Aclarar los requisitos legales antes de una prueba

Quien busca este servicio casi siempre tiene prisa: una cuenta perdida, un teléfono extraño, una sospecha de fraude o una empresa que necesita pruebas. Esa urgencia es justo lo que aprovechan los estafadores. En Cyberlord empezamos por permiso, alcance, pruebas y objetivo. Así puede aclarar los requisitos legales antes de una prueba con un proceso claro, documentado y defendible.

Un encargo es legal cuando hay permiso, alcance, reglas de datos, responsabilidad, confidencialidad y resultados documentados.

No ayudamos a entrar en cuentas ajenas, espiar dispositivos privados ni saltar contraseñas sin autorización expresa.

Cuándo conviene pedir ayuda profesional

Conviene pedir ayuda profesional cuando no puede evaluar el incidente, cuando las pruebas pueden perderse o cuando una empresa necesita un informe verificable. La clave es plantearlo como una revisión autorizada, no como un ataque secreto.

Qué revisa Cyberlord antes de actuar

Cyberlord pregunta primero quién controla el sistema, quién puede autorizar y qué resultado se necesita. Después decidimos si corresponde recuperación, análisis forense, prueba de penetración o consultoría de seguridad.

autorización escrita y alcance definido
comunicación segura y pago rastreable
preservación de pruebas sin alterar datos
informe técnico con prioridades y acciones
recuperación o nueva prueba cuando el caso lo permite

Señales de alerta en ofertas falsas

Desconfíe de resultados garantizados, chats anónimos, pagos completos en cripto, ausencia de contrato o presión para enviar contraseñas. Un profesional explica límites, riesgos y documentación antes de actuar.

Cómo se contrata de forma correcta

Un encargo correcto define objetivo, alcance, plazo, contacto, métodos permitidos y tratamiento de datos. Eso protege a ambas partes y hace útil el informe final.

Qué entregables debe recibir

Debe recibir un resumen claro, detalles técnicos, evidencias, prioridades y próximos pasos. Ese es el valor real de una contratación legítima.

El marco normativo en España y la Unión Europea

Para una prueba, el marco jurídico no es un trámite posterior: decide si el trabajo puede entregarse y defenderse después. En España, el Código Penal castiga el acceso ilícito y la permanencia indebida en sistemas ajenos (arts. 197 y 197bis), los daños informáticos (art. 264) y las estafas por medios digitales (art. 248). Ninguno exige intención maliciosa: basta con entrar sin permiso, aunque el propósito sea avisar. La autorización escrita separa, por tanto, la auditoría de la conducta delictiva; no es un formalismo.

Si la prueba toca datos personales se suman dos normas. El RGPD obliga a garantizar la seguridad del tratamiento (art. 32) y a limitar la información que el técnico manipula a lo estrictamente necesario; si un tercero expone registros de clientes, la responsabilidad frente a la Agencia Española de Protección de Datos sigue siendo de la empresa. Además, el art. 7 de la Ley Orgánica 3/2018 castiga la revelación de secretos conocidos mediante acceso legítimo a datos personales: el profesional no puede conservar ni difundir lo hallado, solo informarlo y borrarlo con constancia. La frontera entre un encargo y una conducta sancionable se repasa en nuestra revisión de la legalidad de estas contrataciones.

El sector público y sus proveedores rigen su trabajo por el Esquema Nacional de Seguridad (RD 311/2022), que exige evidencias formales: un informe firmado y fechado cuenta como tal. En el ámbito privado, las entidades designadas siguen sujetas al Real Decreto-ley 12/2018 mientras culmina la transposición de la Directiva NIS2 (UE 2022/2555); los deberes que ese marco trae —gestión de riesgos, implicación del órgano de dirección y notificación de incidentes— se acreditan justamente con un encargo así de documentado.

Cómo redactar la carta de autorización (LOA) paso a paso

El papel que ampara el trabajo tiene nombre propio: la carta de autorización, o LOA. Cinco bloques la sostienen:

Identifique las partes. Razón social y NIF del proveedor, titular del encargo, personas de contacto y fecha de firma. Sin ese encabezado, el documento no acredita nada.
Enumere los sistemas con identificadores. Dominios y subdominios, rangos de IP públicas, URL de aplicaciones y, si hay dispositivos, marca, modelo y número de serie o IMEI. Lo que no aparece en la lista, no se toca.
Marque la ventana temporal. Fecha de inicio y de fin, con las franjas horarias admitidas. Pasado ese periodo, cualquier acceso nuevo carece de amparo aunque el pago esté hecho.
Escriba lo prohibido. Lo usual es vetar denegaciones de servicio, prueba de phishing sobre empleados reales sin aviso previo y ataques en producción con datos de clientes cuando existe una copia de ensayo.
Fije emergencias y revocación. Un canal con respuesta en la misma jornada si un hallazgo deja un servicio caído, y el mecanismo escrito para retirar el permiso antes de la fecha prevista.

Solo tras ese doble cimiento —alcance delimitado y firma de quien tiene potestad— tiene sentido hablar de técnica.

Cláusulas de responsabilidad y fin del tratamiento de datos

Límite económico. Tope de responsabilidad fijado, por costumbre, entre una y dos veces el importe del proyecto; más allá, quien firma asume riesgos que no controla.
Origen de los problemas. El proveedor no responde por vulnerabilidades anteriores a la prueba ni por daños provocados por técnicas que usted autorizó de forma expresa.
Seguro de responsabilidad civil profesional. Pida el certificado de cobertura vigente y compárelo con el tope pactado; ese control de terceros es prudencia normalizada, no desconfianza.
Tratamiento y borrado de hallazgos. Describa qué evidencia cruza la frontera, por qué canal, si contiene datos personales y qué certificado de eliminación recibe al cerrar el proyecto. La preservación correcta de esos materiales se detalla en nuestra revisión del análisis forense de teléfonos.

Con cifras: una intrusión autorizada de 18.000 EUR con tope de 36.000 exige una póliza que cubra al menos ese segundo importe; pedirla antes de firmar descarta a quien trabaja sin respaldo. La guía de precios por alcance explica la lógica de esos importes.

Qué consecuencias tiene un encargo fuera de marco

Alcanzan a las dos partes. El tercero que actúa sin permiso puede cometer un delito de descubrimiento y revelación de secretos aunque hable de “revisar”; quien lo contrató puede responder como cooperador o inductor cuando la solicitud partió de él. Los informes nacidos de ese acceso no valen como prueba: el origen ilegal de la información vicia la cadena de custodia, y si se expusieron datos de terceros, la empresa afronta además una reclamación ante la agencia de protección de datos.

Un patrón frecuente: el alcance lista el dominio principal, pero el panel de administración vive en un subdominio que no consta y el técnico lo prueba igual de buena fe. Esa actuación no está amparada y el informe pierde valor procesal. La salida es sencilla: enmienda del alcance, nueva LOA y retesteo; no una discusión sobre intenciones.

Lista de comprobación legal antes de aceptar una oferta

¿Quién firma la autorización y cómo acredita que tiene potestad (dirección o titular del dominio)?
¿Cada sistema aparece con identificador y se lista también lo excluido?
¿Ventana temporal, técnicas prohibitivas y canal de urgencia constan por escrito?
¿Hay tope de responsabilidad, régimen de datos y póliza verificable?
¿El profesional acepta que el primer entregable sea la revisión del propio marco legal?

Si una sola respuesta es “no”, detenga el trato: lo que distingue a un proveedor formado no es prometer más velocidad, sino poder defender cada paso que dio.

Cyberlord

Si necesita actuar ya, envíenos hechos, fechas, capturas y el resultado que busca. Primero le diremos qué opción es legal y técnicamente viable.

¿Cyberlord puede ayudar de inmediato?
Sí, primero con una evaluación rápida de legalidad, riesgo y pruebas.

¿Debo enviar contraseñas?
No. No envíe contraseñas antes de definir alcance y método seguro de entrega.