Fases del Ethical Hacking

Un pentest profesional se ejecuta en cinco fases: reconocimiento, escaneo, explotación autorizada, post-explotación y borrado de huellas con informe. Cada fase le entrega a su empresa un resultado concreto: mapa de superficie de ataque, inventario de vulnerabilidades priorizadas, demostración de impacto real, medición de la profundidad del riesgo y un plan de remediación con re-test. Conocer estas fases le permite evaluar si el proveedor que contrata está trabajando con metodología y qué exigirle en cada etapa.

Todas las fases descritas aquí se ejecutan únicamente con autorización escrita del cliente. Sin un acuerdo de alcance firmado que defina qué sistemas se pueden evaluar, qué técnicas están permitidas y en qué ventanas de tiempo, ninguna de estas actividades puede realizarse: un "pentest" sin autorización no es ethical hacking, es un delito. El marco general de estas pruebas se explica en el artículo sobre metodologías de hacking ético.

Fase 1: Reconocimiento — qué recibe su empresa: el mapa de su superficie de ataque

En el reconocimiento, el equipo ético recopila información pública y accesible sobre su organización: dominios registrados, subdominios, servicios expuestos a internet, direcciones IP visibles, información técnica publicada en su sitio web y huellas digitales de su infraestructura (cabeceras, certificados, registros DNS).

Entregable para su empresa: un mapa de todo lo que un atacante puede ver desde fuera. Muchas organizaciones descubren aquí servicios olvidados expuestos a internet: servidores de prueba, paneles de administración accesibles o subdominios que ya nadie usa pero que siguen resolviendo.

Qué debe aportar el cliente: la lista de dominios y activos que reconoce como suyos, para que el equipo no investigue infraestructura ajena. En pruebas de caja gris o blanca, también los contactos técnicos responsables de cada sistema.

Fase 2: Escaneo — qué recibe su empresa: un inventario de vulnerabilidades priorizadas

Con el alcance confirmado, se analizan los sistemas dentro del perímetro acordado para identificar vulnerabilidades: configuraciones inseguras, servicios desactualizados, contraseñas débiles o por defecto, y fallos conocidos con corrección documentada.

Entregable para su empresa: un inventario clasificado de hallazgos por criticidad, con la evidencia de cada uno. No es un reporte automático de escáner: cada hallazgo se verifica para descartar falsos positivos antes de llegar a su mesa.

Qué debe aportar el cliente: las ventanas de horario autorizadas para el escaneo (algunos sistemas sensibles requieren horarios de bajo tráfico) y aviso a los equipos internos si aplica, para no confundir la prueba con un ataque real.

Fase 3: Explotación autorizada — qué recibe su empresa: la demostración del impacto real

En esta fase el equipo ético intenta aprovechar las vulnerabilidades confirmadas, únicamente dentro del alcance firmado, para comprobar si realmente permiten acceder a datos o sistemas. El objetivo no es "romper" por deporte: es responder la pregunta que más le importa a su gerencia —¿qué puede pasar de verdad si alguien explota esto?

Entregable para su empresa: la demostración del impacto real de cada hallazgo crítico: hasta dónde puede llegar un atacante con autorización, qué datos podría leer o modificar y qué procesos de negocio quedan expuestos. Esto es lo que convierte un hallazgo técnico en un caso de negocio para invertir en la corrección.

Qué debe aportar el cliente: límites claros y escritos: qué técnicas están prohibidas (por ejemplo, ataques de denegación de servicio que afecten la operación) y un contacto disponible durante las pruebas para abortar cualquier actividad si se detecta un riesgo para la continuidad del servicio.

Fase 4: Post-explotación — qué recibe su empresa: la profundidad real del riesgo

Una vez obtenido acceso inicial dentro del entorno de prueba, el equipo evalúa qué más puede alcanzar desde ahí: movimiento lateral entre sistemas, escalamiento de privilegios y acceso a la información que el negocio considera crítica (bases de datos de clientes, sistemas financieros, repositorios de código).

Entregable para su empresa: la medición de la profundidad del riesgo. No es lo mismo una vulnerabilidad que da acceso a un servidor aislado que una que permite llegar al núcleo de la operación. Esta fase le dice a su empresa qué proteger primero.

Qué debe aportar el cliente: la definición de los activos críticos ("las joyas de la corona") y, en pruebas de caja gris, las credenciales de los perfiles a evaluar. Todo bajo el acuerdo de alcance vigente.

Fase 5: Borrado de huellas e informe — qué recibe su empresa: el plan de remediación y el re-test

Finalizada la prueba, el equipo elimina cualquier rastro introducido durante el ejercicio (cuentas temporales, archivos de prueba, modificaciones de configuración) y restaura los sistemas a su estado original. Luego consolida todo en el informe ejecutivo y técnico.

Entregable para su empresa: el informe final con cada hallazgo, su criticidad, la evidencia y la recomendación concreta de remediación; más el re-test: una segunda verificación, después de que su equipo aplique las correcciones, para confirmar que cada vulnerabilidad quedó efectivamente cerrada. Un pentest sin re-test deja abierta la pregunta más importante: ¿se corrigió o no?

Qué debe aportar el cliente: el compromiso de aplicar las correcciones en el plazo acordado y de coordinar la ventana del re-test. Si necesita el recorrido contractual completo de esta etapa, lea cómo funciona el hacking ético en la práctica.

Resumen: las cinco fases y lo que obtiene de cada una

Fase	Lo que hace el equipo	Lo que recibe su empresa
1. Reconocimiento	Recopila información pública sobre sus activos	Mapa de superficie de ataque expuesto
2. Escaneo	Identifica y verifica vulnerabilidades	Inventario priorizado de hallazgos
3. Explotación autorizada	Comprueba el impacto dentro del alcance	Demostración del impacto real
4. Post-explotación	Mide el alcance del acceso obtenido	Profundidad real del riesgo
5. Borrado de huellas e informe	Limpia rastros y documenta	Plan de remediación con re-test

Si estas fases le suenan a proceso serio, es porque lo son: la diferencia entre un escaneo automático y un pentest profesional está precisamente en la metodología. Revise también las metodologías de hacking ético que estructuran este trabajo y la diferencia entre metodologías de hacking ético.

Preguntas frecuentes

¿Cuánto dura cada fase de un pentest?

Depende del tamaño del alcance. Como referencia operativa: un pentest típico de una aplicación web o de una red de tamaño medio distribuye el esfuerzo con mayor peso en explotación y post-explotación, que son las fases donde se demuestra el impacto. Exija a su proveedor un cronograma por fases antes de firmar.

¿El pentest puede tumbar mis sistemas en producción?

Un pentest profesional está diseñado para no hacerlo: el acuerdo de alcance define técnicas prohibidas y ventanas de horario, y el equipo mantiene un canal de comunicación con su contacto técnico para detener cualquier actividad. Si un proveedor no le propone estas salvaguardas, no lo contrate. Lea cómo elegir un servicio de ethical hacking con estos criterios.

¿Necesito darle credenciales al equipo de hacking ético?

Solo si contrata una prueba de caja gris o caja blanca, donde las credenciales forman parte del alcance acordado. En una prueba de caja negra el equipo trabaja sin información previa, simulando un atacante externo real.

¿Qué pasa si encuentran algo crítico durante la prueba?

Un proveedor serio le notifica de inmediato los hallazgos críticos, sin esperar al informe final, para que su equipo pueda actuar. Este compromiso debe estar escrito en el acuerdo de la prueba.

¿El informe del pentest me sirve para una auditoría o certificación?

Sí: el informe documenta la metodología, el alcance, los hallazgos con evidencia y las correcciones verificadas en el re-test. Es un insumo válido para procesos de cumplimiento y para demostrar diligencia ante clientes y reguladores.

¿Por qué contratar las cinco fases y no solo un escaneo de vulnerabilidades?

El escaneo le dice qué fallos existen; las fases siguientes le dicen cuáles son explotables de verdad, hasta dónde llega el daño y si la corrección funcionó. Sin explotación y re-test, su empresa se queda con una lista de alertas sin priorización real. Conozca los servicios de hacking ético disponibles y qué incluye cada modalidad de pruebas de ethical hacking.

¿Necesita un pentest con estas cinco fases para su empresa?

Ahora que sabe qué exigir en cada fase, el siguiente paso es conversar con un equipo que trabaje con metodología, autorización escrita e informe con re-test. Solicite una cotización de pentest para su empresa: le ayudamos a definir el alcance correcto para su infraestructura.