De Kevin Mitnick a Phineas Fisher: la historia del hacking que transformó la ciberseguridad

La historia de la ciberseguridad no se puede entender sin sus protagonistas más polémicos. Desde los primeros phreakers que manipulaban líneas telefónicas en los años 70 hasta los colectivos de hacktivismo que hoy ponen en jaque a gobiernos y corporaciones, el mundo del hacking ha recorrido un camino fascinante, turbulento y profundamente transformador. Este artículo recorre esa evolución a través de dos figuras que representan los extremos del espectro: Kevin Mitnick, el hacker más buscado por el FBI, y Phineas Fisher, el hacktivista anónimo que expuso a empresas de espionaje y ridiculizó a cuerpos policiales.

Pero esta historia no es solo sobre ellos. Es sobre cómo el hacking pasó de ser una subcultura marginal a convertirse en una pieza clave de la seguridad corporativa, la geopolítica mundial y la defensa nacional. Entender este recorrido es fundamental para cualquier empresa que quiera proteger sus activos digitales en 2026.

Los orígenes: phreaking y la cultura hacker de los 70 y 80

Todo comenzó con el teléfono. Antes de que internet existiera como la conocemos, un grupo de entusiastas descubrió que las líneas telefónicas de AT&T podían ser manipuladas usando tonos específicos. Los llamaron phreakers, y entre ellos había nombres que más tarde serían leyendas de la tecnología: John Draper, alias Captain Crunch, descubrió que un silbato de regalo de los cereales Cap’n Crunch emitía un tono de 2600 Hz que permitía realizar llamadas gratuitas. Steve Wozniak y Steve Jobs, antes de fundar Apple, construyeron y vendieron blue boxes para hacer exactamente lo mismo.

Esta cultura del tinkering —de explorar sistemas para entender cómo funcionan— sentó las bases de lo que vendría después. En los años 80, con la llegada de los ordenadores personales y los primeros módems, el hacking se trasladó del mundo analógico al digital. Grupos como Legion of Doom y Masters of Deception se convirtieron en los primeros colectivos de hackers, compitiendo entre sí por acceder a los sistemas más protegidos. No buscaban dinero: buscaban conocimiento, prestigio y la emoción de burlar las defensas que otros creían inexpugnables.

Es en este contexto donde aparece un adolescente de Los Ángeles que cambiaría la percepción pública del hacking para siempre.

Kevin Mitnick: el ingeniero social que puso en jaque al FBI

Kevin David Mitnick nació en 1963 en Van Nuys, California. Desde adolescente mostró una habilidad extraordinaria no tanto para la programación —aunque era competente— sino para algo mucho más poderoso: la manipulación de personas. Mitnick comprendió antes que nadie que el eslabón más débil de cualquier sistema de seguridad no es el software ni el hardware, sino el ser humano que los opera.

Su técnica principal era la ingeniería social: llamaba por teléfono a empleados de empresas tecnológicas haciéndose pasar por compañeros de trabajo, técnicos de soporte o directivos, y conseguía que le dieran contraseñas, códigos de acceso y información confidencial. Con esta técnica, entre los años 80 y 90, Mitnick penetró en los sistemas de empresas como Nokia, Motorola, Sun Microsystems, Fujitsu, NEC y el mismísimo Departamento de Defensa de Estados Unidos.

Lo que hacía que Mitnick fuera tan peligroso a ojos de las autoridades no era el daño económico que causaba —que era relativamente modesto comparado con los cibercrímenes actuales— sino la facilidad con la que lo hacía. Demostraba que las inversiones millonarias en seguridad informática eran inútiles si un tipo con un teléfono y buena labia podía saltárselas en minutos.

La persecución y la captura

En 1995, tras años como fugitivo del FBI —durante los cuales siguió hackeando mientras vivía bajo identidades falsas—, Mitnick cometió un error que le costaría la libertad: intentó acceder a los archivos de Tsutomu Shimomura, un experto en seguridad informática del Centro de Supercomputación de San Diego. Shimomura no era un objetivo cualquiera. Era un hacker de élite que trabajaba del lado de la ley, y tomó la intrusión como algo personal.

Lo que siguió fue una de las persecuciones más cinematográficas de la historia de la tecnología. Shimomura rastreó las conexiones de Mitnick a través de líneas telefónicas y redes celulares hasta localizarlo en un apartamento de Raleigh, Carolina del Norte. El FBI lo arrestó el 15 de febrero de 1995. Mitnick pasó cinco años en prisión, incluyendo ocho meses en régimen de aislamiento: el juez había aceptado el argumento de la fiscalía de que Mitnick podía lanzar misiles nucleares silbando a un teléfono público. Una exageración absurda, pero que refleja el nivel de miedo —y desconocimiento— que existía sobre el hacking en aquella época.

La redención y el legado

Tras su liberación en 2000, Mitnick dio un giro radical. Fundó Mitnick Security Consulting, una empresa de consultoría de ciberseguridad que ofrecía exactamente lo que él hacía como delincuente: poner a prueba los sistemas de seguridad de las empresas. Escribió varios libros superventas, entre ellos The Art of Deception y Ghost in the Wires, que se convirtieron en referencia obligada para profesionales de la seguridad. Se transformó en uno de los conferenciantes más solicitados del mundo sobre ingeniería social y ciberseguridad.

Kevin Mitnick falleció el 16 de julio de 2023, a los 59 años, tras una batalla contra el cáncer de páncreas. Su legado es doble: por un lado, popularizó el concepto de ingeniería social como vector de ataque; por otro, demostró que el conocimiento del atacante es el mejor activo para la defensa. Su historia es el arquetipo de la reconversión del hacker al servicio de la ciberseguridad, un camino que hoy recorren miles de profesionales en todo el mundo.

La era del hacktivismo: cuando hackear se convierte en protesta

Mientras Mitnick representaba al hacker solitario motivado por la curiosidad y el desafío intelectual, los años 2000 vieron nacer un fenómeno completamente distinto: el hacktivismo. La fusión de hacking y activismo político produjo colectivos como Anonymous, LulzSec y, más tarde, figuras aún más enigmáticas como Phineas Fisher.

Anonymous, nacido en los foros de 4chan, protagonizó operaciones masivas contra la Iglesia de la Cienciología, contra gobiernos autoritarios durante la Primavera Árabe, y contra empresas que intentaban censurar WikiLeaks. Su lema —«We are Anonymous. We are Legion. We do not forgive. We do not forget. Expect us.»— se convirtió en icónico. Pero Anonymous era un colectivo difuso, sin liderazgo claro ni objetivos coherentes. Para muchos, era más ruido que impacto real.

La verdadera revolución del hacktivismo llegaría de la mano de un individuo —o grupo— que operaba con una precisión quirúrgica y un discurso político articulado que Anonymous nunca tuvo.

Phineas Fisher: el fantasma que nadie ha podido atrapar

En julio de 2015, la empresa italiana Hacking Team sufrió una de las brechas de seguridad más devastadoras de la historia. Más de 400 gigabytes de datos internos fueron exfiltrados y publicados en internet: correos electrónicos, código fuente de sus herramientas de espionaje, facturas y, lo más explosivo, la lista completa de sus clientes. Esa lista reveló que Hacking Team vendía software de vigilancia a gobiernos autoritarios como Sudán, Etiopía, Arabia Saudí y Emiratos Árabes Unidos —países con historiales atroces en derechos humanos—, además de a fuerzas policiales y servicios de inteligencia de medio mundo, incluyendo España.

El responsable se identificó como Phineas Fisher (también conocido como Phineas Phisher o HackBack). No era su primera acción: un año antes, en 2014, había hackeado a Gamma Group, otra empresa de vigilancia que vendía el spyware FinFisher a gobiernos represivos.

El manifiesto y la ideología

Lo que distinguía a Phineas Fisher de otros hacktivistas no era solo su habilidad técnica —que era extraordinaria— sino su transparencia metodológica. Tras cada acción, publicaba extensos manuales detallando exactamente cómo había llevado a cabo el ataque, paso a paso. No eran simples alardes: eran guías técnicas que cualquier persona con conocimientos medios de seguridad podía seguir. Su objetivo declarado era democratizar el hacking como herramienta de protesta social.

Su ideología era explícitamente anticapitalista y anarquista. En sus comunicados, escritos con un tono entre pedagógico e irónico, argumentaba que las empresas de cibervigilancia como Hacking Team y Gamma Group eran mercenarios digitales que vendían armas de represión al mejor postor, y que hackearlos era un acto legítimo de defensa de los derechos humanos.

Los Mossos d’Esquadra y la investigación fallida

En 2016, Phineas Fisher hackeó el sindicato de los Mossos d’Esquadra (la policía autonómica de Cataluña), exfiltrando datos personales de miles de agentes. La acción tenía un componente político evidente: los Mossos habían sido señalados por uso excesivo de la fuerza y vigilancia sobre movimientos sociales catalanes.

La policía catalana lanzó una investigación que, según múltiples fuentes, resultó en un ejercicio de frustración. Phineas Fisher utilizaba una combinación de redes Tor, comunicaciones cifradas, servidores comprometidos en cadena y criptomonedas que hacía prácticamente imposible su rastreo. A día de hoy, en 2026, su identidad sigue siendo un misterio. No se sabe si es una persona, un grupo, si opera desde España, Latinoamérica o cualquier otro punto del planeta.

La industrialización del cibercrimen: de individuos a ejércitos

Entre la era de Mitnick y la de Phineas Fisher, el mundo del hacking experimentó una transformación radical. Lo que comenzó como una actividad de individuos curiosos se convirtió en una industria global multimillonaria. Los grupos de cibercrimen organizados, muchos de ellos con vínculos estatales, comenzaron a operar como verdaderas empresas: con departamentos de desarrollo, soporte técnico, marketing y hasta programas de afiliados.

El ransomware se convirtió en el modelo de negocio dominante. Grupos como Conti, REvil, LockBit y BlackCat desarrollaron plataformas de Ransomware-as-a-Service (RaaS) que permitían a cualquier criminal sin conocimientos técnicos lanzar ataques devastadores a cambio de un porcentaje del rescate. Los ataques pasaron de dirigirse a individuos a apuntar a hospitales, universidades, infraestructuras críticas y gobiernos.

En España, esta realidad se hizo brutalmente tangible con ataques como el del Hospital Clínic de Barcelona en 2023, que paralizó la atención sanitaria durante semanas, o el de la Universitat Autònoma de Barcelona (UAB), que dejó sin sistemas informáticos a más de 50.000 personas entre estudiantes y personal.

La geopolítica del hacking: Rusia, Israel y Ucrania

El hacking dejó de ser solo un asunto criminal o activista para convertirse en un arma geopolítica de primer orden. Los estados descubrieron que un equipo de hackers podía causar más daño que un batallón de soldados, a una fracción del coste y con plausible negación.

Rusia ha sido pionera en este campo. Grupos como Fancy Bear (vinculado al GRU, la inteligencia militar rusa) y Sandworm han llevado a cabo operaciones que van desde la interferencia en elecciones estadounidenses hasta ataques contra la red eléctrica de Ucrania. El ataque a SolarWinds en 2020, atribuido al SVR ruso, comprometió los sistemas de más de 18.000 organizaciones, incluyendo agencias del gobierno de Estados Unidos. En 2025 y 2026, los ataques rusos contra infraestructuras críticas europeas se han intensificado dramáticamente en el contexto del conflicto con Ucrania.

Israel, por su parte, ha construido un ecosistema de ciberseguridad sin parangón gracias a la Unidad 8200, la unidad de inteligencia de señales de las Fuerzas de Defensa israelíes. Los veteranos de la 8200 fundan la mayoría de las startups de ciberseguridad del país, convirtiendo a Israel en una potencia exportadora de tecnología de vigilancia. El caso más notorio es el de NSO Group y su spyware Pegasus, utilizado por gobiernos de todo el mundo —incluido el CNI español— para espiar a periodistas, activistas y políticos.

Ucrania ha dado una lección magistral de ciberguerra defensiva. Sus hackers han desarrollado técnicas de GPS spoofing para engañar a los drones rusos, haciéndolos dar la vuelta o estrellarse contra sus propias líneas. La colaboración con SpaceX y Starlink ha proporcionado conectividad en zonas de combate y permitido la detección de posiciones rusas en territorio ocupado. El IT Army of Ukraine, un ejército de voluntarios digitales, ha llevado a cabo ataques coordinados contra infraestructura rusa a una escala sin precedentes.

El hacking ético: la otra cara de la moneda

Paralelamente a la evolución del cibercrimen y la ciberguerra, creció una comunidad de profesionales que utilizan las mismas técnicas con un propósito legítimo: el hacking ético. También conocidos como white hats o pentesters, estos profesionales son contratados por empresas para encontrar vulnerabilidades antes de que los criminales las exploten.

La demanda de hackers éticos se ha disparado exponencialmente. Certificaciones como CEH (Certified Ethical Hacker), OSCP (Offensive Security Certified Professional) y CISSP se han convertido en requisitos habituales en las ofertas de empleo del sector. Plataformas de bug bounty como HackerOne y Bugcrowd pagan millones de dólares al año a investigadores independientes que descubren fallos de seguridad en empresas como Google, Apple, Microsoft y Facebook.

La figura del red team —un equipo que simula ataques reales contra una organización— se ha convertido en una práctica estándar en empresas medianas y grandes. Frente a ellos, los blue teams defienden y responden a incidentes. Y cada vez más, la tendencia es hacia purple teams, donde atacantes y defensores trabajan juntos para mejorar continuamente la postura de seguridad.

Muchos de estos profesionales tienen un pasado que, como mínimo, coqueteó con la ilegalidad. La historia de la ciberseguridad está llena de hackers que pasaron del dark side al sector legítimo, siguiendo el camino que Mitnick inauguró. En agencias como Keliam, trabajamos con profesionales que entienden la mentalidad del atacante porque la vivieron de primera mano, y eso marca la diferencia a la hora de proteger los activos digitales de nuestros clientes.

La ciberseguridad en la empresa: del lujo a la necesidad

Si algo demuestra el recorrido de Mitnick a Phineas Fisher es que la ciberseguridad ya no es un departamento técnico aislado: es una función estratégica de negocio. El coste medio de una brecha de datos alcanzó los 4,88 millones de dólares en 2024, según IBM. Para las pymes —que representan el 99% del tejido empresarial en España— un ciberataque puede significar directamente el cierre.

Las amenazas han evolucionado tanto que ya no basta con un antivirus y un firewall. Las empresas necesitan:

• Auditorías de seguridad periódicas: evaluar la superficie de ataque, identificar vulnerabilidades y priorizar su corrección.
• Tests de penetración (pentesting): simular ataques reales para comprobar la eficacia de las defensas.
• Planes de respuesta a incidentes: saber exactamente qué hacer cuando —no si, sino cuando— se produce una brecha.
• Formación en concienciación: la ingeniería social que Mitnick perfeccionó en los 80 sigue siendo el vector de ataque más efectivo en 2026.
• Seguridad en el desarrollo (DevSecOps): integrar la seguridad desde las primeras fases del desarrollo de software.

Para plataformas basadas en WooCommerce o PrestaShop, donde se procesan datos de pago y personales, la ciberseguridad no es solo una buena práctica: es una obligación legal bajo el RGPD y la directiva NIS2.

Lo que viene: IA, deepfakes y la nueva era de las amenazas

El panorama de amenazas no deja de evolucionar. La inteligencia artificial está transformando tanto el ataque como la defensa. Los ciberdelincuentes ya utilizan IA generativa para crear correos de phishing indistinguibles de los legítimos, para generar deepfakes de voz y vídeo que suplantan a directivos de empresa, y para automatizar la búsqueda de vulnerabilidades a una velocidad que ningún equipo humano puede igualar.

Del lado defensivo, la IA permite detectar patrones anómalos en tiempo real, predecir ataques antes de que se materialicen y automatizar la respuesta a incidentes. Pero es una carrera armamentística donde ningún bando tiene una ventaja decisiva.

Los ataques a la cadena de suministro —como el de SolarWinds— se han convertido en la nueva normalidad. Ya no necesitas hackear directamente a tu objetivo: basta con comprometer a uno de sus proveedores de software. Esto es especialmente relevante para agencias de desarrollo como Keliam, donde la seguridad del código que entregamos a nuestros clientes es tan importante como la funcionalidad.

La computación cuántica, aunque todavía no es una amenaza inmediata, ya está provocando la migración hacia criptografía post-cuántica. Las empresas que no empiecen a prepararse ahora se encontrarán vulnerables cuando los ordenadores cuánticos sean capaces de romper los algoritmos de cifrado actuales.

Conclusión: lecciones para empresas y desarrolladores

El viaje de Kevin Mitnick a Phineas Fisher nos deja varias lecciones cruciales:

Primera: el factor humano es y será siempre el vector principal de ataque. La ingeniería social que Mitnick perfeccionó hace 40 años sigue siendo devastadoramente efectiva. Ninguna inversión tecnológica sustituye a la formación y concienciación del equipo.

Segunda: la seguridad por oscuridad no funciona. Tanto Hacking Team como Gamma Group se creían invulnerables. Phineas Fisher demostró que no lo eran. La transparencia, las auditorías externas y la asunción de que serás atacado son la única postura realista.

Tercera: el conocimiento del atacante es el mejor activo defensivo. Las empresas que contratan a profesionales con experiencia en hacking ético, que realizan pentesting regular y que piensan como el adversario son las que mejor resisten los ataques.

Cuarta: la ciberseguridad es un proceso, no un producto. No se compra un firewall y se olvida. Requiere monitorización continua, actualización constante y una cultura organizacional que la priorice.

En Keliam, llevamos años ayudando a empresas a construir esa postura de seguridad integral. Desde auditorías de seguridad y pentesting hasta el mantenimiento y hardening de plataformas web, nuestro equipo combina conocimiento técnico profundo con una comprensión real de las amenazas actuales.

Porque en ciberseguridad, como demostró Mitnick, la mejor defensa es pensar como el atacante.