Ethical Hacker Empleos España 2026: Pentester

Estás mirando ofertas de “ethical hacker” y “pentester” y todas piden lo mismo: experiencia, certificaciones, inglés, cloud, informes, Red Team, Burp Suite, SIEM, Python… y tú solo quieres saber una cosa: “vale, ¿qué tengo que hacer para que me llamen en España en 2026?”

La buena noticia: hay demanda real. Bancos, telcos, consultoras, ecommerce, startups fintech y empresas con datos sensibles necesitan gente que encuentre fallos antes que los malos. La mala noticia: no basta con decir “me gusta la ciberseguridad” o poner TryHackMe en el CV sin contexto.

En esta guía vamos a aterrizar qué hace un ethical hacker, qué salarios puedes esperar en España, qué habilidades pesan de verdad, cómo entrar si vienes de sistemas, desarrollo o soporte, y cómo montar un CV que pase filtros ATS.

Ethical Hacker Empleos España 2026: Pentester#

Un ethical hacker, o hacker ético, es una persona contratada para atacar sistemas con permiso. Su trabajo es detectar vulnerabilidades, demostrar impacto y proponer correcciones antes de que lo haga un atacante real.

En España, el puesto suele aparecer con nombres como:

• Pentester
• Ethical Hacker
• Red Team Operator
• Cybersecurity Consultant
• Offensive Security Analyst
• Web Application Security Tester
• Cloud Security Pentester
• Mobile Security Analyst
• Vulnerability Assessment Analyst

Aunque suenen parecidos, no todos son iguales. Un pentester web no tiene por qué hacer Red Team avanzado, y un analista de vulnerabilidades no siempre explota fallos manualmente.

La clave para 2026 será especializarte, pero sin perder base técnica.

Qué hace un pentester en el día a día#

Olvídate de la imagen de película con capucha negra y pantallas verdes. Un pentester pasa mucho tiempo leyendo, documentando, probando, validando y explicando.

Un día normal puede incluir:

1. Reunión de alcance con cliente o equipo interno.
2. Revisión de aplicaciones, APIs, redes o entornos cloud.
3. Escaneo con herramientas como Nmap, Nessus, Burp Suite o nuclei.
4. Pruebas manuales para validar vulnerabilidades.
5. Explotación controlada, siempre dentro del permiso acordado.
6. Evidencias con capturas, logs y pasos reproducibles.
7. Redacción de informe técnico y ejecutivo.
8. Reunión de cierre para explicar riesgos y prioridades.

La parte técnica importa muchísimo, pero la comunicación pesa más de lo que muchos imaginan. Si encuentras un fallo crítico pero no sabes explicarlo, el cliente no lo corrige.

Un buen pentester no solo dice “hay SQL injection”. Dice dónde está, cómo se explota, qué impacto tiene, qué datos se pueden ver, qué probabilidad hay, cómo arreglarlo y cómo comprobar que se ha solucionado.

Empresas que contratan ethical hackers en España#

En 2026 verás oportunidades en varios tipos de empresa. No todas pagan igual ni tienen el mismo ritmo.

Bancos y fintech

BBVA, Santander, CaixaBank, Sabadell, Revolut, N26 o empresas de pagos necesitan perfiles ofensivos y defensivos. Los bancos suelen tener procesos más formales, mucho cumplimiento normativo y buenos equipos de seguridad.

Puedes esperar más documentación, más controles y pruebas muy reguladas. A cambio, el aprendizaje puede ser fuerte si entras en equipos maduros.

Telecomunicaciones

Telefónica, Orange, Vodafone y proveedores de servicios gestionados contratan perfiles de pentesting, SOC, threat intelligence y Red Team.

Telefónica Tech, por ejemplo, suele moverse mucho en ciberseguridad, consultoría y servicios para grandes clientes. Aquí puedes tocar proyectos variados: redes, cloud, apps, auditorías, respuesta a incidentes.

Retail, ecommerce y logística

Inditex, Mango, El Corte Inglés, Decathlon, Amazon, Cabify, Glovo y empresas con mucho tráfico digital necesitan seguridad web, móvil, APIs y cloud.

En estos entornos suelen importar mucho:

• Seguridad de aplicaciones.
• Protección de datos de clientes.
• APIs internas y externas.
• Seguridad en pagos.
• Gestión de identidades.
• Cloud y contenedores.

Si te gusta romper aplicaciones reales y entender negocio, aquí hay camino.

Consultoras y MSSP

Deloitte, EY, KPMG, PwC, Accenture, NTT Data, S21sec, GMV, Inetum, Entelgy o Mnemo pueden ser puerta de entrada.

La ventaja: tocas muchos clientes y aprendes rápido. La parte menos bonita: puede haber presión de entregas, cambios de proyecto y semanas intensas.

Para alguien junior, una consultora puede darte el volumen de práctica que necesitas para crecer.

Salarios de ethical hacker y pentester en España en 2026#

Los salarios varían mucho por ciudad, inglés, certificaciones, tipo de empresa y nivel real. Aun así, estas bandas son razonables para España en 2026.

Junior pentester, 0 a 2 años

Rango habitual: €28k a €38k brutos anuales.

Puedes estar en este tramo si vienes de prácticas, bootcamp, FP, grado, soporte IT, sysadmin junior o CTFs bien presentados.

En Madrid y Barcelona puede haber ofertas de €32k a €40k si tienes buen inglés, labs reales y sabes defender una prueba técnica.

Mid pentester, 2 a 5 años

Rango habitual: €40k a €58k brutos anuales.

Aquí ya se espera autonomía. No basta con lanzar herramientas, debes saber validar, priorizar, documentar y hablar con cliente.

Un perfil mid con Burp Suite avanzado, APIs, Active Directory y cloud puede moverse cerca de €50k o €55k.

Senior pentester, 5 años o más

Rango habitual: €58k a €80k brutos anuales.

Un senior puede liderar auditorías, revisar informes de otros, definir metodologías, tratar con dirección y hacer pruebas complejas.

Si sumas Red Team, evasión, cloud avanzado, Azure/AWS, experiencia en banca o inglés fuerte, puedes ver ofertas de €70k o incluso más.

Red Team, AppSec senior y cloud security

Rango habitual: €65k a €95k brutos anuales.

Estos perfiles son más escasos. Un Red Team Operator con experiencia real, no solo laboratorios, puede negociar muy bien.

En remoto para empresas europeas, el salto puede ser mayor. Hay perfiles en España trabajando para compañías de Alemania, Países Bajos, Reino Unido o Irlanda con sueldos de €80k a €110k, aunque suelen pedir inglés muy sólido y experiencia demostrable.

Habilidades técnicas que más se piden#

Si quieres empleo de ethical hacker en España, necesitas una base clara. No tienes que saberlo todo, pero sí demostrar profundidad en algunas áreas.

1. Redes y sistemas

Sin redes, vas cojo. Tienes que entender cómo se comunican los sistemas y qué pasa por debajo de una aplicación.

Aprende bien:

• TCP/IP
• DNS
• HTTP y HTTPS
• VPN
• Proxies
• Firewalls
• Linux
• Windows Server
• Active Directory básico
• Permisos y usuarios
• Logs del sistema

No necesitas ser administrador senior, pero sí moverte cómodo por terminal, servicios, puertos y procesos.

2. Seguridad web

La mayoría de ofertas piden seguridad en aplicaciones web. Aquí OWASP Top 10 es obligatorio.

Debes entender y practicar:

• SQL Injection
• Cross-Site Scripting, XSS
• IDOR
• SSRF
• CSRF
• Broken Access Control
• Authentication bypass
• File upload vulnerabilities
• Deserialización insegura
• Server-side template injection
• Seguridad en APIs REST y GraphQL

Burp Suite es casi estándar. Si no sabes usarlo bien, ponlo en tu plan de estudio ya.

3. APIs y mobile

Cada vez más empresas tienen productos móviles y APIs públicas o internas. Cabify, Glovo, bancos y ecommerce viven de esto.

Te conviene aprender:

• Autenticación con JWT
• OAuth2 y OpenID Connect
• Rate limiting
• Validación de permisos por objeto
• Manipulación de requests
• Reversing básico de apps Android
• Frida básico
• Análisis de tráfico móvil
• Cert pinning y cómo se prueba legalmente en entornos controlados

No hace falta ser experto en reversing para tu primer empleo, pero sí entender cómo se testean apps modernas.

4. Active Directory

Active Directory sigue siendo oro para empleo. Muchas empresas tienen entornos Microsoft y los ataques internos son muy relevantes.

Conceptos clave:

• Kerberos
• NTLM
• LDAP
• Enumeración de dominio
• BloodHound
• Kerberoasting
• AS-REP Roasting
• Pass-the-Hash
• Pass-the-Ticket
• Privilege escalation
• Lateral movement

Si puedes explicar una cadena de ataque en AD de forma sencilla, subes muchos puntos en entrevista.

5. Cloud security

AWS, Azure y Google Cloud aparecen cada vez más en ofertas. En España, Azure tiene mucha presencia en grandes empresas, y AWS en startups y productos digitales.

Para pentesting cloud, empieza por:

• IAM
• Buckets S3
• Azure Storage
• Roles y políticas
• Secrets expuestos
• Security groups
• Logging
• Contenedores
• Kubernetes básico
• CI/CD
• Repositorios con credenciales filtradas

La nube no se prueba igual que una red tradicional. Hay reglas de proveedor, permisos y límites contractuales que debes respetar.

6. Scripting

No tienes que ser desarrollador full stack, pero sí automatizar tareas.

Lenguajes útiles:

• Python
• Bash
• PowerShell
• JavaScript básico
• SQL

Python te ayuda a crear scripts, procesar resultados, automatizar requests y modificar exploits. PowerShell es muy útil para Windows y Active Directory.

Herramientas que deberías conocer#

Las herramientas no te hacen pentester, pero sí te hacen más eficiente. En el CV, mejor ponerlas si sabes usarlas con sentido.

Herramientas comunes:

• Burp Suite
• Nmap
• Nessus
• OpenVAS
• nuclei
• ffuf
• gobuster
• dirsearch
• Metasploit
• BloodHound
• Impacket
• CrackMapExec o NetExec
• Wireshark
• sqlmap
• Hydra
• John the Ripper
• Hashcat
• Docker
• Git
• Kali Linux
• Parrot OS

Un error típico es listar 40 herramientas sin contexto. Mejor así:

• “Realicé pruebas web con Burp Suite, validando IDOR, XSS almacenado y fallos de control de acceso.”
• “Usé BloodHound e Impacket en laboratorio AD para identificar rutas de escalada de privilegios.”
• “Automatizé enumeración de subdominios con Python, nuclei y ffuf.”

Eso suena mucho más creíble.

Certificaciones que ayudan en España#

Las certificaciones no sustituyen experiencia, pero te abren puertas. Sobre todo si tu CV todavía no tiene años en pentesting.

Certificaciones de entrada

Buenas para empezar:

• eJPT
• PJPT
• CompTIA Security+
• Google Cybersecurity Certificate, como base
• Cisco CyberOps Associate

eJPT suele gustar porque es práctica y enfocada a pentesting junior. Security+ ayuda más para fundamentos y puestos de seguridad general.

Certificaciones intermedias

Para diferenciarte:

• PNPT
• CRTO
• Burp Suite Certified Practitioner
• Certified AppSec Practitioner
• Microsoft SC-200 o SC-300, si vas hacia seguridad Microsoft
• AWS Certified Security Specialty, si ya tienes base cloud

PNPT tiene buena reputación para demostrar metodología real. CRTO pesa si quieres Red Team.

Certificaciones avanzadas

Las más reconocidas:

• OSCP
• OSEP
• OSWE
• GXPN
• CISSP, más para gestión y senioridad
• CISM, más gobierno y liderazgo

OSCP sigue siendo una referencia fuerte para pentester. No garantiza empleo, pero ayuda a que te tomen en serio.

Si estás empezando, no te obsesiones con OSCP desde el día uno. Puedes ir por eJPT, labs, proyectos y luego OSCP cuando ya tengas base.

Cómo entrar si no tienes experiencia#

Aquí va la parte que mucha gente necesita leer: sí puedes entrar, pero necesitas pruebas de habilidad.

No vale solo con “he hecho TryHackMe”. Eso lo ponen miles de personas. Lo importante es cómo lo presentas.

Ruta desde soporte IT o sysadmin

Si vienes de soporte, helpdesk, sistemas o redes, tienes ventaja. Ya entiendes usuarios, permisos, tickets, servidores y problemas reales.

Tu plan podría ser:

1. Refuerza Linux y Windows Server.
2. Aprende redes con práctica.
3. Haz labs de web y Active Directory.
4. Documenta 5 writeups propios, sin copiar soluciones.
5. Pide tareas de hardening o seguridad en tu empresa.
6. Aplica a junior pentester, SOC L2, vulnerability analyst o security consultant.

No descartes entrar por vulnerabilidades o SOC y moverte luego a ofensiva. Muchas carreras reales empiezan así.

Ruta desde desarrollo

Si vienes de programación, AppSec puede ser tu entrada natural. Muchas empresas necesitan personas que entiendan código y seguridad.

Enfócate en:

• OWASP Top 10
• Code review
• SAST y DAST
• Seguridad en APIs
• Auth y permisos
• DevSecOps
• CI/CD
• Secret scanning

Un developer que sabe explicar cómo arreglar una vulnerabilidad suele aportar mucho en equipos de seguridad.

Ruta desde cero

Si vienes de otro sector, el camino es más largo, pero posible.

Plan mínimo de 9 a 12 meses:

1. Fundamentos de redes.
2. Linux básico e intermedio.
3. Python básico.
4. Seguridad web con PortSwigger Academy.
5. TryHackMe o Hack The Box con ruta estructurada.
6. eJPT o certificación práctica similar.
7. Portfolio con informes de laboratorio.
8. CV enfocado a seguridad, no a “me gusta aprender”.
9. Aplicar a roles junior, prácticas, becas, SOC y consultoría.

Si necesitas pagar facturas ya, quizá te conviene buscar primero soporte IT o técnico de sistemas y construir desde ahí.

Portfolio para pentester: lo que sí convence#

Un portfolio no tiene que ser enorme. Tiene que ser claro, legal y útil para quien contrata.

Puedes crear:

• 3 informes de pentest ficticios sobre labs.
• 2 writeups técnicos de máquinas vulnerables.
• 1 script propio en GitHub.
• 1 checklist de metodología web.
• 1 explicación de una vulnerabilidad con impacto y mitigación.
• 1 mini laboratorio Active Directory documentado.

Evita publicar exploits contra empresas reales o datos sensibles. Si haces bug bounty, respeta disclosure y tiempos de publicación.

Un buen portfolio tiene esta estructura:

1. Objetivo de la prueba.
2. Alcance.
3. Metodología.
4. Hallazgos.
5. Evidencias.
6. Impacto.
7. Recomendación.
8. Lecciones aprendidas.

Esto demuestra madurez profesional, no solo ganas de “hackear”.

Cómo preparar el CV de ethical hacker#

Tu CV debe pasar dos filtros: el ATS y la persona técnica. Si falla en el primero, nadie lo lee. Si falla en el segundo, no hay entrevista.

Palabras clave que debes incluir si son reales

Incluye términos como:

• Pentesting
• Ethical hacking
• Vulnerability assessment
• OWASP Top 10
• Burp Suite
• Nmap
• Active Directory
• Web application security
• API security
• Cloud security
• AWS
• Azure
• Linux
• Python
• SIEM
• Red Team
• OSCP
• eJPT
• Nessus
• Metasploit
• Reporting
• Remediation

No metas palabras que no puedes defender. En ciberseguridad, una entrevista técnica detecta humo rápido.

Ejemplo de perfil profesional

“Pentester junior con base en redes, Linux y seguridad web. Experiencia práctica en laboratorios controlados realizando pruebas sobre OWASP Top 10, APIs y Active Directory. Manejo de Burp Suite, Nmap, nuclei, BloodHound y Python para automatización básica. Busco incorporarme a un equipo de ciberseguridad donde aportar metodología, documentación clara y aprendizaje rápido.”

Está bien si no tienes experiencia pagada, siempre que lo que digas sea cierto.

Cómo describir proyectos

Malo:

• “He usado Kali Linux y Hack The Box.”

Mejor:

• “Realicé auditoría simulada de aplicación vulnerable, identificando XSS reflejado, IDOR y subida insegura de archivos. Documenté impacto, pasos de reproducción y mitigaciones.”
• “Monté laboratorio Active Directory con 3 máquinas Windows y 1 Kali, practicando enumeración, Kerberoasting y análisis de rutas de privilegio con BloodHound.”
• “Desarrollé script en Python para automatizar pruebas básicas de enumeración de endpoints y exportar resultados en CSV.”

La diferencia es enorme. Uno suena a hobby, el otro a trabajo.

Entrevistas técnicas: qué te van a preguntar#

Las entrevistas para pentester suelen mezclar teoría, casos prácticos y revisión de experiencia.

Preguntas comunes:

1. ¿Qué es una vulnerabilidad IDOR?
2. ¿Cómo probarías un login?
3. ¿Qué diferencia hay entre XSS reflejado y almacenado?
4. ¿Cómo funciona SQL injection?
5. ¿Qué harías si encuentras credenciales en un repositorio?
6. ¿Cómo enumeras un dominio Active Directory?
7. ¿Qué es Kerberoasting?
8. ¿Cómo priorizas vulnerabilidades?
9. ¿Qué debe tener un buen informe?
10. ¿Qué harías si una prueba afecta a producción?

También pueden darte un escenario:

“Tenemos una API con usuarios, pedidos y tokens JWT. ¿Cómo la probarías?”

Una respuesta buena no empieza tirando herramientas a lo loco. Empieza por alcance, permisos, roles, endpoints, autenticación, autorización, validación de datos, rate limits, logs e impacto.

Trabajo remoto, híbrido y ciudades con más oferta#

En España, Madrid y Barcelona concentran mucha oferta. También hay movimiento en Valencia, Málaga, Sevilla, Bilbao, Zaragoza y A Coruña.

Madrid tiene mucho banco, consultora, telco y administración. Barcelona tiene producto digital, ecommerce, SaaS y startups. Málaga crece por el ecosistema tecnológico y oficinas de empresas internacionales.

El remoto existe, pero en junior es menos común. Muchas empresas prefieren formar cerca o en híbrido. Para perfiles mid y senior, el remoto es mucho más viable.

Si buscas remoto, tu CV debe demostrar autonomía. Informes claros, experiencia real y buen inglés ayudan muchísimo.

Inglés: cuánto importa#

Importa mucho. No tienes que sonar como nativo, pero sí leer documentación, escribir informes y hablar en reuniones.

En ciberseguridad, casi todo está en inglés:

• CVEs
• advisories
• documentación de herramientas
• writeups
• papers
• informes técnicos
• reuniones con clientes globales

Un nivel B2 real puede marcar diferencia. Un C1 te abre puertas a empresas internacionales con mejores salarios.

Si ahora te cuesta, trabaja inglés técnico cada semana. Lee writeups, mira vídeos, escribe resúmenes y practica explicar vulnerabilidades en voz alta.

Errores que te pueden cerrar puertas#

Hay errores muy comunes en candidatos junior.

Evita esto:

• Decir que eres “hacker” sin contexto profesional.
• Poner herramientas que no sabes usar.
• Publicar ataques a sistemas reales sin permiso.
• Mandar el mismo CV a todas las ofertas.
• No saber explicar tus propios writeups.
• Enfocarte solo en CTFs y no en informes.
• Ignorar redes y sistemas.
• No preparar preguntas básicas de OWASP.
• Tener GitHub vacío si dices que programas.
• No cuidar LinkedIn.

Otro error: buscar solo “pentester junior”. Prueba también con:

• Cybersecurity Analyst
• Security Consultant Junior
• Vulnerability Analyst
• AppSec Junior
• SOC Analyst con foco en detección
• Cloud Security Junior
• IT Security Analyst

A veces la primera puerta no tiene el título perfecto, pero te acerca al puesto que quieres.

Plan de 90 días para mejorar tus opciones#

Si quieres moverte ya, aquí tienes un plan realista.

Días 1 a 30: base y enfoque

• Actualiza CV con palabras clave reales.
• Elige una especialidad inicial: web, AD o cloud.
• Completa 20 labs de PortSwigger Academy.
• Revisa redes, HTTP y Linux.
• Crea una plantilla de informe.
• Optimiza LinkedIn con titular claro.

Ejemplo de titular:

“Pentester Junior | OWASP Top 10 | Burp Suite | Linux | Python | eJPT en curso”

Días 31 a 60: pruebas visibles

• Publica 2 writeups legales.
• Haz 1 informe completo de pentest simulado.
• Monta un mini lab en local.
• Practica entrevistas técnicas.
• Contacta con 10 profesionales del sector.
• Aplica a 30 ofertas bien filtradas.

No mandes solicitudes sin adaptar. Cambia el resumen, skills y proyectos según la oferta.

Días 61 a 90: entrevista y mejora

• Haz simulacros de entrevista.
• Añade métricas a tus proyectos.
• Prepara historias tipo STAR.
• Aplica a consultoras, MSSP y producto.
• Revisa rechazos y ajusta CV.
• Sigue practicando labs, pero documenta mejor.

Métrica no significa inventar. Puede ser:

• “Documenté 8 hallazgos en informe simulado.”
• “Automatizé enumeración de 50 endpoints de laboratorio.”
• “Completé 35 ejercicios de OWASP con notas técnicas propias.”

Cómo negociar salario sin parecer perdido#

Cuando te pregunten expectativa salarial, no respondas “lo que sea”. Da una banda razonable según tu nivel y ciudad.

Ejemplos:

• Junior: “Estoy buscando algo en torno a €30k a €36k, según funciones, formación y modalidad.”
• Mid: “Para este tipo de rol, me muevo en una banda de €45k a €55k.”
• Senior: “Por responsabilidad, alcance y mercado, estaría valorando €65k a €80k.”

Si la oferta incluye guardias, viajes, clientes críticos o mucho estrés, eso debe reflejarse. Pregunta también por formación, certificaciones, remoto, bonus y tiempo para investigación.

En ciberseguridad, un presupuesto anual para formación puede valer mucho. Si te pagan OSCP, SANS o cloud certs, es dinero y carrera.

Señales de una buena oferta#

Una buena oferta de pentester no solo habla de “pasión por la ciberseguridad”. Debe tener claridad.

Busca señales como:

• Alcance técnico definido.
• Herramientas y metodología claras.
• Tiempo real para reporting.
• Revisión de calidad de informes.
• Formación o certificaciones.
• Equipo senior cerca.
• Proyectos variados.
• Respeto por límites legales.
• Cultura de disclosure responsable.
• Buen equilibrio entre entrega y aprendizaje.

Cuidado con ofertas que prometen “hackear de todo” pero no explican procesos, permisos ni cliente. En seguridad ofensiva, la legalidad y el alcance lo son todo.

Futuro del pentesting en 2026#

El pentesting no desaparece por la IA. Cambia.

La IA ayuda a generar payloads, resumir logs, acelerar documentación y revisar código. Pero sigue haciendo falta criterio humano para entender impacto, contexto y riesgo de negocio.

Lo que más crecerá:

• Pentesting de APIs.
• Seguridad cloud.
• AppSec y revisión de código.
• Red Team con detección.
• Seguridad en identidad.
• Ataques sobre CI/CD.
• Seguridad en IA y modelos internos.
• Pruebas de configuración en SaaS.
• Purple Team, colaboración entre ataque y defensa.

Si quieres durar en esta carrera, no te cases con una herramienta. Aprende fundamentos, escribe bien y entiende cómo funciona una empresa real.

Resumen rápido para conseguir empleo de ethical hacker#

Si te llevas solo una lista, que sea esta:

1. Aprende redes, Linux, HTTP y fundamentos.
2. Domina OWASP Top 10 con práctica real.
3. Usa Burp Suite hasta sentirte cómodo.
4. Documenta informes, no solo writeups.
5. Aprende Active Directory básico.
6. Toca cloud, aunque sea IAM y buckets.
7. Haz scripting con Python o Bash.
8. Consigue una certificación práctica si puedes.
9. Adapta el CV a cada oferta.
10. Practica explicar impacto y mitigación.
11. Aplica también a consultoría, SOC y vulnerability analyst.
12. Mejora inglés técnico cada semana.

El mercado en España tiene hueco para ethical hackers, pero premia a quien demuestra método. No necesitas ser un genio, necesitas ser constante, legal, claro y técnicamente sólido.

Antes de enviar más candidaturas, revisa si tu CV está pasando filtros ATS y si contiene las palabras clave correctas para pentester. Puedes comprobarlo gratis aquí: analiza tu CV con el ATS checker gratuito de JobRise.