Hacer las preguntas correctas antes de contratar

Quien busca este servicio casi siempre tiene prisa: una cuenta perdida, un teléfono extraño, una sospecha de fraude o una empresa que necesita pruebas. Esa urgencia es justo lo que aprovechan los estafadores. En Cyberlord empezamos por permiso, alcance, pruebas y objetivo. Así puede hacer las preguntas correctas antes de contratar con un proceso claro, documentado y defendible.

Pida identidad, referencias, certificaciones, metodología, límites, seguro y ejemplo de informe.

No ayudamos a entrar en cuentas ajenas, espiar dispositivos privados ni saltar contraseñas sin autorización expresa.

Cuándo conviene pedir ayuda profesional

Conviene pedir ayuda profesional cuando no puede evaluar el incidente, cuando las pruebas pueden perderse o cuando una empresa necesita un informe verificable. La clave es plantearlo como una revisión autorizada, no como un ataque secreto.

Qué revisa Cyberlord antes de actuar

Cyberlord pregunta primero quién controla el sistema, quién puede autorizar y qué resultado se necesita. Después decidimos si corresponde recuperación, análisis forense, prueba de penetración o consultoría de seguridad.

autorización escrita y alcance definido
comunicación segura y pago rastreable
preservación de pruebas sin alterar datos
informe técnico con prioridades y acciones
recuperación o nueva prueba cuando el caso lo permite

Preguntas de verificación por bloques

Antes de hablar de precios, reserve una llamada de 30 a 45 minutos con guion fijo: aplique el mismo set a dos o tres candidatos, anote y compare. Valen igual para una sociedad limitada que para un autónomo. Agrúpelas por tema, exija evidencia en lugar de promesas y avise de que todo lo acordado quedará por escrito antes de cualquier pago o acceso a sistemas.

Identidad, forma jurídica y fiscalidad

¿Su CIF y razón social? Si es autónomo, ¿su NIF y el alta en el censo de empresarios?
¿Emite factura con desglose de IVA e IRPF donde corresponda?
¿Quién asume la responsabilidad contractual: la empresa con su seguro, o usted de forma directa?

Una respuesta fiable da cifras exactas y le invita a comprobarlas; un nombre que cambia de un canal a otro es motivo para frenar.

Referencias y encargos anteriores

¿Puede darme dos referencias de encargos de 2024 o 2025, con cargo y sector?
¿Me muestra un informe anterior anonimizado antes de firmar nada?

Cuando tenga los contactos, llame: qué se encargó y en qué fechas, si el informe llegó a plazo y si volverían a contratar.

Certificaciones verificables

¿Qué certificaciones mantiene en vigor y cuándo caducan? Ejemplos: OSCP y su familia técnica, GREM en análisis de malware o CISSP en gobernanza.
¿Está al día en formación y puede mostrar el certificado en PDF?
¿Cómo la verificaría usted mismo si estuviera en mi lugar?

Pida el documento y contrástelo con la vía de verificación del emisor; quien responde con detalles y toma la petición como criterio profesional transmite confianza.

Metodología, alcance y límites

¿Qué marco de referencia sigue? OWASP, PTES u OSSTMM son respuestas normales.
¿Cómo se confina el encargo: dominios, direcciones IP, ventanas horarias y técnicas excluidas?
¿Qué protocolo aplica si encuentra algo crítico a mitad de la prueba?
¿Qué necesita de mi parte por escrito antes de empezar?

La última pregunta es el filtro decisivo: debe esperar que le pida una autorización firmada con alcance definido, porque sin ella el riesgo legal es suyo. La guía sobre los requisitos legales antes de contratar una prueba desarrolla ese marco.

Seguro, confidencialidad y datos personales

¿Tiene seguro de responsabilidad profesional vigente y puede cederme el certificado de la póliza?
¿Firmará un acuerdo de confidencialidad en ambos sentidos?
Si hay datos personales de por medio, ¿acepta actuar como encargado del tratamiento conforme al RGPD?
¿Dónde guardará las evidencias, cuánto tiempo y cómo se destruirán al acabar?

El seguro pesa: si una prueba tumba la web el día del lanzamiento, sin póliza la responsabilidad acaba siendo suya.

Entregables, seguimiento y condiciones de pago

¿Me muestra el índice del informe con resumen ejecutivo, hallazgos y prioridades?
¿Incluye una nueva prueba de verificación, dentro del precio o aparte?
¿Cómo estructura el pago por hitos y qué parte pide por adelantado?
¿Cobra a una cuenta del mismo titular que firma el contrato?

Los rangos de mercado los desglosa la guía de precios de las pruebas de penetración en 2026; úsela antes de negociar. La regla: pago escalonado al titular contractual y alerta si piden cobro completo en cripto antes del contrato. Sobre dónde buscar, la guía de plataformas fiables para contratar hackers éticos.

Respuestas sólidas frente a respuestas evasivas

Tres intercambios típicos muestran el patrón:

"¿Quién firma el contrato y con qué CIF?" Buena respuesta: "Lo firma la sociedad, CIF B-00000000; le envío la nota simple del Registro Mercantil para que la contraste." Evasiva: "De momento puede llamarme Álex y lo seguimos por un chat anónimo."

"Si descubren una falla crítica a mitad de la prueba, ¿qué ocurre?" Buena respuesta: "Pauso esa parte, aviso a su persona de contacto y lo dejo por escrito antes de continuar." Evasiva: "Eso ya lo verá en el informe final."

"¿Me facilita un cliente de 2025 al que pueda llamar?" Buena respuesta: "Sí: el responsable de una correduría aceptó ser contacto, le paso su correo corporativo." Evasiva: "Trabajo sobre todo para gobiernos, es imposible que sepa nada."

El patrón: quien responde de verdad aporta datos contrastables; quien evade sustituye la evidencia por una historia dramática.

Comprobaciones que puede hacer usted mismo

Cada respuesta debe cerrarse con una acción de verificación suya:

Contraste el CIF en la nota simple del Registro Mercantil, o el NIF con el certificado de alta.
Verifique cada certificación con su PDF original y el registro del emisor; sin contraste posible, valga como cero.
En la llamada de referencia, pregunte por fechas exactas y si hubo nueva prueba de verificación, no por opiniones.
Guarde el guion anotado: si acaba en denuncia, ese historial es su evidencia.

Nada exige conocimientos técnicos, solo treinta minutos y constancia: la comprobación es mutua.

Criterios de salida cuando las respuestas no convencen

No toda duda obliga a descartar, pero hay límites duros. Retírese si el candidato:

No puede acreditar identidad contractual, sea como empresa o como autónomo con su NIF.
Rechaza el contrato escrito, el alcance definido o la autorización firmada.
Exige el cobro íntegro por adelantado, en cripto o equivalente, con la excusa de la discreción.
Promete un resultado garantizado, como recuperar fondos al cien por cien o entrar en cualquier cuenta ajena.
No aporta una única referencia localizable tras asegurar que existen.
Acumula dos o más señales de alerta a la vez.

Ante cualquiera de ellas: corte el contacto, no envíe credenciales, conserve los correos por si necesita denunciar y reinicie la búsqueda con este guion.

Señales de alerta en ofertas falsas

Desconfíe de resultados garantizados, chats anónimos, pagos completos en cripto, ausencia de contrato o presión para enviar contraseñas. Un profesional explica límites, riesgos y documentación antes de actuar.

Cómo se contrata de forma correcta

Un encargo correcto define objetivo, alcance, plazo, contacto, métodos permitidos y tratamiento de datos. Eso protege a ambas partes y hace útil el informe final.

Qué entregables debe recibir

Debe recibir un resumen claro, detalles técnicos, evidencias, prioridades y próximos pasos. Ese es el valor real de una contratación legítima.

Cyberlord

Si necesita actuar ya, envíenos hechos, fechas, capturas y el resultado que busca. Primero le diremos qué opción es legal y técnicamente viable.

¿Cyberlord puede ayudar de inmediato?
Sí, primero con una evaluación rápida de legalidad, riesgo y pruebas.

¿Debo enviar contraseñas?
No. No envíe contraseñas antes de definir alcance y método seguro de entrega.