¿Cuánto cobra un hacker ético en España en 2026?

Qué hace un hacker ético (y qué no hace)

Un hacker ético, también llamado pentester o especialista en seguridad ofensiva, ataca los sistemas de una organización con permiso de esa organización. Usa las mismas técnicas que un atacante real, pero dentro de un alcance pactado, con fechas, horarios y límites por escrito, y al final entrega un informe con lo que ha encontrado y cómo corregirlo.

Su trabajo habitual se reparte en cuatro tipos de encargo:

• Pruebas de intrusión (pentesting) sobre webs, apps móviles, APIs, redes internas o entornos cloud. Pueden ser externas o internas, y de caja negra, gris o blanca según la información que se le dé al equipo antes de empezar.
• Ejercicios de red team: simulaciones largas de un ataque real que combinan pruebas técnicas, ingeniería social y, a veces, acceso físico, para medir si la empresa detecta y responde.
• Respuesta a incidentes: análisis de un ataque en curso o ya ocurrido, contención y recomendaciones para que no se repita.
• Revisión de configuraciones y código: cortafuegos, directorio activo, permisos en la nube o el código fuente de una aplicación antes de salir a producción.

Lo que no hace es igual de importante. Un hacker ético no entra en la cuenta de Instagram de tu expareja, no recupera un WhatsApp ajeno ni «hackea» el correo de un competidor. Esos encargos no existen en el mercado legal: quien los ofrece está cometiendo un delito o, con mucha frecuencia, intentando estafar a quien los pide.

Cuánto cobra un hacker ético en España en 2026

Hay dos formas de responder, según lo mires desde el profesional o desde la empresa que lo contrata: el sueldo en plantilla y la tarifa por hora o por jornada cuando trabaja por proyecto.

Sueldo de un hacker ético en plantilla

La ciberseguridad es una de las áreas con más tensión salarial del sector tecnológico. La Guía salarial TIC 2026 del Grupo Adecco sitúa al arquitecto de ciberseguridad senior entre 70.000 y 100.000 euros anuales, y señala que Madrid y Barcelona concentran más del 62 % de las ofertas de empleo tecnológico. Para perfiles de seguridad ofensiva, estos son los rangos que se ven en el mercado español:

Precio por hora y por jornada

Cuando una empresa contrata horas de un hacker ético para un proyecto, el precio depende sobre todo de si lo factura un consultor autónomo o una consultora de seguridad:

Rangos orientativos de mercado, sin IVA. El precio cerrado lo fija la propuesta de la empresa que elijas.

La diferencia entre el sueldo y la tarifa tiene explicación. Una consultora paga seguro de responsabilidad civil, licencias de herramientas profesionales, formación y certificaciones, la revisión del informe por un segundo técnico y las horas que no se facturan. También responde si el técnico asignado se pone enfermo a mitad del proyecto. Por eso la jornada facturada multiplica varias veces el coste diario del sueldo.

Tarifa del hacker ético y precio del pentest: no es lo mismo

Mucha gente busca «cuánto cobra un hacker ético» cuando en realidad quiere saber cuánto le costará revisar su web o su red. Son dos preguntas distintas. La tarifa es lo que vale una hora o una jornada de trabajo. El precio del pentest es el proyecto completo: preparación, pruebas, explotación controlada, informe, presentación de resultados y, si está incluido, la verificación después de corregir.

Un ejemplo: un pentest web de una sola aplicación suele llevar entre tres y cinco jornadas de trabajo. Con las tarifas de la tabla anterior, el proyecto completo se queda entre 2.500 y 7.000 euros, que es el rango que manejan las consultoras en España. Si quieres el desglose por tipo de prueba (infraestructura, app móvil, red team o cloud), lo tienes en la guía de cuánto cuesta un pentesting en España en 2026, y puedes ajustar una cifra a tu caso con la calculadora de pentest. Para el resto de servicios de seguridad, como auditorías, SOC o cumplimiento normativo, consulta la guía general de precios de ciberseguridad.

Qué encarece la tarifa de un hacker ético

Experiencia y certificaciones

Las certificaciones prácticas pesan más que las teóricas, porque se aprueban atacando un laboratorio real. La más pedida en ofertas de pentesting es la OSCP de OffSec, seguida de otras más avanzadas de la misma casa (OSEP, OSWE) o de especialidades concretas como CRTO para red team. Un perfil con varias de ellas y años de informes a sus espaldas cobra en la franja alta de cada tabla.

Especialidad

No cobra igual quien audita una web corporativa que quien entra en un entorno industrial (OT), en una infraestructura cloud con cientos de cuentas o en una aplicación con un modelo de IA conectado a datos internos. Cuanto más escaso es el conocimiento, más alta es la tarifa y más difícil es encontrar disponibilidad a corto plazo.

Metodología y profundidad

Un escaneo automático con revisión manual ligera se hace rápido. Una prueba de caja blanca con acceso al código, o un red team de varias semanas con ingeniería social, exige más horas y perfiles más caros.

Urgencia, horario y presencialidad

Las pruebas fuera del horario laboral, para no afectar a la producción, se pagan con recargo. Lo mismo ocurre con la respuesta a incidentes en fin de semana o con los trabajos presenciales que incluyen desplazamientos. La ubicación también cuenta: con la mayor parte de la oferta concentrada en Madrid y Barcelona, allí los sueldos y las tarifas tienden a ser más altos.

Autorización por escrito: lo que separa al hacker ético del delito

Técnicamente, un hacker ético y un atacante saben hacer lo mismo. La diferencia es legal y está en el permiso. El artículo 197 bis del Código Penal castiga con prisión de seis meses a dos años a quien acceda sin autorización a un sistema de información, y el artículo 197 castiga a quien se apodere de mensajes o correos de otra persona sin su consentimiento.

Por eso, antes de que un hacker ético toque nada, la empresa cliente firma:

• Una autorización expresa del titular de los sistemas, firmada por alguien con capacidad para darla. Si la web está alojada en un proveedor o la app usa servicios en la nube, hay que revisar también sus condiciones, porque muchos proveedores tienen sus propias reglas para pruebas de seguridad.
• Un documento de alcance con los dominios, IP o aplicaciones incluidos y excluidos, las fechas y los horarios.
• Unas reglas de actuación: qué técnicas están permitidas, qué se hace si aparece una vulnerabilidad crítica y a quién se avisa.
• Un acuerdo de confidencialidad y, si el técnico va a ver datos personales, un contrato de encargo de tratamiento conforme al RGPD.

Si alguien te ofrece «hackear» una cuenta o un dispositivo que no es tuyo, no es un hacker ético. Y si eres tú quien ha perdido el acceso a una cuenta, la vía es el soporte oficial de la plataforma, el 017 de INCIBE y la denuncia.

Cómo contratar un hacker ético para tu empresa

Antes de comparar tarifas, conviene tener claras estas cuatro cosas:

• Qué quieres probar: una web, una app, la red de la oficina, la cuenta de cloud o todo a la vez. Cuanto más preciso sea el alcance, más comparables serán las propuestas.
• Para qué lo necesitas: una auditoría que te pide un cliente, la preparación de una certificación como ISO 27001 o el ENS, o simplemente saber dónde estás.
• Qué te van a entregar: pide un informe de ejemplo anonimizado. Uno bueno incluye evidencias, la criticidad de cada hallazgo y pasos para reproducirlo y corregirlo.
• Si el retest está incluido: repetir las pruebas después de corregir es la única forma de saber que las correcciones funcionan.

Desconfía de precios muy por debajo de los rangos de este artículo. Un pentest manual de calidad no se hace en una tarde, y un informe generado solo con herramientas automáticas deja fuera precisamente los fallos de lógica que más daño hacen.

Preguntas frecuentes

¿Es legal contratar a un hacker?

Es legal contratar a un hacker ético para que pruebe sistemas que son tuyos o sobre los que tienes autorización, con un contrato y un alcance firmados. No es legal pedirle a nadie que entre en cuentas, móviles o correos de terceros, aunque creas tener un buen motivo.

¿Cuánto cobra un hacker ético por hora?

Un consultor autónomo cobra entre 40 y 120 euros por hora según su experiencia. A través de una consultora, la jornada de un perfil senior se factura entre 800 y 2.000 euros, con informe, revisión y seguro incluidos.

¿Qué diferencia hay entre un hacker ético y un pentester?

En la práctica se usan como sinónimos. «Pentester» se refiere sobre todo a quien hace pruebas de intrusión, mientras que «hacker ético» abarca también el red team, la respuesta a incidentes y la consultoría de seguridad ofensiva.

¿Cada cuánto conviene hacer un pentest?

Como mínimo una vez al año y siempre después de un cambio importante: una nueva versión de la app, una migración a la nube o la integración de un proveedor con acceso a tus sistemas.

Cómo puede ayudarte Yeeply

En Yeeply trabajamos con empresas certificadas especializadas en ciberseguridad para empresas, con equipos de hackers éticos acreditados que trabajan siempre con autorización y alcance firmados. Te presentamos propuestas comparables y supervisamos el proyecto hasta la entrega del informe y el retest. Puedes ver un ejemplo real en nuestro caso de pentesting para WordPress.

Si quieres revisar la seguridad de tu empresa, pulsa «Solicitar presupuesto» arriba a la derecha o escríbenos a sales@yeeply.com contándonos qué sistemas quieres probar y para cuándo lo necesitas.