Coste real de los servicios de hacking ético

Muy pocas personas contratan un servicio de seguridad por rutina: lo habitual es llegar con una cuenta bloqueada, un móvil que se comporta de forma extraña, un presunto fraude bancario o la obligación de demostrar ante un auditor qué ocurrió. Ese apremio emocional es justo el terreno donde operan los falsos profesionales, porque quien va con urgencia no compara propuestas, acepta la primera y paga por adelantado. En Cyberlord invertimos ese orden: antes de hablar de cifras hablamos de permisos escritos, alcance y objetivo. Solo así el coste final refleja trabajo real en lugar de una factura por humo.

En la práctica, la cantidad que aparece en la factura de cualquier encargo se explica por tres palancas: lo que se define como alcance, la complejidad técnica del entorno y la profundidad del informe que se exige al final.

No intervenimos cuentas ajenas, no espiamos dispositivos privados y no eludimos credenciales sin una orden firmada por quien tiene potestad de autorizarlo.

Cuándo tiene sentido gastar en una revisión profesional

Hay tres situaciones en las que el gasto se justifica sin dudar: cuando usted no puede valorar por sí mismo la gravedad del incidente, cuando los datos que servirían como prueba pueden desaparecer con el paso de las horas, o cuando la organización necesita un dictamen verificable ante un tercero (una aseguradora, un abogado, un auditor). Plantee siempre el trabajo como revisión autorizada; el encargo encubierto no solo es ilegal, sino que además no genera documentación que le sirva después. Para el marco completo de una contratación legal, consulte nuestra guía sobre cómo contratar a un hacker ético de forma segura.

De qué depende el precio de una prueba autorizada

El alcance manda sobre el resto

El alcance es el principal motor del importe. Revisar una única aplicación web con dos formularios de acceso no cuesta lo mismo que auditar una red corporativa con decenas de servidores, plantilla remota y carga en la nube. Los proveedores serios suelen tarifar por superficie a cubrir (dominios, APIs, dispositivos, sedes) y por horas estimadas; por eso el primer paso, siempre, es delimitar por escrito qué entra y qué queda fuera. Un alcance ambiguo es la vía rápida a un presupuesto que crece a mitad de proyecto.

Factores que encarecen el encargo

Entornos mixtos (infraestructura propia combinada con nube), porque multiplican las superficies a examinar.
Pruebas sobre sistemas en producción, que exigen coordinación con el equipo de operaciones.
Ejercicios con simulación de atacante persistente, que alargan el compromiso de tiempo.
Requisitos de anonimato operativo frente a la propia plantilla, que complican la planificación.
Trabajo en varias jurisdicciones o idiomas, cuando el activo opera en distintos países.

Factores que abaratan el encargo sin perder rigor

Entregar por adelantado la documentación técnica de la infraestructura ahorra horas de descubrimiento. Abrir ventanas de prueba amplias en lugar de franjas de minutos da margen de maniobra al equipo. Empezar con una prueba focalizada sobre el activo más crítico y extenderse después en fases permite distribuir el gasto. Y programar el trabajo evitando picos de actividad suele rebajar tarifas, porque no obliga al proveedor a trabajar de madrugada ni a coordinar con guardias.

Formas de facturación habituales

Verá tres modelos: precio cerrado por alcance definido (el más fácil de presupuestar), tarifa por hora en modo consultoría (flexible, pero difícil de acotar de antemano) y esquemas que pagan por hallazgo. Este último conviene mirarlo con recelo: premia inflar la severidad o buscar lo obvio en vez de lo relevante. Prefiera el precio cerrado con desglose de fases.

Costes que no aparecen en el primer presupuesto

Una oferta cerrada casi nunca refleja el desembolso completo. Antes de firmar, pregunte expresamente por estos conceptos:

Repetición de pruebas: comprobar que las correcciones funcionan suele ser una fase aparte y con tarifa propia. Si no se pacta y acaba siendo necesario, llegará a mitad de proyecto.
Llamadas de definición del alcance: muchas firmas las regalan; otras las contabilizan como consultoría previa.
Formatos del informe: resumen gerencial, detalle técnico, suplemento de rectificación o versión orientada a la aseguradora; cada formato extra puede tener coste.
Urgencia y desplazamientos: el arranque inmediato o el trabajo presencial suelen llevar recargo, y los desplazamientos se facturan aparte.
Licencias de herramientas de análisis, cuando el proyecto las requiere.

Ninguno de estos conceptos es ilegítimo; el problema es descubrirlos cuando la factura ya está emitida. Exija un desglose antes de aceptar cualquier cifra global.

Bandas de presupuesto orientativas

Cualquier número exacto sería un invento: los importes reales dependen del país, del tamaño del proveedor y del año de contratación. Dicho esto, para darse una idea del orden de magnitud que se maneja normalmente en el sector, con cifras expresadas en moneda fuerte y siempre como señales de mercado, no como cotización:

Análisis automatizado de vulnerabilidades sobre un dominio: habitualmente de tres a cuatro cifras bajas.
Prueba de penetración de una aplicación web: normalmente a partir de varios miles.
Auditoría de una red corporativa de tamaño medio: miles, con escala según número de equipos y sedes.
Consultoría puntual o acompañamiento en un incidente: tarifa por hora en el rango propio del asesoramiento técnico especializado.

La única cifra fiable es la que reciba por escrito tras una definición de alcance formal; todo lo demás es orientación para saber si una propuesta se desvía mucho del mercado.

Comparar presupuestos y detectar recortes

Dos ofertas solo son comparables si cubren el mismo alcance, con la misma profundidad de informe, metodología declarada y condiciones de revisión posterior equivalentes. Construya una tabla con alcance, horas estimadas, perfil del equipo, entregables y política de re-testing; el precio bruto es solo una columna más. Es habitual que una firma pequeña con personal sénior cobre más por hora y aun así resulte más barata en el resultado, porque aprovecha mejor las horas.

Qué suele omitir una oferta sospechosamente barata

Un importe muy por debajo del rango de mercado rara vez significa eficacia: significa fases eliminadas. Lo que más veces falta:

La autorización escrita y el contrato: sin ese papel, ni siquiera un trabajo bien hecho le sirve como prueba ante un tribunal, un seguro o un auditor.
La delimitación real del alcance: con documentos vagos, el proveedor puede ir añadiendo «extras» a medida que avanza.
La profundidad del informe: un resumen sin evidencias técnicas ni pasos reproducibles no permite corregir nada ni auditar el trabajo.
La revisión posterior a las correcciones, así como el seguro de responsabilidad profesional y las referencias del equipo.

Razonar el retorno del gasto

La pregunta correcta no es cuánto cuesta la prueba, sino qué coste evita. Compare el presupuesto con el coste probable de un incidente: parada de servicio, extorsión, sanciones regulatorias, pérdida de clientes. Un informe bien priorizado también evita gasto disperso, porque permite corregir primero lo que realmente expone y dejar para después lo cosmético. Si el hallazgo más grave bloquea una brecha que habría costado semanas de caída, la revisión se paga sola; si el entorno es pequeño, tal vez baste con una revisión más ligera y periódica en lugar de una auditoría exhaustiva única.

Preparar el encargo para no pagar horas repetidas

Llegue a la primera llamada con trabajo hecho: objetivos concretos, inventario de activos y sus responsables, ventana de prueba acordada internamente, contactos de coordinación y copias de seguridad recientes del entorno. Cada hora que el proveedor dedique a descubrir datos que usted ya tenía es una hora facturada que sale de su bolsillo sin aportar nada.

Qué entregables debe recibir por lo que paga

Al finalizar debe quedar algo verificable: un resumen para dirección con la exposición global, el detalle técnico de cada hallazgo con pasos reproducibles, las evidencias respaldadas y una priorización de las correcciones; si se pactó, una segunda ronda de verificación de lo arreglado. Si lo que recibe no incluye nada de esto, el encargo resultó caro aunque la cifra hubiese sido baja: pagó una factura sin contenido auditable.

Cyberlord

Si necesita actuar ya, envíe hechos concretos: fechas, capturas, qué activo está implicado y qué resultado busca. Con esa información, nuestra primera respuesta le dirá qué vía es legal y técnicamente viable, y qué tipo de alcance conviene fijar antes de hablar de dinero. Y si todavía está decidiendo entre proveedores, conviene aplicar los criterios de nuestra guía para elegir plataformas fiables de contratación de hackers éticos, que explica cómo contrastar referencias, contratos y métodos antes de pagar.

¿Cyberlord puede empezar de inmediato?
Podemos evaluar de inmediato la legalidad, el riesgo y la documentación disponible; después fijamos el alcance y la propuesta económica por escrito.

¿Debo enviar credenciales o contraseñas?
Jamás antes de existir contrato y alcance firmado. En muchos encargos lo correcto es crear cuentas específicas para la prueba y transmitir el acceso por un canal acordado.

Planificar el coste real de servicios de hacking ético