Cordial saludo,

Lo primero que quiero definir (porque se presenta mucha confusión) es el termino hacker.
Para Himanen, en su obra La ética del hacker y el espíritu de la era de la información,
un hacker no es un delincuente, vándalo o pirata informático con altos conocimientos
técnicos (a los que prefiere llamar crackers), término que se confundió gracias a la prensa
de la década de los ochenta, período de los primeros ataques informáticos. Sino
que hacker es todo aquel que trabaja con gran pasión y entusiasmo por lo que hace.
De esto se desprende La llamada ética hacker, la cual es un conjunto de principios morales
y filosóficos surgidos, y aplicados a, las comunidades virtuales de hackers, aunque no son
exclusivas de este ámbito, ya que muchos de sus valores pueden aplicarse fuera del ámbito
de la informática y al acto de hackear.
En ese orden de ideas podríamos pensar que un hacker al aplicar el Hacking Ético pretende
por medio de sus conocimientos técnicos, ayudar a desarrollar mejores aplicaciones de
software, que garanticen que los datos no serán vulnerables o visibles a usuarios que
pretendan mediante el acceso no autorizado consultar o modificar la información con fines
políticos o comerciales.
Por ejemplo, para dar explicar la diferencia entre hacker y cracker, podemos hacer
referencia al caso de Oroboruo', el paisa que atacó días antes de las votaciones del
plebiscito la página web de la Registraduría, y vulneró en 3.196 oportunidades a 1.374
dominios, muchos de ellos del gobierno, a los que les inyectaba códigos maliciosos (SQL
injection) y también los desconfiguraba, solo con el objetivo de realizar acciones que
desestabilizaran los sistemas de información de las organizaciones.
Otro de los casos más sonados, fue el del mal llamado hacker Andrés Sepúlveda, que
infiltro los sistemas de información de las campañas presidenciales de 2014 para beneficiar
a uno de los candidatos, y obtener documentos de inteligencia sobre el proceso de paz con
las Farc. En este caso, podemos evidenciar, que las acciones tuvieron, primero un fin
político y después económico.
Ver + en: https://www.eltiempo.com/justicia/cortes/delitos-de-hackers-en-colombia-52232
En Colombia, se expidió la ley 1273 de 2009 en la cual se tipifican nuevos tipos penales
relacionados con delitos informáticos y la protección de la información y de los datos con
penas de prisión de hasta 120 meses y multas de hasta 1500 salarios mínimos legales
mensuales vigentes, entre los cuales podemos mencionar los siguientes artículos:

 Artículo 269A: Acceso Abusivo A Un Sistema Informático.

 Artículo 269B: Obstaculización Ilegítima De Sistema Informático O Red De
Telecomunicación.
 Artículo 269C: Interceptación De Datos Informáticos
 Artículo 269D: DAÑO INFORMÁTICO
 Artículo 269E: USO DE SOFTWARE MALICIOSO
Ver + en: https://www.deltaasesores.com/ley-de-delitos-informaticos-en-colombia/
Por otro lado, en el Hacking Ético, se utilizan mecanismos técnicos para comprobar la
vulnerabilidad de los sistemas de software y hardware. Entre estos podemos mencionar:

 SQL-Injection
 Ingeniería social
 Implantación de virus o software troyano
 Ataque de denegación de servicio distribuido
 Ataques pasivos o sniffing
 Phising
Ver + en: https://backtrackacademy.com/articulo/diez-tecnicas-de-hacking-que-deberias-
conocer

Cabe anotar que muchas de estas técnicas, tienen como actor que activa el ataque al
mismo usuario del sistema, que al no cumplir con los criterios de seguridad que imponen
las empresas y los organismos con los cuales tiene relación, hacen que los usuarios sean
el principal foco de atención por parte de los administradores de seguridad.
Hoy en día, los ataques cibernéticos tienen tal importancia que se habla de nuevos campos
de estudio como el cómputo forense, también llamado informática forense, que es la
aplicación de técnicas científicas y analíticas especializadas a infraestructura tecnológica
que permiten identificar, preservar, analizar y presentar datos que sean válidos dentro de
un proceso legal. Dichas técnicas incluyen reconstruir el bien informático, examinar datos
residuales, autenticar datos y explicar las características técnicas del uso aplicado a los
datos y bienes informáticos, todo esto con el objetivo de realizar seguimiento y
reconstrucción cuando se lleva a cabo un delito informático.
Pero una de las técnicas más usadas para vulnerar las plataformas tecnológicas, es el
ejecutar código SQL directamente desde la página web de la organización. Se podría decir
que, en este caso, el ataque se lleva a cabo sin intervención de un usuario normal, sino que
por el contrario, el ataque es realizado por expertos que tienen conocimientos acerca de
SQL y características o falencias de seguridad que tienen los SMBD.
El evitar este tipo de ataques, es tarea fundamental del desarrollador y del DBA, que en
conjunto deben aplicar técnicas y buenas prácticas de diseño y programación para blindar
los sistemas de información y los datos, realizando baterías de pruebas que permitan
evaluar la parte funcional, de rendimiento y la Integridad de Datos y Base de Datos, entre
otras.
Algunas de las técnicas para prevenir un ataque por inyección de SQL, pueden ser:

 Usar captchas en los formularios para validar las peticiones de los usuarios, para
diferenciar entre máquinas y humanos
 Crear limitaciones y reglas en los formularios, como por ejemplo utilizar como
método en los formularios POST en vez de GET
 Limitar la cantidad de caracteres que se pueden escribir en los campos de texto.
 Impedir la entrada de código maligno escapando los caracteres, reemplazando los
caracteres especiales por su equivalente textual, de tal forma que se interprete todo
el contenido de la variable como si fuera texto.
 Convertir caracteres especiales en entidades HTML. Por ejemplo; la función
Htmlspecialchars() de PHP convierte los caracteres especiales en entidades HTML.
 Escapar los caracteres especiales utilizados en las consultas SQL. Algunos de estos
caracteres especiales que es aconsejable escapar son las comillas dobles (“), las
comillas simples (‘) o los caracteres \x00 o \x1a ya que son considerados como
peligrosos pues pueden ser utilizados durante los ataques. En el caso de PHP
podemos optar por la función mysql_real_scape_string(), que toma como parámetro
una cadena y la modifica evitando todos los caracteres especiales, devolviéndola
totalmente segura para ser ejecutada dentro de la instrucción SQL.

 Y otras descritas en la intervención en el foro.