idea de práctica. Si una respuesta es «no» o «no lo sé», la prueba se queda en el laboratorio.
Pregunta | Respuesta que te deja seguir |
|---|---|
¿Es mío, o está dentro de un laboratorio pensado para atacarse? | Sí: es mi equipo, mi máquina virtual o un laboratorio de práctica con sus reglas |
¿Tengo permiso de quien lo gestiona, con alcance y fechas claros? | Sí, y conviene que conste por escrito |
¿Puede afectar a terceros (otros usuarios, otras redes, un servicio que no es mío)? | No: el laboratorio está aislado de lo demás |
Cómo usarlas: pregúntatelas antes de cada práctica, también cuando sigas un tutorial. Con tres «sí» practicas con tranquilidad; con cualquier duda, vuelve al laboratorio o pregunta a quien te enseña.
De curioso a profesional
Quien trabaja en seguridad sabe qué puede probar, quién lo autoriza y cómo documenta lo que encuentra. Ese criterio se construye practicando en entornos seguros y con una base sólida de sistemas y redes. Si te atrae este lado de la informática, el camino está claro: laboratorios gratuitos para empezar hoy y un ciclo oficial para ir de lo básico a lo especializado.
De curioso a profesional de sistemas y seguridad
El dossier explica qué se estudia en el ciclo oficial de ASIR y cómo se cursa online.
Preguntas frecuentes sobre hacking ético
¿Es legal practicar hacking ético?
Sí, cuando se hace con autorización o sobre sistemas propios o laboratorios pensados para ello. El Código Penal castiga el acceso sin estar debidamente autorizado (artículo 197 bis), así que el permiso previo es la pieza clave. Esto es divulgación, no asesoramiento jurídico.
¿Puedo practicar en mi casa sin riesgo?
Sí, si lo haces en tu propio equipo y dentro de un laboratorio aislado. Proyectos como DVWA recomiendan usar una máquina virtual en modo de red NAT y no exponerla a internet.
¿Qué hago si encuentro un fallo de seguridad en una web ajena?
Deja de explorar y comunícalo por un canal adecuado. INCIBE, como autoridad CNA de CVE, gestiona vulnerabilidades aún no conocidas por el fabricante y acuerda con quien notifica los plazos de publicación. Si dudas de tu situación, consulta con un abogado.
¿Hace falta saber programar para empezar en ciberseguridad?
No para empezar. La ficha de FP ASIR online de Prometeo FP indica que se puede cursar «sin necesidad de conocimientos técnicos previos», y el módulo de seguridad del título trabaja vulnerabilidades, amenazas y análisis forense paso a paso.
