Hacking ético externo: qué puede ver y explotar un atacante desde internet
Por el equipo de QuantumSec
Un atacante que apunta a tu empresa desde internet no empieza con acceso ni información: empieza con un nombre de dominio y un buscador. El hacking ético externo simula exactamente ese punto de partida para responder a la pregunta que de verdad importa: ¿qué puede conseguir alguien sin ninguna ventaja previa? Esta guía explica en qué consiste y en qué se diferencia de un pentesting de red convencional.
Qué es el hacking ético externo (y en qué se diferencia de un pentesting)
Un pentesting suele tener un alcance acotado: una aplicación, una API, un rango de IPs concreto. El hacking ético externo empieza sin ese alcance predefinido —solo el nombre de la organización— y su primer trabajo es descubrir toda la superficie de ataque expuesta: dominios, subdominios, IPs, servicios y tecnologías, exactamente como lo haría un atacante real antes de decidir por dónde entrar. Es una evaluación más amplia que un pentesting puntual, porque simula la fase de reconocimiento completa de una campaña de ataque real.
OSINT: la fase que la mayoría de auditorías se saltan
Antes de tocar ningún sistema, un atacante real recopila inteligencia de fuentes abiertas: empleados y sus roles en LinkedIn, tecnologías usadas (visibles en ofertas de empleo o metadatos), credenciales de empleados que aparecen en filtraciones de datos públicas, y documentos o metadatos expuestos accidentalmente. Esta fase de OSINT no solo identifica riesgo de ingeniería social: las credenciales filtradas son, en la práctica, uno de los vectores de acceso inicial más usados en incidentes reales, y muy pocas auditorías técnicas la incluyen con la profundidad necesaria.
Los hallazgos más comunes en una evaluación de perímetro externo
Subdominios olvidados con aplicaciones desactualizadas que nadie recuerda que siguen publicadas. Subdomain takeover: un registro DNS que apunta a un servicio (una cuenta de cloud, un repositorio) que ya no existe y que un atacante puede reclamar para servir contenido malicioso bajo tu propio dominio. Paneles de administración accesibles públicamente que deberían estar solo en la red interna. Certificados SSL/TLS caducados o mal configurados que filtran información. Y ausencia de SPF, DKIM o DMARC, que permite falsificar emails en nombre de tu dominio (spoofing) para campañas de phishing dirigido.
Qué recibes al finalizar la evaluación
Un mapa completo de tu superficie de ataque externa (activos que probablemente ni tu propio equipo de IT tenía inventariados), un informe ejecutivo con el riesgo perimetral global, un informe técnico con prueba de concepto de cada vulnerabilidad explotada, un informe de OSINT específico sobre datos expuestos de la organización y sus empleados, y un plan de remediación priorizado. El re-test para confirmar que los hallazgos críticos quedan cerrados va incluido.
FAQ
¿Qué diferencia hay entre hacking ético externo y un pentesting de red?
El hacking ético externo se centra exclusivamente en lo que es visible desde internet, empezando desde cero sin credenciales ni acceso previo, e incluye una fase de OSINT completa. Un pentesting de red puede cubrir tanto el perímetro externo como la red interna, pero normalmente parte de un alcance ya definido.
¿Incluye el OSINT de mis empleados?
Sí, dentro del alcance acordado. Identificamos qué datos de empleados están expuestos en filtraciones, LinkedIn y otras fuentes abiertas que un atacante real utilizaría para ataques dirigidos de phishing o credential stuffing.
¿Puede esta evaluación tumbar mis sistemas en producción?
Por defecto evitamos cualquier acción con riesgo real para la disponibilidad (ataques de denegación de servicio, borrado de datos). Si algún test tiene riesgo potencial, se acuerda contigo antes de ejecutarlo.